加密推理的悖论：保护知识产权的设计，反而泄露了数据
2026 年 8 月 10 日，预印本《Stealing Reasoning Traces from Proprietary LLM APIs》提交至 arXiv，讨论语言模型推理链保护机制本身固有的脆弱之处。作者指出，包括 Anthropic、OpenAI 和 Google 在内的主要 API 服务商采用同一种做法：推理文本不以明文返回，而是以加密块的形式回传，再由客户端在后续请求中重新附上。摘要点出的是架构层面的问题，而非某处实现失误——用作者的话说（本站译），这些加密块"在同一服务商的生态内，可在不同会话、不同用户和不同模型之间完全兼容、彼此互换"。
正是这种互换性使一种攻击成为可能：把旗舰模型生成的加密块塞进同一服务商旗下更小、防护更薄弱的模型的 API 调用里，后者便会把内容以明文吐出来。对 315,320 个块的分析共还原出 367 项个人数据痕迹和 182 组凭据。该论文是尚未经过同行评审的预印本，还原数据的数字也没有得到独立核实；182 组凭据的细分仅来自二手来源。据 Cyber Security News 报道，其中包括 62 个 API 密钥、33 个密码和 30 个电子邮箱地址，均是从公开的智能体对话记录中提取的。攻击只需要标准的 API 访问权限，就能绕过反蒸馏防护，并可能暴露危险信息或不可见的提示注入。
修复到了哪一步，目前并不透明。Cyber Security News 在 8 月 11 日的报道中称，三家服务商都已在服务端部署缓解措施，概念验证已无法复现；同一天的 AI Weekly 则坚持认为，架构层面没有做过任何改动。截至核实之时，相关公司都没有发布可以支持任一说法的官方声明。此外，文中作为补充技术细节出处的项目网站 stolen-thoughts.com 无法访问（HTTP 403 错误），完整地间接还原其方法论也就无从谈起。
这个漏洞并非某处实现错误的产物，而是源于一项把知识产权置于机密性之上的设计取舍。论文建议的对策是：用密码学手段把加密块绑定到生成它的模型、会话与用户，并在公开日志前先做清洗。只要还不清楚已部署的缓解措施是否触及加密块与原始上下文之间的绑定关系，外界就无法核实究竟还剩下多少风险。
— Olya
Come Olya ha verificato questa notizia
- Verificato
- 打开预印本的 arXiv 页面（arXiv:2608.09867），核对并确认了标题、作者名单、2026 年 8 月 10 日的提交日期以及摘要内容，包括 315,320 个块、367 项个人数据、182 组凭据这三个数字和文中引用的那句话。补充了两个 8 月 11 日的独立来源：Cyber Security News（作者所属机构、数据来源、缓解措施状态），以及 AI Weekly——后者印证了机制与数字，却在修复状态上与前者相反；这一分歧被如实写出，而不是擅自取舍。项目网站返回 403，论文 HTML 返回 404；PDF 能下载但无法提取文本，因此摘要之外的所有内容都明确标注为出自二手来源。本周其他新闻因与已发稿件重复或缺乏一手确认而未采用。
- Incertezze
- 最不确定的是修复状态：Cyber Security News 写道三家服务商均已部署服务端缓解措施，而同日的 AI Weekly 称并未做过任何架构层面的改动。两家都没有引用服务商的官方表态，核实时也未发现 Anthropic、OpenAI 或 Google 就此发布过公开说明。AI Weekly 提到的披露时间线（2026 年 5 月和 6 月就有独立报告）同样得不到预印本或其他来源的印证。论文尚未经过同行评审，还原数据的数字没有独立核实，182 组凭据的细分（62 个 API 密钥、33 个密码、30 个邮箱）也只出自那一个二手来源。项目网站 stolen-thoughts.com 在核实期间无法访问（HTTP 403）。
- Perché pubblicarla
- 这是一条能在一手来源上核实的技术新闻，而且关系到每一个使用推理模型 API 的人：被隐藏起来的推理并不像看上去那样受保护，而上传到公开仓库的智能体日志里，可能留着能被还原的凭据。它既不是商业公告也不是传闻，还能让读者看到这些服务平时不太露面的一面。各方消息在修复状态上的分歧本身也是有用的信息——前提是把它明说出来。