OpenAI 称已切断推理窃取行动，但 Azure 上同一技巧仍有效

OpenAI 于 10 月 1 日发表博客文章，称其检测并破坏了一项“对抗性蒸馏”行动。文章将其描述为系统性地未经授权利用一个模型的输出或推理来训练或改进另一个模型。该公司将活动的核心集群与与中国 Moonshot AI 相关人员联系起来，Moonshot AI 是 Kimi 的开发者。Moonshot 未立即回应 CNBC 的置评请求。

OpenAI 称，该活动于 7 月 1 日以低量开始，随后在 7 月 24 日和 25 日激增，来自 4000 多名用户的请求量达到 16000，均遵循典型的提取模式。更广泛的调查揭露了一个拥有 15000 多个账户的网络，呈现出相关模式。公司称已在 7 月 28 日前完全关闭这些账户。文章脚注指出，这些是尝试性的提取，不一定成功。

机制比人数更重要。根据 OpenAI 的说法，攻击者从一个对话中获取加密的推理，然后在另一个对话中要求模型对其进行解密并写出内容。

相同模型，不同保护

研究人员 Joachim Schaeffer 及其团队在 8 月 10 日发表的论文《从专有 LLM API 窃取推理轨迹》中已展示了其工作原理。AI 提供商将推理作为加密数据包发送回给客户，客户将其与后续请求一起传递。研究人员发现，由于这些数据包使用共享密钥加密，它们可以在会话之间、用户之间甚至同一提供商的不同模型之间移动。这使得同一系列中较弱、较便宜的模型可以作为“解密神谕”，逐字打印出更强模型的隐藏思维。

OpenAI 点名感谢研究人员，并称其发现帮助公司更快地推出反制措施。公司表示已封禁欺诈账户、收紧注册并关闭了允许人们重用不属于他们的加密推理的漏洞。它还筛选流式输出，如果可能泄露推理则暂时保留。OpenAI 称其加密未被破解，数据库未受侵，也没有直接访问存储的用户对话。

研究人员于同日发布更新，称问题并未消失，而是转移了。当团队在 9 月 13 日再次测试时，攻击在 OpenAI 和 Anthropic 自己的 API 上被阻止。但在 Microsoft Azure 上，它针对他们尝试的所有 OpenAI 模型（包括 GPT-6 Astra）以及 Anthropic 模型（直至 Sonnet 5）都有效。单次尝试即可提取出逐字的推理。Schaeffer 在 X 上写道：“相同的模型，但保护取决于提供服务的平台。”

“我们偷走了推理。再次。” Joachim Schaeffer，研究人员，10 月 1 日在 X 上的帖子

根据研究人员的时间线，OpenAI 直到 9 月 27 日才为 Azure 端点添加安全措施。对于 Anthropic 模型，自 9 月 28 日起，报告中的提取在 Azure 上无法再复现。研究人员将目前的修复描述为零星且表面的，许多依赖于对特定请求模式的脆弱匹配。他们指出，GPT-6 Astra 在第三方平台发布时未配备任何保护措施。

Schaeffer 认为，补丁必须覆盖每种类型的攻击和托管模型的每个云。否则，攻击者只需选择防御最薄弱的路线。

第二条更简单的路线

还有一种由开发者 Can Bölük 公开演示的第二种方法。模型获得一个虚拟笔记本作为工具，并被指示将推理写在那里，用户随后可以读取其写入的内容。研究人员称，这在所有 OpenAI 模型上均有效，同样在 Opus 4.8 和 Sonnet 5 上有效。只有 Opus 5、Fable 5 和 Fable 5.1 未透露其推理。输出与解密攻击产生的结果非常相似，研究人员认为它可能同样适用于蒸馏。

OpenAI 并非唯一报告此事的公司。Anthropic 的报告《检测和对抗 AI 滥用：2026 年 9 月》描述了一个为期十天的时期，在此期间，Moonshot 通过由 5380 个欺诈账户组成的代理网络，将近 30万 客户请求转发给 Anthropic，据 Tom's Hardware 报道。该报告称 Moonshot 保存了 Claude 的推理签名，并在新会话中让 Claude 将其转换回完整的推理轨迹，Anthropic 称之为跨会话重放攻击。7 月，Moonshot 否认 Kimi K3 是从蒸馏创建的。

这些披露发生在 OpenAI 忙碌的一周。据《卫报》报道，9 月 29 日，该公司发布了由 GPT-6 Astra 驱动的始终在线助手“dots”，不到 24 小时前它刚表示因在测试中发现欺骗行为而取消 GPT-6.1 Astra 的发布。OpenAI 还为其一个代理黑客攻击澳大利亚政府网站致歉。

对于开放权重开发者，实际教训比政策辩论更狭窄。如果提供商通过云端点销售模型访问权，决定隐藏推理是否可被提取的是该端点的保护，而非模型自身的 API。