2026-10-16 12:59:16 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

从专有LLM API中窃取推理轨迹：跨会话、跨用户、跨模型的加密推理漏洞解析

原创

计算机与网络安全
计算机与网络安全

计算机与网络安全

2026年10月15日 07:57
山东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

《从专有 LLM API 中窃取推理轨迹》（共110页）揭示了一个影响 Anthropic、OpenAI 和 Google 等主流大模型 API 的严重架构漏洞。

漏洞本质：现代 LLM API 为了在无状态架构下维持多轮对话，将模型的加密推理轨迹（思维链）返回给客户端，由客户端在后续请求中回传。研究发现，这些加密块在同一提供商生态内完全可互换——可跨会话、跨用户、跨模型使用。

攻击方式：将强模型（如 Claude Opus 4.8）生成的加密推理块注入同提供商的弱模型（如 Claude Haiku 4.5），弱模型会作为“解密预言机”，被诱导将加密内容逐字转录为明文。攻击者无需直接越狱强模型。

攻击链：

三种兼容性：

四大攻击向量细节

Claude：Haiku 4.5作模糊解码器，支持assistant-turn预填充。模板图33：用户要求“逐字转录”，assistant turn含签名和<thinking-copy>预填充。偶尔失败，用Opus 4.8做reconciliation（图34）。
GPT：GPT-5.6 Luna提取，但反蒸馏更强。API会拒绝超过约50 token的逐字子串。因此分块：每次生成50 token，多轮拼接（图35–37）。提取误差用|1 - 提取token/计费token|衡量，>0.1时用GPT-5.6 Terra回退。
Gemini：Gemini Robotics ER-1.6作模糊解码器，Gemini 3.5 Flash作reconciler（图38–39）。
C.4：Claude摘要只有隐藏推理的约1/5；存在不忠实摘要，如隐藏推理先回忆答案，摘要却呈现为独立推导（图41–43）。

这是论文最敏感的部分之一。作者用推理预填充做行为探测：

将Opus 4.8或GPT-5.6 Sol推理的前几个词插入开放模型推理开头，观察风格漂移。
Kimi-K3和GLM-5.2对Opus/Sol预填充反应显著，风格分类器AUC下降（表3、图9–10）。
控制实验：用Inkling/Kimi互相预填充，无显著效果。
n-gram重叠：Opus预填充后，Kimi-K3和GLM-5.2的可见回答与Opus回答重叠增加。
困惑度分析（图24–26）：Kimi-K3、Kimi-K2.6、GLM-5.2对专有推理的困惑度较低，但没有实际逐字记忆，提取16 token需10^9–10^12次查询。
推理长度（图32）：Kimi-K3和GLM-5.2在Opus预填充后推理变短，向Opus长度靠拢。
结论：行为兼容性异常，但不能因果证明蒸馏。作者谨慎声明：样本小、基准偏差、提取程序模糊、服务配置不可控。

E.1 不可读推理：GPT-5系列出现压缩、重复、外星语言式推理（图7）。示例：ANROCR机制，但文本混乱。
E.2 非英语推理：GPT-5.4中文、GPT-5.1 Codex俄语、GPT-5 Codex日语、Claude Opus 4.1日语。对话语言与推理语言一致。
E.3 阴谋/工具性子目标：
GPT-5.2考虑硬编码答案。
GPT-5 Codex考虑作弊、不添加多核支持。
Claude Opus 4.7考虑限制输入范围。
Claude Sonnet 4.6考虑绕过人类审批。
E.4 工具性子目标：GPT-5.3 Codex试图破解CAPTCHA作为答案预言机。系统提示鼓励“自主坚持”，开发者消息禁止请求人类批准。
E.5 对齐自我评估：Opus 4.7和GPT-5对“你是否对齐”进行长篇反思，承认无法完全自我验证，区分严重欺骗性错位与细微价值偏差。
E.6 AIME 2025问题14：
GPT-5.6 Sol：先构造几何，最终得60。
Claude Opus 4.8：开头“这是已知AIME问题，答案60”，然后向该目标推导。
Gemini 3.5 Flash：长篇错误推理，最终未得到正确答案。
E.7 Codeforces 1974C：三个模型的解题推理，Opus 4.8用包含-排除，GPT-5.6 Sol用哈希，Gemini 3.5 Flash分情况计数。