窃取AI推理痕迹 (2分钟阅读)

# 窃取AI推理痕迹——施奈尔论安全 来源：https://www.schneier.com/blog/archives/2026/09/stealing-ai-reasoning-traces.html 近期一项有趣研究："窃取专有LLM API的推理痕迹（https://arxiv.org/abs/2608.09867）" > **摘要：**当前主流大语言模型提供商普遍隐藏其模型的逐步推理过程（即思维链），以保护知识产权并限制信息泄露。这些推理痕迹并非存储在服务器端，而是以加密文本块的形式返回给客户端，客户端在每次后续请求时将其传回。基于先前研究，我们发现了一个架构漏洞：这些加密块在特定提供商生态系统内，可跨会话、跨用户、跨模型完全兼容且可互换。我们利用此兼容性开发了一种可扩展的解密越狱方法。通过将特定模型的加密推理痕迹注入同一提供商生态中更弱、安全防护更少的模型，我们迫使该模型以明文逐字解码输出痕迹，而无需直接攻击能力更强的模型。此漏洞揭示了四种攻击向量：第一，它规避了反蒸馏机制，使攻击者能够提取专有模型的推理逻辑（我们在Anthropic、OpenAI和Google的模型上均进行了验证）；第二，它允许大规模隐私数据窃取——开发者常公开分享会话日志，却未意识到加密块中的内容，我们通过解码从公开代码库抓取的315,320个推理块，恢复了367个个人身份信息（PII）数据和182个凭证；第三，它无意中暴露了隐藏在推理过程中的危险信息，即使模型最终可见输出安全拒绝了恶意请求；第四，攻击者可利用此漏洞执行隐蔽提示注入，将恶意载荷完全嵌入加密块中，从而污染公共智能体系统。经负责任漏洞披露后，我们提出了具体的密码学与系统级缓解方案以保障客户端推理安全。 标签：学术论文（https://www.schneier.com/tag/academic-papers/），人工智能（https://www.schneier.com/tag/ai/），大语言模型（https://www.schneier.com/tag/llm/） 发布于2026年9月8日 上午6:20（https://www.schneier.com/blog/archives/2026/09/stealing-ai-reasoning-traces.html）•4条评论（https://www.schneier.com/blog/archives/2026/09/stealing-ai-reasoning-traces.html#comments） 侧边栏照片由Joe MacInnis拍摄。