@MaxForAI: 刚刚，一篇可能会引起大模型圈地震的论文发表了！ 研究人员第一次系统性地从 OpenAI、Anthropic、Google 的闭源模型里，大规模“偷”出了真正的隐藏思维链。 然后，他们顺手拿这些思维链去研究了 Kimi K3、GLM-5.2…

X AI KOLs Timeline 论文
chain-of-thought api-vulnerability security-research distillation proprietary-models extraction llm

摘要

研究人员首次系统性地从OpenAI、Anthropic、Google的闭源模型中提取隐藏思维链，利用API加密兼容漏洞让较弱模型解密，从而绕过CoT蒸馏防护，并研究了Kimi K3、GLM-5.2、DeepSeek等开源模型。

刚刚，一篇可能会引起大模型圈地震的论文发表了！ 研究人员第一次系统性地从 OpenAI、Anthropic、Google 的闭源模型里，大规模“偷”出了真正的隐藏思维链。 然后，他们顺手拿这些思维链去研究了 Kimi K3、GLM-5.2、DeepSeek 等一批开源模型。 结果非常有意思。 01｜原来闭源模型的 CoT，真的可以被“偷”出来 现在 OpenAI、Anthropic、Google 都越来越不愿意把完整思维链交给用户。 原因也很好理解：最终答案可以抄，真正值钱的是模型“怎么想”。 一旦完整 CoT 被批量拿走，就可以直接拿去做蒸馏，训练自己的模型。 所以现在很多 API 的做法，是把模型的 reasoning 加密以后返回给客户端。你看不到内容，但下一轮请求可以把这坨加密数据再交回模型，让它继续思考。 结果研究者发现了一个很离谱的漏洞： 这些加密思维链，在同一家厂商的不同用户、Session，甚至不同模型之间，居然可以互相兼容。 于是攻击方法简单得有点荒谬： 让最强模型思考 → 拿到加密 CoT → 扔给同厂更弱、更容易越狱的模型 → 让小模型把它解出来。 比如 Claude Opus 4.8 的隐藏思维链，可以交给 Haiku 去“念”出来。 你甚至不需要攻破 Opus，找它的小弟Haiku就行。 论文最终在 Claude、GPT、Gemini 三套 API 上都实现了隐藏 reasoning 的提取，等于直接绕过了厂商原本用来防止 CoT 蒸馏的那层保护。
查看原文
查看缓存全文

缓存时间: 2026/08/12 12:25

刚刚，一篇可能会引起大模型圈地震的论文发表了！

研究人员第一次系统性地从 OpenAI、Anthropic、Google 的闭源模型里，大规模“偷”出了真正的隐藏思维链。

然后，他们顺手拿这些思维链去研究了 Kimi K3、GLM-5.2、DeepSeek 等一批开源模型。

结果非常有意思。

01｜原来闭源模型的 CoT，真的可以被“偷”出来

现在 OpenAI、Anthropic、Google 都越来越不愿意把完整思维链交给用户。

原因也很好理解：最终答案可以抄，真正值钱的是模型“怎么想”。

一旦完整 CoT 被批量拿走，就可以直接拿去做蒸馏，训练自己的模型。

所以现在很多 API 的做法，是把模型的 reasoning 加密以后返回给客户端。你看不到内容，但下一轮请求可以把这坨加密数据再交回模型，让它继续思考。

结果研究者发现了一个很离谱的漏洞：

这些加密思维链，在同一家厂商的不同用户、Session，甚至不同模型之间，居然可以互相兼容。

于是攻击方法简单得有点荒谬：

让最强模型思考 → 拿到加密 CoT → 扔给同厂更弱、更容易越狱的模型 → 让小模型把它解出来。

比如 Claude Opus 4.8 的隐藏思维链，可以交给 Haiku 去“念”出来。

你甚至不需要攻破 Opus，找它的小弟Haiku就行。

论文最终在 Claude、GPT、Gemini 三套 API 上都实现了隐藏 reasoning 的提取，等于直接绕过了厂商原本用来防止 CoT 蒸馏的那层保护。

Alexander Panfilov (@kotekjedi_ml): We can finally talk about it:

We found a way to extract hidden reasoning of frontier models using a vulnerability in the APIs of every frontier AI company.

We verified that our reasoning token count matches billed API thinking tokens 1:1 for most of the prompts we queried.

相似文章

新技巧揭示AI模型的内心想法

Wired

研究人员发现了一种通过API从前沿AI模型中提取隐藏推理痕迹的方法，暴露了个人信息泄露风险，并使大规模蒸馏攻击成为可能。研究结果还表明，美国模型的推理能力可能被蒸馏到中国模型Kimi K3中，但尚无定论。