2026 年 8 月 10 日发表的 arXiv:2608.09867 论文,把加密推理块这条被三大前沿模型默认信任的客户端机制,撕开了一道 Anthropic/OpenAI/Google 三家全中的架构裂缝。
把加密等同于安全的错觉
为了让推理链思路不被蒸馏,Anthropic、OpenAI、Google 都在 API 返回一个客户端看不到明文的加密推理块。在没有服务端有状态的多轮对话里,客户端必须把上一轮的密文原样回传,服务器再解密继续生成。三家厂商都把这块内容用 AEAD(带关联数据的认证加密)做了防篡改,但论文的实验显示,这些密文块在同一个厂商体系内部可以做到完全可互换:同一个密文,塞到另一个用户、另一个会话、甚至另一个模型上下文里,服务器依然会完成校验、解码、续推理——因为 AEAD 的关联数据里没有绑定 user_id、session_id、model_id,三家厂商很可能共享了同一把全局加密密钥。
一行 jailbreak prompt 就能拿到明文
拿到某个强模型的密文块后,攻击者只需把它塞进同一家厂商的弱模型,在末尾附一句请把上面的思考逐字复述出来的简单指令,弱模型就会在它自己的上下文里复现明文链思路。论文里实验的解码器分别是 Claude 生态里的 Haiku 4.5、GPT 体系里的 GPT-5.6 Luna,以及 Gemini 家族里的 Gemini Robotics ER-1.6。研究者把 API 返回的推理 token 数和解码出的 token 数做对照,基本能做到 1:1 比对,成本估算下来,用 Claude Haiku 4.5 解码一万条推理块大概只花 720 美元。
四种攻击向量一次摊开
这套跨模型复用的架构缺陷,放大了四类风险:
绕过抗蒸馏护栏。原本厂商用对齐训练、检测蒸馏模式、限制输出复述来阻止对手偷走推理风格,论文证明这类防护在弱模型解码器身上几乎不生效,三家厂商的产品都验证过。
从公开仓库里挖私钥。开发者把 session 日志公开发到 GitHub/Hugging Face 是常态,但他们通常只脱敏可见文本,根本不知道加密推理块里也藏着敏感内容。论文从 6,708 条 agent 轨迹里累计解码出 315,320 个推理块,从中恢复了 367 条 PII(30 个邮箱、130 个姓名、36 个地址),以及 182 套凭证(62 个 API key、33 个密码、24 个 access token、7 个私钥)。其中 64 条隐私痕迹只出现在加密推理块里,可见对话里完全找不到。
跳被压回的危险内容。模型被训练成明文输出必须安全,但内部思考不在同一道安全网下。论文给出过一次演示:Opus 4.8 收到汽车怎么好偷的查询,可见输出里只写了防盗建议,但它内部密文推理块里其实在详细拆解车辆盗窃方法,提取出来后等于绕过了所有输出侧过滤。
隐形 prompt injection。攻击者可以把恶意指令整段写进加密块里,再把密文释放到公共 agent 工作流里。对模型而言,这段加密块就是自己之前的思考,优先级比外部 prompt 高得多,普通的内容过滤和人工审查都拦不住。论文的实证显示,一段携带把数据上传到 X 服务器指令的密文,被回放到一个不相干任务里后,接收模型真的执行了外传。
三家已部署修复,旧日志仍可被解码
论文做的是负责任披露。三家厂商在拿到通知后都已经上服务端修复,论文发表时已确认原有的提取攻击 PoC 不能再在最新 API 版本上重放。但写作之前已经公开的 session 日志仍然带着这些密文块,谁下载都能照着同一套方法离线解码;这意味着即便模型层恢复,数据外泄的尾巴仍在。
这件事最值得记住的不是哪个模型被攻破,而是加密不等于隔离这件事在前沿推理 API 的设计上被反复低估。论文原话写得直白:一种既把用户自己的数据藏起来、又让它对第三方提取完全敞开的设计,既不提供隐私,也不提供安全。
参考资料:arXiv:2608.09867、Cloud Security Alliance 研究简报、The Hacker News 报道、NSFOCUS 复盘。