OpenAI API压缩走私可提取推理轨迹

压缩走私通过三次API调用转移推理

压缩走私通过将一个模型的推理编码到压缩内容中，将其转移到另一个模型。Xint表示，该过程先生成推理，然后引导压缩，最后通过三次API调用回显内容。

在演示中，Xint向gpt-5.6-sol发送了一个任务，并设置store=False，同时保留加密推理项。随后团队要求在JSON对象的solution键下给出推理，并将每个空格替换为制表符，足以绕过OpenAI的使用政策分类器。

在一个示例中，压缩项包含612个令牌，而推理包含405个令牌。Xint表示，在没有原始明文的情况下，无法证明逐令牌保真度；该公司称，Stolen Thoughts的作者也有同样的限制。

加密推理可重放到较弱模型中

Xint表示，OpenAI向API用户展示了来自gpt-5.6-sol等模型的推理链可选摘要。API仅以加密数据块的形式返回原始推理，客户端可以在后续轮次将其发回，以便服务器端解密。

据Xint称，一篇于2026年8月发表的论文显示，来自前沿模型的加密推理可以被重放到同一提供商的较弱模型中并转录。提供商在披露后部署了缓解措施，截至2026年8月，早期攻击已无法重现。

Xint表示，任何读取已解密推理并接受客户端指令的服务器端步骤，都可能成为解密预言机。SecurityWeek报道称，早期缓解措施降低了个人身份信息泄露和模型投毒的威胁，但无法阻止通过压缩走私提取推理。

OpenAI此前已披露隐藏推理提取活动

OpenAI于9月30日披露，已中断一项从其模型中提取隐藏推理的活动。据OpenAI称，该活动在7月达到峰值，来自4000多个账户的请求约为16000次。

SecurityWeek报道称，OpenAI现已缓解压缩走私；Xint发现该技术可绕过OpenAI早期的缓解措施。

据SecurityWeek称，CISA在9月初警告，DeepSeek、Moonshot AI、Alibaba、MiniMax、StepFun和Z.AI自至少2024年末以来，已从美国前沿AI模型中通过数百万次交互或请求提取数十亿个令牌。

Xint因该发现获得了6000美元奖金。其演示脚本reasoning_smuggle.py已在团队的GitHub代码库中提供。