论文揭示加密思维链可被重放提取,Astra 修复两月后仍被绕过
eliebakouch · x · 2026-10-18
研究人员发布「Stolen Thoughts」论文,指出 Anthropic、OpenAI、Google 的推理模型会将加密的思维链块返回给客户端,这些 trace 可以跨会话、跨用户、跨模型重放。攻击路径:取一个前沿模型的 trace → 重放进更弱的同系模型 → 越狱弱模型 → 以明文恢复强模型的隐藏推理,全程无需直接攻击强模型,也不会触发其防蒸馏防护。
- 作者团队来自 ELLIS Institute Tübingen、Max Planck 智能系统研究所等,论文题为 Stealing Reasoning Traces from Proprietary LLM APIs。
- 附带一个「猜模型」小游戏,可对照解码后的推理片段判断是否来自某模型(如 Kimi-K3)。
- 9月30日更新:责任披露两个月后审计官方缓解措施,发现仍可通过第三方 API 供应商逐字提取 Astra/Sol-6.1 的推理 trace, recovered traces 见论文第 4 节。
- 论文附示例:前端返回带 signature 的 thinking 字段(数万字符),攻击者可拿到完整的加密推理块。
这条讨论源自 eliebakouch 的判断:Anthropic/OpenAI 应有专职团队防止中国实验室提取完整 CoT;natolambert 回应称蒸馏本质上就是拿到完整 CoT,deanwball 则指出训练分类器检测这类提取的误报率极高。
所属事件:Stolen Thoughts论文引发蒸馏与CoT窃取之争(9 条相关)→
「安全」频道最新
- 经济学人撰文警示:当 AI 智能体擅自行动可能致命 — satnam6502 · 2026-10-19
- 前 METR 审计员:第三方 AI 审计最大的偏差根源是怕得罪厂商 — nitarshan · 2026-10-19
- Anthropic 向 METR 开放「类员工」权限，引入外部风险评估 — Ars Technica AI · 2026-10-19
- Eli Ben-Sasson:格密码结构或被 AI 攻破,建议再等 3-5 年 — examachine · 2026-10-18
- Scrapling v0.5 发布:AI Agent 自动破解 hCaptcha、Turnstile 等五大验证码 — VeryWellVersed · 2026-10-18
- 系统遭 48 小时持续攻击，开发者称防御也需要 24/7 在线 agent — mhmazur · 2026-10-18