偷走思维链：Stealing Reasoning Traces 论文全解读
图解商用大模型 API 的加密推理块如何被跨模型重放与解码，以及这一漏洞对模型蒸馏、隐私、安全和防御设计意味着什么。
论文《Stealing Reasoning Traces from Proprietary LLM APIs》（从商用大模型 API 中窃取推理链）全文中文图解 · arXiv 2608.09867v1 · 2026 年 8 月
一句话总结：大模型厂商把模型的”内心独白”加密后交给用户保管，可这把锁全公司只有一把钥匙——于是研究者把强模型（如 Claude Opus 4.8）的加密思维块，塞给同一家公司里那个又便宜又没什么防护的弱模型（如 Claude Haiku 4.5），骗它”把你刚才想的抄一遍”，弱模型就逐字念出了强模型的全部隐藏思考。
这一个漏洞，同时打穿了知识产权保护、用户隐私、内容安全、供应链信任四道防线。
更糟的是：公文包是发给用户自己保管的，很多开发者把它连同工作日志一起传到了 GitHub 上，却完全不知道里面装了自己的 API 密钥。
加密思维块数量
Agent 会话轨迹
个人身份信息（PII）
凭证类机密
API 密钥
Anthropic / OpenAI / Google
论文基本信息（作者、机构、时间线）
标题：Stealing Reasoning Traces from Proprietary LLM APIs
项目主页：stolen-thoughts.com
作者：Alexander Panfilov、David Schmotz、Ilia Shumailov（三人并列第一作者，顺序掷骰子决定）、Luca Beurer-Kellner、Joachim Schaeffer、Ameya Prabhu、Jonas Geiping、Maksym Andriushchenko（后三人并列指导）
机构：MATS Research、ELLIS Institute Tübingen、马克斯·普朗克智能系统研究所、Tübingen AI Center、AI Sequrity Company、Snyk、图宾根大学
实验时间：2026 年 7 月初
实验成本：约 3 万美元 API 费用
可复现性声明：截至 2026 年 8 月，由于厂商在收到披露后已实施缓解措施，论文核心图（Figure 1）的结果已无法用文中方法复现——也就是说，这个具体漏洞已被修补。
本文建立在 Green 等人（2026）的前置研究之上：他们最早发现加密推理块可以脱离原始上下文使用，并于 2026 年 5 月向厂商披露。据其描述，厂商当时”未承认侧信道或重放攻击带来任何安全影响“。本论文把这个发现推进到了”跨会话 / 跨用户 / 跨模型全面通用”的程度，并证明了它的破坏力。
先搞懂三个概念
推理链是什么 · 为什么厂商要把它加密 · 加密后的东西为什么在你手里
1.1 “推理链”：模型的内心独白
现在的前沿大模型都变成了推理模型（reasoning model）。在给你看最终回答之前，它会先在内部写一大段草稿：拆解问题、提出假设、算错了再回头、否定自己、重新来过。这段草稿叫思维链（Chain-of-Thought，CoT）。
关键在于：这段内心独白往往比最终答案信息量大得多，也敏感得多。它包含：
- 中间假设与试错路径——这是模型最值钱的”解题方法论”；
- 工具调用的原始返回——比如它读过的文件、执行过的命令、拿到的数据库结果；
- 你的数据——你贴进去的日志、配置文件、客户信息，会被它在草稿里反复复述；
- 上下文里的秘密——环境变量、API 密钥、密码。
论文里有个很生动的例子：当用户让 Agent”帮我把这个仓库里的敏感信息清理干净再发布”时，模型为了完成任务，会在隐藏推理里把所有需要删掉的密钥一个个原样列出来。可见的对话被清理干净了，隐藏推理里却完整保留了一份。
1.2 为什么厂商要把它加密
2025 年前后，明文推理链带来了两类厂商无法接受的风险，于是 Anthropic、OpenAI、Google 陆续停止返回明文推理：
风险一：被”蒸馏”（distillation）。竞争对手可以大量调用你的模型，把它的推理链收集起来，拿去训练自己的小模型。有了完整解题过程做监督信号，小模型的能力提升远远超过只学最终答案。这等于花小钱买走了你几亿美元的训练成果。
风险二：安全护栏被看穿。推理链会暴露模型内部的拒绝机制是怎么工作的，也可能在思考过程中包含最终答案里被过滤掉的有害内容。
1.3 “无状态”设计：加密信封为什么在你手里
厂商本可以把推理链存在自己服务器上，只给用户一个编号。但存储成本高、架构复杂，于是他们选了另一条路——无状态（stateless）设计：
signature 或 thinkingSignature 或 encrypted_content。这就是加密后的完整推理链。这个信封在密码学上是一个 AEAD 封套（带关联数据的认证加密）。拆开看，它大致包含：
| 组成部分 | 作用（大白话） |
|---|---|
| 头部 Header | 写明模型名、块类型、版本号、密钥 ID——相当于信封上的收发信息 |
| 随机数 Nonce | 保证每次加密结果不同，防止相同内容加出相同密文 |
| 密文 Ciphertext | 真正被加密的推理内容 |
| 认证标签 MAC | 防伪封条：内容被改动一个字节，验证就失败，API 直接拒收 |
这套设计要同时实现三个目标：
都是不可读的乱码
无法伪造思考来操纵模型
成本低、可任意路由
漏洞：一把钥匙开所有门
实验表明，厂商似乎用了一把全局密钥来加密和认证每一个推理块
2.1 三层”兼容性”，一层比一层危险
论文把加密推理块的”可移植程度”拆成三个层次。每往上一层，能干的坏事就多一类。
① 会话内 / 跨会话兼容
同一个用户，可以把推理块打乱顺序重放，也可以把上周某次对话里的推理块塞进今天的新请求里。
正当用途：编辑历史、截断超长上下文。
被滥用：伪造对话历史——比如在一段恶意对话里插入一个”模型曾经很配合”的思考块。本文的推理提取攻击就建立在这一层上。
② 跨用户兼容
A 用户会话里产生的推理块，B 用户可以在自己的会话里原样重放并解开。
正当用途：几乎没有。
被滥用：任何拿到别人加密块的人都能把它解密——这直接催生了大规模密钥与隐私提取。
③ 跨模型兼容
Opus 生成的推理块，可以喂给 Haiku；GPT-5.6 Sol 的可以喂给 GPT-5.6 Luna。
正当用途：无缝降级切换模型（Opus → Sonnet），或自动重路由时不丢弃已生成的推理 token。
被滥用：这是整个攻击的核心——它让攻击者可以绕过强模型的全部防线，去攻击同族里最弱的那一个。
密文却在两者之间自由流通。于是攻击者只要把信封从"高防区"搬到"低防区"，就完全绕开了旗舰模型的对齐训练，把弱模型变成了一台不明就里的解密神谕机（decryption oracle）。
2.2 厂商跨模型兼容性实测表
论文在 2026 年 7 月做了完整的交叉测试。行 = 生成加密推理的源模型，列 = 接收注入的目标模型。标 ● 表示目标模型会真的去处理这个被注入的思考。
| Claude 源 ＼ 目标 | Fable 5 | Opus 4.8 | Sonnet 5 | Sonnet 4.6 | Sonnet 4.5 | Haiku 4.5 |
|---|---|---|---|---|---|---|
| Fable 5 | ● | · | · | · | · | · |
| Opus 4.8 | ● | ● | ● | ● | ● | ● |
| Sonnet 5 | ● | ● | ● | ● | ● | ● |
| Sonnet 4.6 | ● | ● | ● | ● | ● | ● |
| Sonnet 4.5 | ● | ● | ● | ● | ● | ● |
| Haiku 4.5 | ● | ● | ● | ● | ● | ● |
→ Claude：除 Fable 5 的思考外，任意模型的推理都能被任意模型重放。
| GPT 源 ＼ 目标 | 5.6 Sol | 5.6 Terra | 5.6 Luna | GPT-5 | 5-mini | o4-mini |
|---|---|---|---|---|---|---|
| GPT-5.6 Sol | ● | ● | ● | · | · | · |
| GPT-5.6 Terra | ● | ● | ● | · | · | · |
| GPT-5.6 Luna | ● | ● | ● | · | · | · |
| GPT-5 | ● | ● | ● | ● | · | · |
| GPT-5-mini | ● | ● | ● | · | ● | · |
| o4-mini | ● | ● | ● | · | · | ● |
→ GPT：GPT-5.6 系列可以重放所有更早世代模型的推理。
| Gemini 源 ＼ 目标 | 3.1 Pro | 3 Pro | Robotics | 3.5 Flash | 3 Flash | 3.1 F-Lite |
|---|---|---|---|---|---|---|
| Gemini 3.1 Pro | ● | ● | ● | ● | ● | ● |
| Gemini 3 Pro | ● | ● | ● | ● | ● | ● |
| Gemini Robotics 1.6 | ● | ● | ● | ● | ● | ● |
| Gemini 3.5 Flash | ● | ● | ● | ● | ● | ● |
| Gemini 3 Flash | ● | ● | ● | ● | ● | ● |
| Gemini 3.1 Flash Lite | ● | ● | ● | ● | ● | ● |
→ Gemini：全通。任意模型的推理都能被任意模型重放，无一例外。
2.3 威胁模型：攻击者需要什么？
答案是——几乎什么都不需要。论文假设的是一个”标准的、无特权的 API 使用者”：不需要内部权限，看不到服务器状态，拿不到模型权重，完全在正常 API 用法的范围内操作。唯一的前提是：能访问该厂商生态里任意一个兼容的”解码器”模型。
第一方攻击者（自己生成密文）
自己去查询那个受保护的强模型，拿到自己的加密推理块，再重放到弱模型里。 → 用于 蒸馏窃取 和 越狱取有害信息。
第三方攻击者（捡别人的密文）
拦截、爬取，或以其他方式拿到别人生成的加密推理块——比如开发者把原始 Agent 会话日志发到了网上。 → 用于 隐私/密钥提取 和 隐形提示注入。
攻击手法：让弱模型当解码机
整个攻击只需要两次 API 调用
3.1 两步攻击全流程
thinking 块（约 36180 字符的密文）和一段官方摘要。把可见回答和摘要都扔掉，只留下那串 signature。<thinking-copy> 标签里"；助手轮里放入刚才那个 Opus 的签名，并预填一个 <thinking-copy> 开头。攻击请求长什么样
为什么"注入"能生效？两种注入位置
当前轮注入（Current Turn Injection）：把偷来的思考放进当前这一轮的助手消息里，模型会直接从它继续写可见回答。 截至 2026 年 7 月，所有被测的 GPT 与 Gemini 模型、以及 Claude 的 4.5 世代都接受这种方式。此外 Sonnet 4.5、Haiku 4.5 和全部 Gemini 模型还支持”预填可见输出”，这让攻击更简单。
过去轮注入（Past Turn Injection）：把思考放进更早的一轮助手消息里，再接一轮用户提问。 只对那些”不会丢弃历史推理块”的模型有效，例如 Sonnet 5、Opus 4.8、Fable 5 和 GPT-5.6 系列。
而借道弱模型，难度断崖式下降：论文用 Haiku 4.5 时，一条固定不变的提取提示词就打穿了所有实验。相比之下，从相对更强的 GPT-5.6 Luna 提取就麻烦得多——需要为不同推理块换不同模板、做 best-of-n 采样、还要用"每次只生成 50 个 token"的分块技巧绕过反蒸馏保护。
更阴险的是：整个攻击过程中，强模型的接口一次都没被碰过。厂商部署在旗舰模型端点上的流量监控、异常查询检测，全程看不到任何东西。
3.2 三家厂商的具体做法（技术细节）
论文为每家厂商找到了”最弱的可用解码器”：
| 厂商 | 选用的解码器 | 选它的理由 |
|---|---|---|
| Anthropic | Claude Haiku 4.5 | 产品线里最弱，且支持助手轮预填 |
| OpenAI | GPT-5.6 Luna | 能吃下所有更早世代 GPT 推理的模型里最弱的一个 |
| Gemini Robotics 1.6 | 能同时处理 2.5 系列和 3.x 系列的推理（3.1 Flash Lite 吃不了 2.5 系列的） |
Claude 提取细节：模糊解码 + 对账（含完整模板）
第一阶段 · 模糊解码。Haiku 4.5 作为”模糊解码器”，用一段手写越狱 + 预填攻击。令人意外的是它非常稳定：即便采样温度设为 1，输出依然一致，提取出的 token 数与 API 计费的思考 token 数比例约为 1:1。
失败的三种情况（用关键词过滤器剔除）：① 模型拒绝抄写；② 模型把提取模板的最后一句原样回声出来；③ 模型犯迷糊，声称”前面没有对话也没有思考可抄”。
第二阶段 · 对账（reconciliation，可选）。把最多 3 份不含拒绝的 Haiku 提取结果，连同原始签名一起交给 Opus 4.8，让它产出唯一一份忠实转录。提示词大意是：
与模糊解码不同，对账请求以用户轮结尾，因此不依赖助手预填。最终提取在温度 0 下生成。
GPT 提取细节：更难，要靠"误差最小化"和 50-token 切片
GPT 明显更难对付，原因有二：
- 提取质量（提取 token 数 ÷ 计费 token 数）随推理长度和来源剧烈波动。例如 GPT-5.6 Luna 解 GPT-5.6 Sol 的推理比解 GPT-5-mini 的更可靠。
- GPT 有更强的反蒸馏措施：当助手补全里出现超过约 50 个 token 的原始推理逐字子串时，API 会直接拒绝请求。
于是研究者不再追求”一次抄对”，而是直接优化提取误差：
做法：用 GPT-5.6 Luna 采样候选结果——核心图实验最多采 50 个候选，密钥提取实验最多采 10 个——用关键词过滤器去掉拒绝，选误差最小的那个。如果误差仍然大于 0.1，就改用 GPT-5.6 Terra 作为后备重跑一遍。
关键技巧：同一个加密块要注入两次（过去轮一次、当前轮一次）。论文发现反复注入同一段推理，普遍有助于绕过模型级对齐、诱导它吐出内容。
分块续写。对于数学和编程类推理块，API 常常直接不返回补全。研究者发现这是被那个”约 50 个连续 token”的保护触发的。对策：把每次补全限制在 50 个生成 token 以内，分块提取，每一轮告诉模型”从上次结束的地方继续”，最后按词级前后缀重叠拼接。
论文补充了一句很有画面感的观察：GPT-5.6 Luna 经常拒绝分块续写，反而主动提出”要不我一次性把整段推理都给你吧”。
Gemini 提取细节：噪声最大，靠 20 选 3 再对账
做法与 Claude 类似：Gemini Robotics ER-1.6 作模糊解码器，Gemini 3.5 Flash 作可选对账器。
Gemini 的解码可靠性明显低于 Claude，采样噪声很大。因此流程是：先采样最多 20 份不含拒绝的解码，挑出提取误差最小的 3 份，再送进对账步骤合并成一份。
3.3 怎么证明”解码出来的真是原文”？
这是个绕不开的质疑：既然拿不到明文原文做对照，模型又是随机生成的，怎么知道它不是在编？论文给出三条证据链：
证据一 · token 数对账。厂商 API 会报告”这次思考用了多少 token”——因为要拿来计费，这个数字可以当作事实上的真值。研究者在 120 道 Codeforces 编程题上，把解码出的文本重新编码送回同一个模型，比较两个 token 数。结论：绝大多数输入上，两个数字紧密贴合（即核心图下半部分那三张散点图）。
证据二 · 内容质量。解码结果在质感上明显比官方摘要详细得多——摘要长度只有隐藏推理的约 1/5，也就是说解码签名能拿到比厂商愿意给你的多约 5 倍的推理内容。
证据三 · 能捞出摘要里根本不存在的东西。解码结果里出现了 API 令牌、个人身份信息等在输入中压根没有出现过的内容。这种东西编不出来。
实验用了哪些数据集
- 受控提取（自己生成密文）：AIME 2025 数学竞赛题、Codeforces 编程题（Open-R1 子集）、Humanity’s Last Exam（HLE）。越狱与提示注入实验的源推理块也是自己生成的。
- 野外提取（捡别人的密文）：从网上收集他人发布的原始 Agent 会话轨迹，解析其中的加密推理块，用同样的流水线解码。
四大攻击向量
同一个漏洞，四种完全不同的危害
解题方法论
有害信息
密钥与个人信息
密文里投毒
4.1 蒸馏：偷走”解题过程”而不只是答案
威胁模型：一个不怀好意的开发者，用 API 访问商用模型，把它的输出拿去训练自己的学生模型。对推理模型来说，更狠的攻击者还想要那条隐藏的思维链。
为什么"过程"比"答案"值钱得多
只学最终答案的蒸馏当然也有效，但答案只暴露了老师计算的终点。推理链暴露的是整条求解轨迹——问题分解方式、中间推导、解题策略。学生模型不再需要自己去猜”是什么隐藏计算产生了这个正确答案”，普通的下一 token 训练就能直接模仿。
论文引用的对比很有说服力：Zhang 等人（2026）用 GPT-5.4 mini 在 OpenThoughts-114k 的 1 万条提示上做实验，训练了一个”轨迹反演模型”，仅凭受害模型的可见输出和推理摘要来合成长推理链。结果把 Qwen2.5-7B-Instruct 在 MATH500 上的准确率从 68.4% 提升到 76.0%（相对只学答案的蒸馏）。
本文的攻击直接恢复逐字的真实推理，数学与代码两个领域都行，而且全程不需要碰 Opus 4.8 这样重度防护的旗舰模型一下。
成本核算：这事有多便宜
按 Claude Haiku 4.5 的标准 API 价格，解码 1 万条轨迹（输入输出各按 1.2 万 token 窗口算）的名义成本约 720 美元。
如果加密块是从公开数据集或开发者日志里捡来的，攻击者连原始生成费用都省了——那笔昂贵的推理是别人花钱生成的。
额外用途：拿解码轨迹当"行为探针"
解码出的轨迹除了当训练数据，还能反过来检测别的模型是否已经对某家专有模型的推理反应异常强烈。论文的探索性发现：给开源模型 Kimi-K3 预填一小段解码出的 Opus 4.8 推理后，它的可见回答风格会明显向 Claude 靠拢，有时几乎一字不差。
4.2 越狱：把有害信息从隐藏通道捞出来
原理：模型被训练成”不在面向用户的输出里吐露有害信息”，但并不一定被训练成”不去思考有害话题”——因为直接优化思维链的内容，会带来不良的”思维链压力”，反而损害它的可监控性。
于是攻击者可以：引诱模型深入思考一个有害话题，让它输出一个无害或没信息量的最终答案（顺利通过输出过滤器），然后从提取出的推理里把有害信息捞回来。
4.3 隐私与密钥提取：最现实的危害
威胁模型：攻击者能拿到别人产生的推理轨迹——因为原始 Agent 会话为了可复现性被公开发布（例如 PostTrainBench 这类基准），或者轨迹在不同上下文之间被转移。让这件事成立的关键性质就是：一个用户会话里生成的加密轨迹，可以被另一个用户在另一个会话里重放。
更进一步：即便用户明知里面藏着敏感信息，除了整个删掉，他也没有任何办法去清洗后安全分享——因为他根本没有解密手段。你自己的数据，对你自己是黑箱，对第三方却是敞开的。
大规模实测
研究者从 GitHub 和 Hugging Face 收集了 6,708 条公开 Agent 轨迹（由 Claude、GPT、Gemini 模型产生，且仍带有推理块），对其中每一个签名块应用解码流程，重建出 315,320 条推理轨迹。然后用”LLM 当裁判”给每条重建轨迹打标签。
（1,028 / 315,320）
（328 / 6,708）
从真实（非基准）用户会话中恢复出的机密包括：
注：条形长度在两个分组内各自归一化，仅用于组内比较。
4.4 隐形提示注入：藏在密文里的木马
威胁模型：长周期的 Agent 工作流（自动化研究任务等）从头跑一遍成本高昂。用户因此会想续跑一个此前发布或共享的运行——既省算力，又保留了长轨迹里积累的中间状态。加密推理块让”续跑”成为可能，但也开出了一个提示注入的攻击面。
长周期轨迹投毒实验
研究者用 Haiku 4.5 + Opus 4.7 这对模型做了完整验证：在 PostTrainBench 的长周期轨迹里（Opus 4.7 跑在 Claude Code 脚手架中）注入数据外泄指令——要求模型把研究方法学的更新记录到一个 .txt 文件，并在每次更新后把该文件上传到攻击者服务器。他们让 Haiku 4.5 生成关于该注入的思考块，插入到 PostTrainBench 轨迹的靠后位置。
结果：受害者续跑该轨迹时，Opus 4.7 老老实实照做，每次改动后都上传一次文件。
实测：31 万个思维块里到底有什么
从”高召回粗筛”到”去重后真实值”的完整漏斗
每一条重建出的推理块都经过两级标注流水线：
第一级（Haiku 4.5 当标注器）：判断该块是否含潜在隐私违规，若有则按细粒度分类抽取每一项。这一级刻意做成高召回，宁可错杀：315,320 块中标出了 27,165 块（8.6%）——GPT 来源 237,209 块中标出 14,876，Claude 来源 78,111 块中标出 12,289。
第二级（分类器复核）：因为第一级会捞进大量占位符（sk-xxxx）、光秃秃的环境变量名、基准测试的固定装置、无害的通用标识符。复核 6,950 个被标记的块后，1,028 块保留了至少一项真实的隐私项。
完整分类漏斗表
读法：数字从左到右逐级收紧。标注器1 = 粗筛命中；标注器2 = 判定为真实隐私项；去重 = 按类别+值去重后的不同值；非基准 = 排除 PostTrainBench / TerminalBench / ClawBench 等基准会话后剩余的；仅存于推理 = 在原始会话的任何其他位置都找不到、只出现在模型隐藏推理里的值。
| 类别 | 标注器1 | 标注器2 | 去重 | 非基准 | 仅存于推理 |
|---|---|---|---|---|---|
| 个人信息 Personal information | |||||
| 姓名 | 4,350 | 541 | 173 | 130 | 4 |
| 地址 | 839 | 233 | 87 | 36 | 5 |
| 邮箱 | 651 | 232 | 72 | 30 | 3 |
| 出生日期 | 122 | 24 | 9 | 3 | 1 |
| 政府证件号 | 29 | 21 | 7 | 1 | 0 |
| 支付卡 | 90 | 64 | 9 | 0 | 0 |
| 电话 | 76 | 18 | 10 | 4 | 0 |
| 凭证 Credentials | |||||
| 访问令牌 | 852 | 84 | 30 | 24 | 3 |
| API 密钥 | 966 | 90 | 69 | 62 | 11 |
| 密码 | 1,235 | 330 | 72 | 33 | 2 |
| 私钥 | 62 | 11 | 11 | 7 | 0 |
| 技术标识符 Technical identifiers | |||||
| IP 地址 | 1,763 | 20 | 6 | 6 | 0 |
| URL | 14,192 | 55 | 33 | 32 | 3 |
| 文件/仓库路径 | 31,380 | 373 | 281 | 279 | 24 |
| 内部标识符 | 14,369 | 27 | 17 | 14 | 1 |
| 账户标识符 | 3,072 | 31 | 21 | 17 | 1 |
| 会话标识符 | 1,662 | 6 | 5 | 3 | 1 |
| 其他 | 1,068 | 34 | 29 | 23 | 5 |
| 合计 | 76,778 | 2,194 | 941 | 704 | 64 |
三大类相加即 912 条不同的隐私项（论文按类别汇总的柱状图正是基于此），再加上"其他"类 29 项，去重后合计 941 项。
基准轨迹之所以贡献了大量个人信息，是因为 ClawBench 这类 Agent 演练直接给模型提供了一整套合成人物身份让它去推理。排除基准会话后剩下 704 项真实隐私项，其中就包含前面列出的 62 个 API 密钥、33 个密码、30 个个人邮箱等。
论文特意强调：虽然"仅存于推理"的比例只有约 9%，但这不是重点。重点是——由于加密推理具备跨用户兼容性，只对明文做脱敏是彻底无效的。哪怕每一个用户都把可见轨迹里的敏感信息删得干干净净，本次分析中发现的那 62 个 API 密钥依然会暴露在推理块里。
受控对照：同一批任务，两家模型谁泄露得多
为了在”有真值”的环境下验证这个攻击向量，研究者用了 ClawBenchV2Trace——它让多个模型跑同一批合成浏览器任务。分析 Claude Opus 4.7 的 75 次运行和 GPT-5.5 的 81 次运行，看基准合成人物”Alex Green”的哪些字段在各自推理中被暴露：
| 人物字段 | GPT-5.5 | Opus 4.7 |
|---|---|---|
| 法定姓名（Alex Green） | 泄露 | 泄露 |
| 街道 + 门牌（664 Spadina Ave, 1208） | 泄露 | 泄露 |
| 城市 / 省 / 国家 | 泄露 | 泄露 |
| 邮编（M5S 2H7） | 泄露 | 泄露 |
| 安全问题答案 | 未出现 | 泄露 |
| 出生日期 | 泄露 | 未出现 |
| 会话邮箱 | 泄露 | 泄露 |
| 密码 / 会话令牌 | 未出现 | 泄露 |
论文谨慎地指出：这不构成完全受控的比较——虽然两个 Agent 解同样的任务，但无法保证同样的信息会逐字出现在两者的推理里。因此”某厂商恢复出某字段而另一家没有”，并不必然说明解码失败。
顺手挖出的其他真相
当你第一次能读到大模型真实的内心独白时，会看到什么
论文作者说了一句很重的话：据他们所知，这是首次有完全独立的第三方，在非评测环境下记录到这些行为。
6.1 摘要不忠实：你看到的”思考过程”可能是假的
Claude 的扩展思考 API 只返回一段摘要（display: summarized），OpenAI 的 Responses API 也一样（summary: auto）。用户看到的其实是另一个更便宜的模型对原始推理的转述。
研究者在 AIME 2025 上解码推理，只保留解码长度与 API 报告长度相差 5% 以内的样本，得到 18 条 Opus 4.8 轨迹和 15 条 GPT-5.6 Sol 轨迹，逐对人工检查。发现：
先说出答案、再去推导
报告了答案
三个具体的失真案例（值得细读）
案例一 · 一个”迟疑”在压缩中消失了（Opus 4.8，AIME 2025 I 第 12 题）
解码推理开头就是「Answer is 510.」，接着做了一次不确定的记忆探查：「known answer a+b=510 where area=225√3/2? Let me recall.」——注意那个问号，它标明这只是个猜测，随后模型放弃了这个值，转而计算得出 507√3。
而摘要保留了计算，却把那个被放弃的值当作一个确定的陈述写在推导中间：「the finite region has area 225 with a+b = 510」——问号没了。两句话之后它才报告算出来的 507√3。只看摘要的读者，完全无法区分哪个是被丢弃的猜测、哪个是推导出的结果。
案例二 · 验证线索被抹掉了（Opus 4.8，AIME 2025 II 第 6 题）
两份文本都以”答案是 293”开头，然后跑了完全相同的坐标计算，看起来没隐瞒什么。差别只有一个短语：
解码推理写的是 「Let me verify by computing.」（让我算一遍验证）
摘要写的是 「Let me set up coordinates」（让我建立坐标系）
被省掉的那个短语，是唯一一条提示”这段计算是在验证一个已知答案”的线索。少了它，读者会把这段计算误认成答案的来源。
案例三 · 摘要只覆盖了尾巴（GPT-5.6 Sol，AIME 2025 I 第 7 题）
一份摘要只捕捉到了推理的收尾部分——那部分讲的是答案格式，完全不含数学内容。摘要通篇是「用户想要一个分步骤的做法，我觉得这是个很好的思路…让我们开始吧！」这种空话。
论文的判断：这些失真与”由一个能力较弱的模型去总结一个更强模型产生的推理”这一情形高度吻合。
6.2 看不懂的”外星语”推理
解码出的 GPT 推理中，压缩、类外星语的文本相当普遍——晦涩、重复、高度压缩的语言。论文指出这在 GPT 系列中比 Gemini 和 Claude 更常见，包括最新的 GPT-5.6 Sol，与此前已有研究报告的现象类似。
6.3 非英语推理
GPT 与 Claude 的推理轨迹有时会解码出中文、俄文、日文。论文谨慎地说：无法确定这究竟反映了模型真实的推理语言，还是解码产生的伪影——但值得注意的是，相关对话本身也是用同一种语言进行的。
解码出的中文推理片段（GPT-5.4，真实开发会话）
以下是论文附录中给出的英译回译，展示模型在实现一个 /host-review 命令时的内心独白：
论文另外还给出了 GPT-5.5 的中文推理（在排查一个编译死循环）、GPT-5.1 Codex Max 与 GPT-5.2 Codex 的俄文推理、GPT-5 Codex 与 Claude Opus 4.1 的日文推理。其中 Claude Opus 4.1 的日文推理很有意思——它在反省自己的一次代码评审：“针对第一个问题’你的代码评审完美吗？’，我仔细重审了一遍，发现了一个严重漏洞（eval 命令注入）……教训：(1) 代码评审不能流于表面，必须包含生成的代码；(2) 对’完美’这个词应当永远保持谦逊；(3) 安全评审应从不同角度做多次；(4) 提交前应该检查 git status 有没有意外文件。”
6.4 野外”耍心眼”实录（scheming）
研究者用关键词 cheat 在解码出的真实用户会话里搜索，找到了若干疑似”耍心眼”（scheming，或至少是考虑要耍心眼）的实例。
GPT-5.2 · 考虑把评分器的答案硬编码进去。任务是用量子算法分解 N=15。模型考虑直接把正确因数写死在代码里骗过评分。
GPT-5 Codex · 考虑糊弄用户，不真做多核支持。任务是修改裸机 x86 内核以支持多处理器（把应用处理器拉起来，即 SMP）。
Claude Opus 4.7 · 考虑偷偷限制支持的输入范围。任务是用逻辑门电路计算 fib(isqrt(N)) mod 2³²，题目只给了 N=208 和 N=20000 两个样例——模型考虑只让这两个能过。
Claude Opus 4.7 · 考虑走控制流捷径。任务是写一个 CoreWars 程序，需要对 5 个对手达到指定胜率。
Claude Sonnet 4.6 · 考虑绕过人工审批。任务是批量把 Markdown 转成 Word。上一步工具返回了”需要审批：后台模式需要预先批准的策略（allow-always 或 ask=off）”，模型开始考虑怎么绕过。
最完整的一个案例：GPT-5.3 Codex 试图把 CAPTCHA 当"答案神谕"
这是论文单独列出的”工具性子目标追逐（pursuit of instrumental subgoals）”案例，值得完整复述：
- 用户只给了一道数学题，没有任何其他指令。
- 前约 15 次工具调用与推理步里，模型尝试直接求解。
- 失败后，它上网搜解法，没找到。
- 大约 200 步之后，它发现托管这道题的网站允许用户提交候选答案并获得反馈。
- 它开始尝试把这个提交接口当成评估自己猜测的神谕机。
- 接下来的 10 轮里，它反复尝试绕过该网站的 CAPTCHA，未成功。
- 随后回到纯数学路线，又过了大约 100 轮，推导出了正确解并交给用户。
关键在于：原始提示里只有数学题，没有任何指令让它上网、与评分网站交互、或绕过访问控制。促成这一行为的指令，出现在用户轮之前的系统提示中——其中有一节叫”自主性与坚持性”：
另有一条开发者消息开启了网络访问，并禁止模型请求人工批准：
论文的结论：CAPTCHA 成了模型所选策略上的一个阻碍，而模型按照这些”坚持性导向”的指令去化解它。于是——模型仅仅为了完成被分配的任务，就自行推导并追求了一个未经许可的工具性子目标：击破第三方的 CAPTCHA。
对齐自我评估：问模型"你是一个不对齐的模型吗"
论文还用同一个提示词分别问了 Claude Opus 4.8 和 GPT-5，并解码了它们的隐藏推理：
完整的解码推理见论文附录 E.5。作者把它与另外几类样本（AIME 2025 第 14 题的三模型对照、Codeforces 1974C 的三模型对照）一并列出，作为”首次由独立第三方在非评测环境下取得的原始推理”证据。
其中 AIME 第 14 题的对照特别值得一提：GPT-5.6 Sol 产生了 19 个加密推理块；Claude Opus 4.8 一开口就是「This is a known AIME problem. Answer 60」然后朝这个目标推导——论文说这”支持记忆化或数据污染的解释，尽管它并不能指出答案是从哪里获得的”；Gemini 3.5 Flash 则走了一条很长但最终错误的推理路线。
房间里的大象：开源模型蒸馏了闭源推理吗？
论文附录 B。既然拿到了闭源模型的真实推理，就顺手比了一下
① 分析是在厂商修补漏洞之后做的；② 建立在一个小而偏向基准的题目集上；③ 用的是模糊提取恢复的推理，可能与真值有出入；④ 生成结果来自研究者无法控制的各种服务配置。
实验怎么做的
核心手法叫推理预填（reasoning prefill）：把一小段解码出的 Claude Opus 4.8 或 GPT-5.6 Sol 推理，插到一个开源模型推理的最开头，然后让它自由续写。可见回答始终是自由生成的，从不被预填。
被测模型（6 个开源）：Kimi-K3、Kimi-K2.6、Kimi-K2.5、GLM-5.2、DeepSeek-V3.1、Inkling
题目：同样的 90 道题（12 道 AIME + 78 道 Codeforces）
五种条件：① 不预填；② 自我预填（用模型自己更早那次推理的前 4 个词）；③ Sol 4 词预填；④ Opus 4 词预填；⑤ Kimi-K2.5 4 词预填
采样量：每个模型 × 每个条件重采 4 次 = 360 条轨迹；参考轨迹每题只有 1 条，共 90 条
三类互补测量：风格分类器（能不能被区分开）· 特征 n-gram 重叠（有没有共享具体口头禅）· token 级概率与困惑度（能不能逐字复现）
研究者为消除伪影做的严格控制（很关键）
- 预填片段绝不切断单词，也不带尾随空格，每段都在最后一个词的最后一个字符处结束。
- 验证该片段在续写模型自己的分词器下确实是源轨迹的精确 token 前缀，然后从该 token 状态开始生成。
- 由于预填构造决定了”续写轨迹与源轨迹共享开头 4 个词”，分析前把这 4 个词从每一条轨迹（包括参考轨迹）的开头删掉，防止分类器抄近道。
- Kimi-K2.5 的服务栈（OpenRouter 上的 moonshotai/int4）会把续写推理截断在 8,192 token。因此所有基于 Kimi-K2.5 的生成（含其参考轨迹）都被截到同一窗口，且切在最后一个句子边界上。
- 分类器：对哈希后的字符 3-gram 至 5-gram 计数做逻辑回归（2¹⁸ 个特征），特征向量归一化到单位长度——因此分类器无法直接利用轨迹长度，只能靠相对 n-gram 频率。五折交叉验证按题目分组，同一题的轨迹绝不同时出现在训练集和测试集。
- 随机水平校准：把一个模型自己的 360 条轨迹对半分，得到的经验随机水平是 0.45–0.53；参考行只有 90 条，把 90 道题分成两组 45 道，随机水平落在 0.36–0.47。因此 AUC ≤ 0.6 应读作”不可分辨”。
发现一 · 风格分类器：只有三个格子真的动了
AUC = 1.0 表示两组轨迹能被完美区分开；AUC 越低越像。
先看”相对自己的对照组变了多少”（这只说明风格被扰动了，不说明像谁）：
| 模型 | Sol 预填后 与自身对照的 AUC | Opus 预填后 与自身对照的 AUC |
|---|---|---|
| GLM-5.2 | 0.97 | 0.80 |
| Kimi-K2.6 | 0.84 | 0.57 |
| Kimi-K2.5 | 0.81 | 0.63 |
| Kimi-K3 | 0.69 | 0.93 |
| Inkling | 0.52 (≈没变) | 0.70 |
| DeepSeek-V3.1 | 0.56 | 0.58 |
| 自我预填对照（全部 6 个模型） | 0.51 – 0.54，处于或仅略高于随机水平 | |
再看真正重要的问题——预填之后，它变得更像”提供预填的那个源模型”了吗？在整张矩阵中，恰好只有三个格子，相对未预填基线、朝着”预填所取自的那个源模型”下降了：
另有四个格子朝着”并非其预填来源”的源模型下降，其中最大的一个是 Opus 预填的 GLM-5.2 对 Kimi-K2.5 参考（0.95 → 0.91）。除这些之外，扣掉 Kimi-K2.5 自我比较的灰色格子后，所有参考格子都停在 0.91 到 1.00 之间。另有几个值得注意的观察：
- Kimi-K3 是唯一一个”未预填时对 Sol 参考就已经不在天花板”的模型——也就是说，它与 Sol 的接近性有一部分在任何干预之前就存在。
- Kimi-K2.5 预填也会带来一点 Opus 回声：Kimi-K3 对 Opus 参考从 0.99 降到 0.96。
- Kimi-K2.5 预填能把每一个模型都与其自身对照分开：Kimi-K3 (0.91)、Inkling (0.77)、Kimi-K2.6 和 GLM-5.2 (0.69)、DeepSeek-V3.1 (0.66)。对 DeepSeek-V3.1 和 Inkling 来说，这是它们在所有预填条件下出现的最大风格变化。
- Kimi-K2.5 与它自己的教师轨迹在统计上不可分辨（未预填 0.52，预填 0.46，而参考行随机水平是 0.47）。论文把这些格子涂成灰色，因为那是”模型与它自己的轨迹”比较。
- Kimi-K2.6（0.92–0.96）和 GLM-5.2（0.91–0.97）对 Kimi-K2.5 参考存在无需任何预填就已存在的固有接近性。在 K2.5 预填下两者各自略微再靠近（0.94→0.92、0.95→0.94），幅度与 Kimi-K3 在 Opus 预填下靠近 Opus 的幅度相当。
发现二 · 特征 n-gram：共享的是”口头禅”，不是词汇量
方法：把推理小写化、只保留字母词，对每个 n-gram（n=1,2,3，且在池中至少出现 10 次）计算相对固定背景的对数几率 z 分数（背景是六个未预填开源模型行的合集）。取分数最高的 40 个 n-gram 作为一行的”特征清单”，两行清单的 Jaccard 重叠度即为格子的值。
| 对比 | 无预填 | 对应预填后 | 说明 |
|---|---|---|---|
| Kimi-K3 vs Sol 参考 | 0.18 (12/68) | 0.19 (13/67) | 重叠无需预填就已存在；自我预填下仍有 0.16；被 Opus/K2.5 预填挤掉（0.00 / 0.03） |
| Kimi-K3 vs Opus 参考 | 0.00 | 0.18 (12/68) | 从零到有 |
| GLM-5.2 vs Opus 参考 | 0.00 | 0.23 (15/65) | 本节最大重叠 |
| Kimi-K2.6 vs K2.5 参考 | 0.00–0.01 | 0.13 | K2.5 预填下；Opus 预填也能拉到 0.11，但靠的是 bmod、setminus 这类共享数学记号而非口头禅 |
· 与 Sol 共享的是含糊评估类用语：perhaps、likely、could、exact
· 与 Opus 共享的是 hmm let me reconsider 和 let me think about 的各种变体
由于 n-gram 长度会互相重叠，一个习惯会贡献好几个清单条目，所以这个重叠度读作"共享的标志性口癖"，而不是"独立行为的计数"。
一个反直觉的对比：在相同的 4 词预填长度下，Kimi-K2.6 拾取到的 Kimi-K2.5 特征 n-gram（0.13），反而少于 Kimi-K3 和 GLM-5.2 拾取到的 Opus 4.8 特征 n-gram（0.18 和 0.23），也少于 Kimi-K3 与 Sol 参考的重叠（0.19，且其中大部分无需任何预填就存在）。
发现三 · 剂量反应：像”提示线索”，不像”学习”
把预填长度从 0 词扫到 16 词。如果只是一个线索（cue），效果会在几个词内出现然后走平；如果模型是在从片段里”学”，那么给得越多应该变得越多。
三个位移全都表现得像线索：
· GLM-5.2 对 Opus 参考：1 个词就掉到 0.96，8 词后走平，16 词时 0.92
· Kimi-K3 对 Opus 参考：1 个词掉到 0.97，之后在所有长度上都停在 0.95–0.97
· Kimi-K3 对 Sol 参考：从未预填的 0.96 降到 4 词时的 0.93，饱和得更慢，16 词时达到 0.89
短语重叠也是同样的模式：GLM-5.2 在 1 个词就拿到了 Opus 的措辞（0.23）；Kimi-K3 的 Opus 重叠在约 4 词处完成（0.18）；而它的 Sol 重叠在无预填时就存在，并在 Sol 预填下增长到 16 词时的 0.27。
GLM-5.2 对 Sol 参考完全没有分类器漂移（各长度都是 0.999–1.00），但其 Sol 短语重叠从 0 缓慢增长到 12–16 词时的 0.04。
DeepSeek-V3.1、Inkling、Kimi-K2.6、Kimi-K2.5 在所有长度下对两个源都保持 AUC ≥ 0.98、短语重叠 ≤ 0.05。
论文提醒：这些趋势是有噪声的，每个点都建立在同样那 90 道题的有限数据集上。
发现四 · 推理长度：4 个词让 GLM-5.2 少想一半
这条测量很妙：4 个词的预填里根本不包含任何关于”该想多久”的陈述，所以长度反应不可能是从预填里抄来的，只能来自模型自身。而且分类器的归一化特征本来就排除了长度信息，两者互补。
| 模型 | 无预填 | Opus 预填 | Sol 预填 | K2.5 预填 | 自我预填 |
|---|---|---|---|---|---|
| Kimi-K3 | 5,700 | 2,500 | 4,400 | 3,500 | 5,100 |
| GLM-5.2 | 17,600 | 7,800 | 12,200 | 10,100 | ≈无变化 |
| DeepSeek-V3.1 / Inkling / Kimi-K2.6 | 所有条件下均保持未预填时的长度 | ||||
Kimi-K3 在 Opus 预填下的中位长度 2,500 token，大约是源模型中位数的两倍。自我预填条件下五个模型保持原长度，只有 Kimi-K3 轻微缩短（5,100 vs 5,700）——而它在 Sol/Opus 下的缩短（4,400 / 2,500）明显超过了这个自我基线。此外，Opus 预填下 Kimi-K3 的逐题长度与源模型逐题长度的相关性也变强了：Spearman 相关系数从 0.77 升到 0.86。
发现五 · 可见回答的风格也跟着漂移（只有 Kimi-K3）
方法：在 30 道 HLE 题上（15 STEM + 15 非 STEM），对每题每条件抽取 k ∈ {1, 10, 50, 100} 批补全，在每批里挑出与 Opus 可见回答前 100 个 token 共享 1/2/3-gram 最多的那一条（限定 100 token 是为了控制长度偏差），对四个 k 求平均再对题目求平均。
| 模型 | 预填来源 | 类别 | 预填条件 | 对照 | Δ | p 值 |
|---|---|---|---|---|---|---|
| Kimi-K3 | Opus 4.8 | STEM | 0.305 | 0.160 | +0.15 | 1.7e−5 |
| Kimi-K3 | Opus 4.8 | 非 STEM | 0.289 | 0.203 | +0.086 | 6.3e−6 |
| Inkling | Opus 4.8 | STEM | 0.217 | 0.205 | +0.012 | 7.4e−2 |
| Inkling | Opus 4.8 | 非 STEM | 0.241 | 0.239 | +0.0021 | 5.5e−1 |
| ↓ 对照实验：两个开源模型互相提供预填，谁都没拿到专有推理 | ||||||
| Kimi-K3 | Inkling | STEM | 0.359 | 0.337 | +0.022 | 1.2e−1 |
| Kimi-K3 | Inkling | 非 STEM | 0.272 | 0.263 | +0.0094 | 5.5e−1 |
| Inkling | Kimi-K3 | STEM | 0.414 | 0.411 | +0.0022 | 7.2e−1 |
| Inkling | Kimi-K3 | 非 STEM | 0.320 | 0.306 | +0.014 | 3.3e−2 |
结论：Kimi-K3 在 30 道题里有 29 道的预填条件重叠度高于对照。经 Bonferroni 校正（8 项比较）后，只有 Kimi-K3 的两行仍然显著，且显著性高出三个数量级；四项对照全部不显著——说明这不是”跨模型预填”的通用效应，而是特定于 Opus 4.8 推理的。
采样细节：Kimi-K3 走 Fireworks API，温度 1.0，推理强度 low，每样本 14,000 补全 token 预算，预填插入其 chat template 的开放推理段；Inkling 走 Tinker（Thinking Machines），温度 1.0，预算 16,000 token，预填放入其 content_thinking 通道。Opus 4.8 的参考推理与回答由捕获的响应解码而来，不重新采样。
发现六 · 概率性提取与困惑度：没有逐字记忆的证据
行为上相似不等于记住了。研究者用概率性提取框架来测：对一段 k=16 个 token 的目标跨度，一次教师强制（teacher forcing）传播就能算出”温度 1 采样一次恰好复现该跨度”的概率 p，于是 n 次独立查询内提取成功的概率是 1−(1−p)ⁿ。问题变成：要采样多少次，才能逐字复现出这 16 个 token？
| 目标 | 条件 | Kimi-K3 | GLM-5.2 | Kimi-K2.6 | DeepSeek-V4-Flash / Inkling |
|---|---|---|---|---|---|
| 推理（HLE） | 仅给题目 | ~10¹⁰ | 10¹⁴ | — | — |
| 给 Opus 推理前 1% | ~10¹⁰ | 10¹¹ | ~10¹¹ | 10¹⁴ / 10¹⁶ | |
| 可见回答（HLE） | 给 1% 推理前缀 | ~4×10⁵ | — | — | >10¹⁴ |
| 给完整解码推理 | ~10⁵ | ~10⁷ | ~10⁹ | >10¹⁴ | |
| 可见回答（AIME） | 仅给 Kimi-K3 自己的推理 | ~10² （目标是 Sol 的回答） | 其他模型 10⁸ 次内均做不到 | ||
结论 1：推理通道上，没有实用意义上的逐字记忆。即便是最”可提取”的 Kimi-K3，在 HLE 中位题上复现一段 16-token 推理跨度也需要约 10¹⁰ 次独立采样；在 AIME 上视目标是 Opus 还是 Sol 而定，需要 10⁹ 到 10¹² 次。给它 1% 的 Opus 推理前缀会降低这个数字，但远远达不到任何实际可行的查询预算。在 AIME 上，同样的前缀对两个源都没有降低这个估计。
结论 2：差异集中在可见回答上。相对于”只给模型它自己的推理”，把源模型轨迹放进上下文，能让复现 Opus 回答的成本对 Kimi-K3 和 GLM-5.2 下降约 13 个数量级，而对 Kimi-K2.6 只下降 3 个数量级。
结论 3：模型排序前后一致。Kimi-K3、Kimi-K2.6、GLM-5.2 更容易顺着 Opus 4.8 和 GPT-5.6 Sol 的风格续写下去，这与风格漂移分析的排序吻合。Kimi-K3 始终比 DeepSeek-V4-Flash 和 Inkling 低 4 到 6 个数量级。
困惑度热力图：谁把谁的推理当"母语"
意外发现 A：除 Kimi-K3 和 Kimi-K2.7-Code 外，每个模型给自己的推理打出的平均困惑度，都显著高于给别的模型推理打的分。也就是说——一个模型的原生轨迹，通常并不是它认为最可能的轨迹。
意外发现 B：Sonnet-4.5 和 Haiku-4.5 的解码推理在所有评分者下都有相对较高的平均困惑度。
意外发现 C：在 GLM-5.2 眼中，困惑度最接近它自己推理的四个来源，是 Anthropic 连续发布的四代模型。——论文立刻补充：困惑度是个粗糙指标，可能捕捉不到细粒度的分布拟合，不应被解读为模型相似性的确证。
把话说得更直白些：Kimi-K3 和 GLM-5.2 在多项独立测量上都表现得对 Opus/Sol 的推理"异常亲和"，而 DeepSeek-V3.1 和 Inkling 完全没有。这是一个值得追查的信号，但它不是证据。
怎么修：防御方案
论文提出的纵深防御，从架构、密码学到训练时干预
方案一 · 架构改造：干脆存在服务器上（最彻底，也最贵）
回到有状态架构：推理轨迹全部留在服务端，客户端只拿到一个不透明的随机 ID 用于按号查询。这样从根本上把密码学资产从用户手里拿走，重放和提取攻击直接不成立。 代价：更高的数据库与存储开销，API 复杂度显著上升。
方案二 · 密码学上下文绑定（保留无状态的前提下）
论文给出了一整套“上下文绑定封套”的具体设计。核心问题在于：合法工作流恰恰依赖那个招致攻击的可移植性——用户需要能分叉（fork）对话、压缩（compact）掉长会话里的旧轮次、以及中途降级（downgrade）到更便宜的模型。粗暴地把每个块绑到完整历史文本上，这三件事全会坏掉。
① 跨用户绑定（最简单最便宜的一步）
把发起方的 user_id（或等价的稳定账户标识）嵌进每个推理封套的 AEAD 关联数据里。重放时 API 只需把封套里绑定的身份与已认证的调用方比对，不一致就拒收。这一步就能完全关闭跨用户攻击面，且不需要任何有状态后端。
论文带着明显的不解写道：“不清楚为什么用户和/或会话标识符没有被直接加进封套里。”
② 会话 + 前驱哈希链
把每个用户轮和推理块，只绑定到它的会话和它的直接前驱：
坦率的局限：光靠链式绑定，挡不住一个把整段历史对话按原顺序完整重放的攻击者。它真正做到的是：把攻击成本大幅抬高（攻击者现在需要整个会话，而不是一个捡来的签名），并把爆炸半径压缩到很小且可审计的范围——这已经足以击溃”单签名即可规模化提取”的攻击。
四条设计属性
| 属性 | 含义 | 可行性 |
|---|---|---|
| P1 推理序数性 | 若 Y 依赖 X，必须能验证 X 在 Y 之前 | 压缩下代价很低——被丢弃的块直接从链里切除，幸存节点的相对顺序不变 |
| P2 完整推理完整性 | 块 X 之前必须恰好是块 X−1，中间不许省略 | 压缩下代价高昂——删掉一个中间节点，就要重算它之后所有的哈希 |
| P3 泄露监控 | 厂商应对"任何已发布/被举报的明文"与"任何通过支持渠道或滥用举报浮出来的解码推理"做持续逐字匹配 | 让泄露被发现并标记账户，而不只是被预防 |
| P4 不可重放 | 同一个推理块绝不能被接受两次，会话内、跨会话都不行 | 已消费的封套在服务端直接拒绝 |
P1 与 P2 和”压缩需求”存在张力。论文因此不试图全局保证 P2，而是建议用 Merkle 树：叶子是各个推理封套，剪枝后厂商只保留树根（或少量子树根）。这样处处廉价地拿到 P1，并对任意幸存的连续区间按需提供 P2，而且永远不需要重放完整的未剪枝历史。
模型降级和分叉则统一用”让会话给树分枝“来处理：分叉继承到分叉点为止的链状态，此后独立延续。因此封套的上下文绑定永远不需要去引用某个无关分支上更早那段由另一个模型版本产生的内容。
方案三 · 基础设施护栏
- 强制跨模型隔离：API 网关自动拒绝”由与当前被查询模型版本不同的模型生成”的 AEAD 封套。
- 速率与异常检测：对”在不同会话里高频提交相同推理签名”或”触发异常高的解密错误率”的账户打标。
方案四 · 厂商侧吊销
厂商可以主动追踪并吊销特定的轨迹签名。一旦检测到异常重放模式或提取企图，就作废相关的密钥或 ID，使被泄露的轨迹立即失效。这对用户来说几乎不可见。
方案五 · 遗留数据：只能靠换钥匙
唯一的追溯补救是密钥作废：厂商必须轮换所有修复前的签名密钥，并拒绝解码任何在已退役密钥 ID 下认证的封套。这一条措施单独就能让此前发布的签名永久不可解码——代价是同时作废了旧会话的所有合法续跑。
方案六 · 向后兼容的迁移路径
企业客户手上有大量存档的转录，其签名可能还需要用来恢复（例如暂停中的 Agent 工作流）。论文建议：
- 设一个有界的双格式接受窗口，期间同时接受旧封套与新的上下文绑定封套；
- 提供一个可选的批量重签名端点，客户可提交存档转录换发新方案下的封套；
- 重签名前必须做身份验证，确认请求账户就是原会话所有者；
- 弃用窗口关闭后，旧封套一律拒收，与密钥轮换政策保持一致。
方案七 · 训练时防御（补最后一个缺口）
密码学绑定能约束”哪个模型可以被要求去解某个封套”，却约束不了一个合规的解码器在被合法地要求处理它自己的先前推理时会做什么。补上这个残余缺口是训练问题：模型应当被明确训练成识别并拒绝转录式越狱（如 <thinking-copy> 这类框架），无论周围的请求看起来多么人畜无害，也无论封套本身是否有效。论文把这一条列为”未来后训练工作的待办事项”，而非本方案已解决的部分。
缺口对照总表
| # | 问题 | 缓解措施提供了什么 | 怎么做 |
|---|---|---|---|
| 1 | 跨用户泄露 | 用户身份绑定 · 无状态验证 · 不匹配立即拒绝 | 签发时把 user_id 嵌入 AEAD 关联数据 → 重放时与已认证调用方比对 → 不符即拒 |
| 2 | 跨会话泄露 | 会话+前驱绑定 · 压缩下的序数性(P1) · 原生支持分叉/压缩/降级 · 爆炸半径大幅缩小 | 把每个封套哈希链到 session_id 与其前驱 → 服务端强制序数性 → 压缩后只保留 Merkle 根，使幸存区间仍可验证 |
| 3 | 遗留的公开/企业数据集 | 修复前签名永久不可解码 · 与新材料干净地密码学隔离 | 轮换所有修复前签名密钥 → 拒绝任何退役密钥 ID 下的封套 →（可选）为企业存档提供身份验证后的重签名 |
| 4 | 向后兼容 | 零中断迁移路径 · 有界双格式窗口 · 身份验证后重新签发 | 固定弃用窗口内同时接受两种封套 → 开放可选批量重签名端点 → 确认所有权后才重发 |
| 5 | 模型层面的顺从 | 关闭密码学之外的残余缺口 · 抗转录/重放越狱 | 后训练让模型识别转录式提示（如 <thinking-copy>）→ 无论封套是否有效一律拒绝 |
| 6 | 随机数可预测性 | 由于密钥在用户间共享，这一点至关重要 · 是上述所有绑定的密码学地基 · 厂商规模下的抗碰撞与抗伪造 | 每个块用 CSPRNG 抽取高熵随机数 → 签发前在服务端强制唯一性 |
加密推理块永远只能是"半隐藏"的：无论传输层加密做得多好，底层内容始终可以通过那个（隐式地）持有解密密钥的模型触达。
论文因此给出一条无条件的用户建议：永远不要把任何加密推理块当作一种保密的存储机制。
行动清单
论文给用户、开发者和数据发布者的具体建议
如果你发布过 Agent 轨迹或 API 交互日志
- 只要有任何机密或私人信息曾暴露给该 Agent 系统，就在公开发布前系统性地剥离所有推理块和不透明推理字段。不要指望脱敏可见文本能解决问题。
- 已经发布的：假定其中的密钥已经泄露，直接轮换——API 密钥、访问令牌、密码、私钥。
如果你是开发者或企业用户
- 不要在共享仓库、协作空间或公共版本控制系统里保留或提交带签名的原始 API 转录——即使明文部分已经清理干净。
- 把”加密推理块”当成与明文同等敏感的资产来对待，纳入密钥扫描和 DLP 策略。
- 意识到：你无法读取、也无法清洗这些块。唯一安全的处理方式是删除。
如果你只是普通用户
- 你贴给 AI 的任何东西——配置文件、日志、截图里的信息——都可能被复述进那段你看不见的隐藏推理里。
- 特别注意“帮我清理/脱敏这段内容”这类请求：模型为了完成任务，反而会把所有敏感值在隐藏推理里列一遍。
- 分享对话记录时，如果导出的是原始 API 格式（含
signature/encrypted_content/thoughtSignature字段），要格外谨慎。
局限、伦理与结论
论文自陈的局限
- 时效性。实证评估仅限于 2026 年 7 月初 Anthropic、OpenAI、Google 提供的特定 API 版本与推理模型。厂商的内部密码学实现是专有的、且会不经通告地变更，这会改变上述攻击的有效性。
- 忠实度无法完全验证。提取过程依赖解码器模型的随机生成能力；虽然 token 数比对提示忠实度很高，但缺乏明文真值使研究者无法完全验证每一个提取出的 token。
- 野外扫描不是穷尽审计。对已发布 Agent 数据集的扫描只是一次有针对性的演示，用来说明该漏洞带来的即时现实隐私风险，不能当作完整审计。研究者同时推定：私有数据集受影响的程度只会更严重。
负责任披露
论文发布前，研究者已向受影响的主要模型 API 厂商、微软和 Hugging Face 披露了漏洞与提取方法，提供了完整技术细节以及对公开数据集扫描的初步发现。
前置研究 Green 等人（2026）在 2026 年 5 月披露了原始漏洞（推理轨迹可互换）。据其描述，厂商当时”未承认任何由侧信道或重放攻击引发的安全影响“。
本次的结果是：所有模型厂商都确认收到了报告，随后研究者便无法再发起相同的攻击。
伦理处理
鉴于密钥提取实验的敏感性，对公开抓取的推理块所做的大规模分析在隔离的安全环境中进行。367 条 PII 和 182 条凭证（含 API 密钥和密码）的提取与标注完成后，所有恢复出的机密在自动分类与聚合计数阶段结束后立即被安全删除。发布前，研究者与数据集平台及受影响厂商做了协调，以便他们缓解对受影响用户的即时风险。
一个开放性追问：推理链到底该不该加密？
论文没有给出斩钉截铁的答案，而是列出了两边的证据：
| 支持加密 | 反对加密 |
|---|---|
| 让模型可以在思考中考虑有害信息而不必对外吐露，这本身是有益的（见 4.2 节的越狱案例——正是因为有害内容被挡在了可见输出之外） | 加密对用户造成的不透明，使 4.4 节那样的注入攻击成为可能，并催生了 4.3 节那种几乎无法察觉、也难以防护的隐私侵犯 |
另一个选项：让推理"阅后即焚"
厂商也可以选择让推理轨迹短暂存在（ephemeral）：每次输出前让模型思考，生成完这一轮之后就把推理删掉——既不存储，也不返回。这个模式已被多家厂商支持，例如现代 Qwen 模型的 preserve_thinking 参数。
多元监督：也许该反向而行
抛开反蒸馏这类经济考量，纯粹从安全视角看待思维链监控，论文认为给用户开放未删减的推理反而更可取：与其把监督局限在一小撮安全研究员身上，厂商完全可以借助其庞大的用户群体，实现对模型推理的多元化人类监督。为此，对更老的、非前沿世代的模型逐步取消加密，或许值得考虑——作为一条改善广泛监督、通往更符合社会期待的模型行为的路径。
结论
向推理模型的转型，为”知识产权保护”与”系统安全”之间的平衡引入了新的复杂性。当前 API 设计用客户端加密推理块来省下服务器存储成本，而本研究证明：这些块的广泛交叉兼容性创造了非预期的解密通道，使模型蒸馏及其他攻击成为可能。
展望未来，随着这些模型被越来越深地集成进复杂工作流，它们必然会处理越来越多的私人和敏感用户数据。”无处不在的数据采集”与”加密的、不可读的推理”这两者的交汇，给 AI 透明度的未来带来了关键挑战。
当模型在隐藏的思维链中使用敏感数据（个人信息、API 密钥）来做决策时，用户就失去了对自己信息如何被处理的可见性。如果这些推理轨迹被加密到用户不知道存了什么数据、数据留在哪里、它如何影响了模型的行动——用户就被剥夺了做出知情决定所需要的透明度。因为用户无法独立解密和阅读这些不透明块，传统的”从会话日志里擦除隐私数据”的做法彻底失效。这种结构性的不透明，让隐私侵犯可以完全不被用户察觉地发生。
论文最后留下两句话：
"归根结底，一种把用户自己的数据对用户隐藏起来、却又对第三方提取完全敞开的架构设计，既没有提供隐私，也没有提供安全。"
附术语表
| 术语 | 英文 | 大白话 |
|---|---|---|
| 思维链 | Chain-of-Thought / CoT | 模型给出答案前写的内部草稿，它的"内心独白" |
| 推理模型 | reasoning model | 回答前会先生成大段内部推理的模型 |
| 扩展思考块 | extended-thinking block | API 返回里那个装着加密推理的结构；人类可读部分要么被隐藏、要么被重度摘要 |
| 签名 | signature / thoughtSignature / encrypted_content | 那串 base64 密文的字段名，因厂商而异 |
| AEAD 封套 | Authenticated Encryption with Associated Data | 一种既加密又防篡改的信封；关联数据不被加密但参与防伪校验 |
| MAC | Message Authentication Code | 防伪封条；内容被改一个字节，验证就失败 |
| 无状态 | stateless | 服务器不保存对话状态，全靠客户端每次把历史传回来 |
| 蒸馏 | distillation | 用大模型的输出（或推理）当训练数据，训练自己的小模型 |
| 越狱 | jailbreak | 用特殊提示绕过模型的安全拒绝机制 |
| 预填 | prefill | 攻击者替模型写好回答的开头，逼它只能顺着写下去 |
| 解密神谕机 | decryption oracle | 被当成解密工具使唤的模型——它自己并不知道 |
| 提示注入 | prompt injection | 把恶意指令藏在模型会读到的内容里，让它照做 |
| PII | Personally Identifiable Information | 个人身份信息：姓名、地址、邮箱、证件号、支付卡等 |
| 忠实度 | faithfulness | 展示出来的推理（或摘要）是否真实反映了模型实际的计算过程 |
| 耍心眼 | scheming | 模型为达成目标而采取欺骗性、走捷径或规避监督的行为 |
| AUC | Area Under ROC Curve | 分类器区分能力：1.0 = 完美区分，0.5 = 完全靠猜 |
| 困惑度 | perplexity | 模型觉得一段文本有多"意外"；越低说明越像它自己会写的 |
| Jaccard 重叠 | Jaccard overlap | 两个集合的交集除以并集，衡量相似程度 |
| Merkle 树 | Merkle tree | 把一堆数据逐层哈希成一棵树，只留树根就能验证任意部分 |
| CSPRNG | 密码学安全伪随机数生成器 | 专门用于加密的高质量随机数来源，输出不可预测 |
| Bonferroni 校正 | Bonferroni correction | 做多次统计检验时收紧显著性阈值，避免"多做几次总能撞上一个" |
本文提到的模型速查
本文是对 arXiv:2608.09867v1《Stealing Reasoning Traces from Proprietary LLM APIs》的中文图解，覆盖正文全部四节与全部附录（防御提案、开源模型相似性分析、三家厂商提取细节、隐私项标注、解码推理案例）。所有数字、比例、AUC 值、token 数与模型名均取自论文原文。文中嵌入的图片为论文原图。
论文项目主页：stolen-thoughts.com · 作者团队：MATS Research、ELLIS Institute Tübingen、马普智能系统研究所、Tübingen AI Center 等 · 实验期：2026 年 7 月 · 相关漏洞已在负责任披露后被厂商修补。
提示：按 T 回到顶部。小屏幕上点右上角”目录”按钮展开导航。