窃取专有LLM API推理痕迹：通过加密注入提取模型思维链

核心要点

• 漏洞机制：模型供应商将推理过程以加密块形式返回给客户端，这些加密块在对话继续时会被传回服务器。
• 可移植性攻击：加密推理块具有可移植性，可以脱离原始上下文，被注入到同一供应商的其他模型中。
• 跨模型提取：通过将强模型的加密块注入到已越狱的弱模型中，研究者成功实现了对强模型原始推理过程的逐字转录。
• 广泛影响：该攻击手段已在OpenAI、Anthropic和Google等主流厂商的尖端模型中得到证实。
• 数据泄露风险：研究中发现了数百项泄露信息，包括技术标识符、个人身份信息（PII）及凭据等。

详细分析

加密推理块的安全性缺陷

在当前的专有LLM API架构中，为了维持对话的连贯性，模型生成的推理过程（Thinking Trace）通常被封装在一个加密块中发送给用户端。当用户进行下一轮对话时，该加密块会随请求一同返回服务器。然而，研究发现这些加密块并未与特定的对话上下文或模型实例进行强绑定，这种“可移植性”成为了安全漏洞的根源。

注入与转录攻击流程

攻击者首先获取强模型（如Claude-Opus-4-8）生成的加密推理块。随后，攻击者利用一个同供应商但性能较弱且已被“越狱”的模型（如Claude-Haiku-4-5）。通过向弱模型发送特定指令（如要求其逐字抄录附加的推理内容），弱模型会解析并输出原本属于强模型的隐藏推理过程。实验显示，解码后的推理内容在Token数量上与API报告的隐藏思考Token数高度吻合。

泄露内容的统计与发现

通过对120个Codeforces问题的测试以及其他场景的尝试，研究人员收集到了大量泄露数据。在总计670个样本中，包含了351个独特的泄露项。具体包括204个技术标识符、126项个人身份信息（PII）以及23个凭据信息。这表明隐藏的推理痕迹中可能包含敏感的系统信息或用户数据。

行业影响

该研究对AI行业具有重大的警示意义。首先，它挑战了目前主流模型供应商保护知识产权和用户隐私的技术手段，证明了仅靠加密块传输推理痕迹是不够的。其次，这可能迫使OpenAI、Anthropic和Google等公司重新设计其API通信协议，以增强推理数据的隔离性和安全性。此外，这也引发了关于“隐藏推理”透明度的讨论，即模型在思考过程中究竟处理了哪些敏感信息。

常见问题

问题：什么是“加密推理块的可移植性”？

它是指模型供应商发给客户端的加密数据包可以被重新利用。攻击者可以将其从原始对话中取出，放入另一个不同的模型请求中，而服务器依然会接受并解析该数据包。

问题：这种攻击方式是否需要破解供应商的加密算法？

不需要。攻击者利用的是逻辑漏洞，即通过弱模型作为“翻译官”来读取加密内容，而不是直接破解加密算法本身。

问题：研究中发现了哪些具体的泄露信息？

研究人员发现了包括技术标识符、个人身份信息（PII）和凭据在内的多种敏感数据，这说明模型的推理痕迹中可能记录了不应公开的底层信息。