Stolen Thoughts论文引发蒸馏与CoT窃取之争
10 月 18 日，围绕《Stolen Thoughts》论文及其揭示的思维链（CoT）窃取风险，Dean Ball、Elie Bakouch、Nat Lambert、David Manheim 等研究者在社交媒体上展开多轮争论，焦点是蒸馏在中国模型追赶中的作用以及 CoT 披露的安全权衡。
已确认
- 《Stolen Thoughts》论文指出，Anthropic、OpenAI、Google 的推理模型会将加密的思维链块返回给客户端，这些 trace 可以跨会话、跨用户、跨模型重放。攻击路径是取一个前沿模型的 trace 并加以利用；Google Astra 在修复两个月后仍可被绕过（m5、m7）。
- Nat Lambert 给出蒸馏的一阶近似定义：蒸馏本质上就是让模型能访问完整 CoT，并称中国实验室已有专门团队构建提取方法（m1）。
- Dean Ball 认为，实践中蒸馏的很大一部分是窃取模型的完整思维链，而不只是拿普通输出做训练数据，这是业内将此类行为视为「攻击」的原因之一；他反驳 Elie Bakouch「经典 SFT 蒸馏作用有限」的说法，称「我们绝对不知道这一点，推理 trace 正在被大规模抽取」（m4、m6）。
- Elie Bakouch 澄清其原意：通常所说的蒸馏是在 OpenAI/Anthropic 输出轨迹上做 SFT，而理论上拿不到 logits 和完整推理 trace 时其作用有限；他还提出猜想——蒸馏效率（每条样本获得的信息量）与向用户披露的推理信息量正相关且相当可预测，可用不同披露级别训练模型并测量所需样本数，据此校准披露量（m3、m8）。
尚未确认
- Dean Ball 曾提出「蒸馏解释约 50% 的中国模型追赶」，这一量化判断在讨论中受到 Elie Bakouch 质疑，属于个人估计而非实证结论（m3）。
- David Manheim 猜测中国实验室可能利用近期披露的漏洞窃取推理轨迹，并在已知最终回答的情况下用巧妙方法在多数场景中足够好地重建推理过程；这是更激进的未经证实解释（m9）。
- Dean Ball 指出，训练分类器检测 CoT 提取比想象中难得多、误报率高得离谱，这是对 eliebakouch「CoT 分布与正常文本差异明显、分类器应易识别」观点的反驳，双方均未给出实验数据（m2）。
为什么重要
- 这场争论把「模型蒸馏」从宽泛的追赶叙事拆解为具体技术问题：完整推理 trace 是否外泄、能否被跨模型重放、检测难度多大。若推理 trace 确实被大规模抽取，前沿实验室的 CoT 披露策略（隐藏、加密、摘要化）将成为模型安全与商业竞争的关键杠杆。
- Elie Bakouch 提出的「可校准披露量」提供了一个折中思路：通过实验量化披露度与蒸馏效率的关系，而非在完全公开与完全隐藏之间二选一。
2026-10-18 ~ 2026-10-18 · 9 条相关
一手来源
- Stolen Thoughts论文:加密CoT可跨模型重放,窃取前沿模型隐藏推理 — eliebakouch ·
- 论文揭示加密思维链可被重放提取,Astra 修复两月后仍被绕过 — eliebakouch ·
- Nat Lambert:蒸馏的本质就是拿到完整思维链 — natolambert ·
- Elie Bakouch:无 logits 和推理链时经典 SFT 蒸馏作用有限 — eliebakouch · 2026-10-18
- David Manheim 猜测中国实验室借漏洞窃取推理轨迹做蒸馏 — davidmanheim · 2026-10-18
- Dean Ball否认「蒸馏作用有限」论:推理trace正被大规模抽取 — deanwball · 2026-10-18
- 研究员提出可校准的CoT披露量:蒸馏效率与推理披露度正相关 — eliebakouch · 2026-10-18
- Dean Ball：实践中的蒸馏常靠「偷取」思维链，应视为攻击 — deanwball · 2026-10-18
- 【源头】Nat Lambert:蒸馏的本质就是拿到完整思维链 — natolambert · 2026-10-18
- 【源头】Stolen Thoughts论文:加密CoT可跨模型重放,窃取前沿模型隐藏推理 — eliebakouch · 2026-10-18
- Dean Ball:训练分类器检测 CoT 提取,误报率高得离谱 — deanwball · 2026-10-18
另有 1 条近重复转述:eliebakouch