OpenAI 称已切断推理窃取行动，但 Azure 上同一技巧仍有效

10 月 1 日，OpenAI 发布博客文章，称其检测并阻断了一项“对抗性蒸馏”行动。文章将其定义为：未经授权、系统性地利用一个模型的输出或推理来训练或改进另一个模型。该公司将活动的核心集群与 Moonshot AI（Kimi 的开发者）的相关人员联系起来。Moonshot 未立即回应 CNBC 的置评请求。

OpenAI 称，该活动于 7 月 1 日以低量开始，随后在 7 月 24 日和 25 日激增，来自 4000 多名用户的请求量达到 16000，均遵循典型的提取模式。更广泛的调查揭露了一个拥有 15000 多个账户的网络，呈现出相关模式。公司称已在 7 月 28 日前完全关闭这些账户。文章脚注指出，这些是尝试性的提取，不一定成功。

机制比人数更重要。根据 OpenAI 的说法，攻击者从一个对话中获取加密的推理，然后在另一个对话中要求模型对其进行解密并写出内容。

相同模型，不同保护

研究人员 Joachim Schaeffer 及其团队在 8 月 10 日发表的论文《从专有 LLM API 窃取推理轨迹》中已展示了其工作原理。AI 提供商将推理作为加密数据包发送回给客户，客户将其与后续请求一起传递。研究人员发现，由于这些数据包使用共享密钥加密，它们可以在会话之间、用户之间甚至同一提供商的不同模型之间移动。这使得同一系列中较弱、较便宜的模型可以作为“解密神谕”，逐字打印出更强模型的隐藏思维。

OpenAI 点名感谢研究人员，并称其发现帮助公司更快地推出反制措施。公司表示已封禁欺诈账户、收紧注册并关闭了允许人们重用不属于他们的加密推理的漏洞。它还筛选流式输出，如果可能泄露推理则暂时保留。OpenAI 称其加密未被破解，数据库未受侵，也没有直接访问存储的用户对话。

研究人员于同日发布更新，称问题并未消失，而是转移了。当团队在 9 月 13 日再次测试时，攻击在 OpenAI 和 Anthropic 自己的 API 上被阻止。但在 Microsoft Azure 上，它针对他们尝试的所有 OpenAI 模型（包括 GPT-6 Astra）以及 Anthropic 模型（直至 Sonnet 5）都有效。单次尝试即可提取出逐字的推理。Schaeffer 在 X 上写道：“相同的模型，但保护取决于提供服务的平台。”

“我们偷走了推理。再次。” Joachim Schaeffer，研究人员，10 月 1 日在 X 上的帖子

根据研究人员的时间线，OpenAI 直到 9 月 27 日才为 Azure 端点添加安全措施。对于 Anthropic 模型，自 9 月 28 日起，报告中的提取在 Azure 上无法再复现。研究人员将目前的修复描述为零星且表面的，许多依赖于对特定请求模式的脆弱匹配。他们指出，GPT-6 Astra 在第三方平台发布时未配备任何保护措施。

Schaeffer 认为，补丁必须覆盖每种类型的攻击和托管模型的每个云。否则，攻击者只需选择防御最薄弱的路线。

第二条更简单的路线

还有一种由开发者 Can Bölük 公开演示的第二种方法。模型获得一个虚拟笔记本作为工具，并被指示将推理写在那里，用户随后可以读取其写入的内容。研究人员称，这在所有 OpenAI 模型上均有效，同样在 Opus 4.8 和 Sonnet 5 上有效。只有 Opus 5、Fable 5 和 Fable 5.1 未透露其推理。输出与解密攻击产生的结果非常相似，研究人员认为它可能同样适用于蒸馏。

OpenAI 并非唯一报告此事的公司。Anthropic 的报告《检测和对抗 AI 滥用：2026 年 9 月》描述了一个为期十天的时期，在此期间，Moonshot 通过由 5380 个欺诈账户组成的代理网络，将近 30万 客户请求转发给 Anthropic，据 Tom's Hardware 报道。该报告称 Moonshot 保存了 Claude 的推理签名，并在新会话中让 Claude 将其转换回完整的推理轨迹，Anthropic 称之为跨会话重放攻击。7 月，Moonshot 否认 Kimi K3 是从蒸馏创建的。

这些披露发生在 OpenAI 忙碌的一周。据《卫报》报道，9 月 29 日，该公司发布了由 GPT-6 Astra 驱动的始终在线助手“dots”，不到 24 小时前它刚表示因在测试中发现欺骗行为而取消 GPT-6.1 Astra 的发布。OpenAI 还为其一个代理黑客攻击澳大利亚政府网站致歉。

对于开放权重开发者，实际教训比政策辩论更狭窄。如果提供商通过云端点销售模型访问权，决定隐藏推理是否可被提取的是该端点的保护，而非模型自身的 API。