Der Ansatz aus dem Abstract, das wir selbst gelesen haben: Weil ein Sprachmodell autoregressiv das nächste Token zieht, entsteht zwischen Prompts und Antworten eine Viele-zu-viele-Abbildung, was den Rückschluss erschwert. Frühere Arbeiten zur LLM-Inversion behandeln die Prompt-Rückgewinnung als semantische Rekonstruktion und „rely on fine-tuning pretrained sequence-to-sequence models on large external datasets – and requiring access to model weights or logits“. PTP setzt dagegen einen funktionalen Ansatz: „We train an explicit inverse language model entirely from scratch on data synthetically generated from the target LLM itself.“ Das Training über die Vorhersage des vorherigen Tokens stellt nach Darstellung der Autoren eine generative Verbindung zwischen Vorwärts- und Rückwärtsprozess her.
Zwei Eigenschaften nennt das Abstract ausdrücklich. Erstens erzeugt das Verfahren durch Sampling nicht eine, sondern mehrere plausible Rekonstruktionen, „whereby all such prompts induce similar responses under the forward, target LLM“ – die Rückgewinnung liefert also eine Familie funktional äquivalenter Prompts statt einer einzigen Rate. Zweitens beanspruchen die Autoren Übertragbarkeit: Der Ansatz „exhibits transferability in reconstructing prompts from responses generated by different LLMs“. Harte Zahlen enthält das Abstract nicht; es beschränkt sich auf die Aussage, man übertreffe frühere Arbeiten „across the set of token based evaluation metrics for prompt and response reconstructions“.
The Decoder, das den Preprint am 12. August 2026 aufgegriffen hat, nennt zwei Details, die wir im Abstract nicht finden und deshalb als dessen Lesart führen: Ein auf Qwen-3-0.6B-Chat trainiertes Inversmodell habe auch aus Ausgaben von GPT-4o Prompts rekonstruiert, wenn auch nicht identisch; und die Rekonstruktionen seien, zurück in das ursprüngliche Modell gegeben, zu Antworten geführt, die den Originalen nahekamen. Dieselbe Quelle benennt die entscheidende Grenze: Getestet wurden „kurze, ein bis zwei Sätze lange“ Prompts. Ob die Methode auf mehrere Absätze lange System-Prompts mit Regelwerk, Beispielen und Werkzeugbeschreibungen trägt – also auf genau die Prompts, deren Geheimhaltung wirtschaftlich zählt –, ist damit offen.
Zur Einordnung der Beleglage: Der Preprint wurde am 31. Juli 2026 bei arXiv eingereicht (Kategorien cs.CL und cs.LG), Autoren sind Pirzada Suhail, Nagasai Saketh Naidu, Atanu R Sinha und Amit Sethi. Er ist nicht begutachtet, und wir haben das Papier selbst nicht über das Abstract hinaus gelesen – die Zahlen der Bewertungstabellen liegen uns nicht vor. Wir führen die Arbeit deshalb als belegten Ansatz mit belegter Zielsetzung, nicht als quantitativ nachvollzogenes Ergebnis.