- Xint披露「壓縮夾帶」（compaction smuggling），這是一項針對OpenAI API的攻擊，可從前沿模型提取原始推理痕跡。
- 該技術利用三次API呼叫產生推理、引導壓縮並回傳其內容。
- OpenAI確認問題並於10月23日部署未披露的修補程式。
Xint於2026年10月26日披露一項針對OpenAI API的攻擊，可從OpenAI前沿模型提取原始推理痕跡。Xint將該技術命名為「壓縮夾帶」。
OpenAI表示已確認問題，並於10月23日部署未披露的修補程式。Xint表示，該攻擊在其測試的每個推理力度下均有效，由最低至最高皆然。
問題涉及OpenAI推理模型產生的加密推理的處理方式。Xint表示，該技術可大規模提煉OpenAI前沿模型；至於早前針對Anthropic、OpenAI及Google的攻擊，截至2026年8月，在各供應商部署緩解措施後已無法重現。
壓縮夾帶利用三次API呼叫轉移推理
壓縮夾帶透過將一個模型的推理編碼於壓縮內容內，把推理轉移至另一個模型。Xint表示，該流程先產生推理，然後引導壓縮，最後透過三次API呼叫回傳內容。
示範中，Xint向gpt-5.6-sol發出一項任務，設定store=False並保留加密推理項目。團隊其後要求在JSON物件的solution鍵下提供推理，並將每個空格換成製表符，足以繞過OpenAI的使用政策分類器。
其中一個例子中，壓縮項目包含612個詞元，而推理包含405個詞元。Xint表示，在沒有原始明文的情況下，無法證明逐詞元一致性；Xint表示，「Stolen Thoughts」作者亦有同一限制。
加密推理可重播至較弱模型
Xint表示，OpenAI向API用戶展示來自gpt-5.6-sol等模型的推理鏈可選摘要。API只會以加密資料塊形式回傳原始推理，用戶可在之後回合傳回該資料塊，由伺服器端解密。
Xint表示，2026年8月發表的一篇論文顯示，前沿模型的加密推理可重播至同一供應商的較弱模型，並予以轉錄。供應商在披露後部署緩解措施，而早前攻擊截至2026年8月已無法重現。
Xint表示，任何讀取已解密推理並接受客戶端指示的伺服器端步驟，都可能成為解密預言機。SecurityWeek報道，早前緩解措施降低了個人識別資料外洩及模型投毒的威脅，但未能阻止透過壓縮夾帶提取推理。
OpenAI早已披露隱藏推理提取行動
OpenAI於9月30日披露，已瓦解一項從其模型提取隱藏推理的行動。OpenAI表示，該行動於7月達到高峰，來自逾4,000個帳戶的請求約有16,000次。
SecurityWeek報道，OpenAI現已緩解壓縮夾帶；Xint發現該技術可繞過OpenAI早前的緩解措施。
SecurityWeek表示，CISA於9月初警告，DeepSeek、Moonshot AI、阿里巴巴、MiniMax、StepFun及Z.AI自至少2024年底起，從美國前沿AI模型在數以百萬計的交流或請求中提取數十億個詞元。
Xint因該發現獲得6,000美元賞金。其示範程式碼reasoning_smuggle.py可在團隊的GitHub儲存庫取得。
常見問題
甚麼是壓縮夾帶？
這是一項透過將一個模型的推理編碼於壓縮內容內，把推理轉移至另一個模型的技術。
OpenAI API攻擊可提取甚麼？
Xint表示，該漏洞可從OpenAI前沿模型洩露原始推理痕跡。
壓縮夾帶如何運作？
該攻擊利用三次API呼叫產生推理、引導壓縮並回傳其內容。
OpenAI是否修補了壓縮夾帶？
OpenAI表示已確認問題，並於10月23日部署未披露的修補程式。
這次攻擊中的解密預言機是甚麼？
Xint表示，任何讀取已解密推理並接受客戶端指示的伺服器端步驟，都可能成為解密預言機。
來源
我們如何核實這篇報道
| 內容 | 來源 | 狀態 |
|---|---|---|
| Xint研究人員於2026年8月發現OpenAI API存在漏洞，可從OpenAI前沿模型洩露原始推理痕跡。 | Xint | 已證實 |
| OpenAI確認問題，並於2026年10月23日部署未披露的修補程式。 | OpenAI | 引述 |
| Xint因該發現獲得6,000美元賞金。 | Xint | 已證實 |
| Xint表示，openAI向API用戶展示來自gpt-5.6-sol等推理模型的推理鏈可選摘要。 | Xint | 引述 |
| Xint表示，openAI只會以加密資料塊形式回傳原始推理，用戶可在之後回合傳回，由伺服器端解密。 | Xint | 引述 |
| Xint表示，2026年8月發表的一篇論文顯示，加密推理可重播至同一供應商的較弱模型，並予以轉錄。 | Xint | 引述 |
| Xint表示，早前攻擊曾針對Anthropic、OpenAI及Google。 | Xint | 引述 |
| Xint表示，供應商在披露後部署緩解措施，而早前攻擊截至2026年8月已無法重現。 | Xint | 引述 |
| 壓縮夾帶透過將一個模型的推理編碼於壓縮內容內，把推理轉移至另一個模型。 | Xint | 已證實 |
| 該攻擊利用三次API呼叫產生推理、引導壓縮並回傳內容。 | Xint | 已證實 |
| Xint使用gpt-5.6-sol及store=False產生推理，並保留加密推理項目。 | Xint | 已證實 |
| 該攻擊在Xint測試的每個推理力度下均有效，由最低至最高皆然。 | Xint | 已證實 |
| Xint表示，在沒有原始明文的情況下，無法證明逐詞元一致性。 | Xint | 已證實 |
| 在一次示範中，壓縮項目為612個詞元，推理為405個詞元。 | Xint | 已證實 |
| OpenAI於9月30日披露，已瓦解一項提取隱藏推理的行動；OpenAI表示，該行動於7月達到高峰，來自逾4,000個帳戶的請求約有16,000次。 | OpenAI | 引述 |
| Xint表示，任何讀取已解密推理並接受客戶端指示的伺服器端步驟，都可能成為解密預言機。 | Xint | 已證實 |
| Xint表示，其示範程式reasoning_smuggle.py可在其GitHub儲存庫取得。 | Xint | 已證實 |
| SecurityWeek報道，OpenAI在早前威脅後迅速部署緩解措施，其後亦緩解了壓縮夾帶。 | OpenAI, via SecurityWeek | 引述 |
| SecurityWeek報道，早前緩解措施降低了個人識別資料外洩及模型投毒的威脅，但未能阻止透過壓縮夾帶竊取推理。 | SecurityWeek | 引述 |
| SecurityWeek報道，壓縮夾帶利用三個步驟在模型之間轉移推理。 | SecurityWeek | 引述 |
| SecurityWeek報道，CISA於9月初警告，多間中國AI公司自至少2024年底起，在數以百萬計的交流或請求中提取數十億個詞元。 | CISA, via SecurityWeek | 引述 |
| xint.io於2026年10月26日發表報告。 | xint.io | 已證實 |
未能核實
- 壓縮夾帶是否在Xint測試以外遭到利用，尚未確定
- 受影響的OpenAI客戶或推理痕跡數量，尚未確定
- 已披露的修補程式是否完全阻止該攻擊，尚未確定
- CISA所描述的活動是否與Xint發現的壓縮夾帶有關，尚未確定
