2026年11月10日，一篇科技报道把一项关于人工智能推理过程的研究重新推到了读者面前。报道的说法很抓人：研究人员通过把加密的推理区块交给同一厂商家族里较弱的模型重放，提取了三家大厂应用程序接口里的隐藏推理内容，还从公开分享的日志里找回了真实的应用程序接口密钥与密码。这篇报道值得认真读，但读之前要先把两件事分开：11月10日是报道的日期，不是研究的发现日期；研究揭示的是一个真实存在的架构问题，不是一起已经发生的大规模数据泄露。本文按这个区分来讲，先讲研究到底做了什么，再讲它对开发者和普通用户分别意味着什么。
先把时间线说清楚：这不是今天刚发现的漏洞
这项研究的论文题为《从专有大语言模型应用程序接口窃取推理轨迹》，2026年8月10日挂上预印本平台，作者包括亚历山大·潘菲洛夫、马克西姆·安德留申科等八名研究人员，来自图宾根欧洲学习与智能系统研究所、马克斯·普朗克智能系统研究所、MATS研究机构、Snyk等单位。11月10日的报道，是媒体对这项已有三个月历史的研究的新一轮报道，不是论文的首发日。这个时间差很重要，因为它直接决定了下面这句话该怎么理解：据论文作者的复现测试，截至2026年8月，主要的提取手法已经无法在现有应用程序接口版本上复现，原因是相关厂商已经采取了缓解措施。
换句话说，这项研究的冲击力主要在它揭示的架构问题上，而不是在“现在还能照着做”的操作手册上。三家厂商是否公开回应过这项研究、是否确认过缓解措施与这项研究有关，截至发稿尚未核实，本文不作断言。读者如果在别处看到“厂商已经全部修复”或者“厂商拒不回应”之类的说法，应当先问一句消息来源是谁，再决定信不信。
加密区块是怎么被“借”走的
要理解这项研究，先要理解现在的主流模型是怎么处理“思考过程”的。模型在给出最终回答之前，会先进行一步步的推理，也就是常说的思维链。顶尖模型厂商出于保护知识产权、减少信息外泄的考虑，不再把这段推理以明文形式返回，而是把它以加密区块的形式交给客户端。客户端在多轮对话里，每次发新请求时再把这些区块原样传回去，厂商借此省去了在服务器端保存推理记录的负担。
问题就出在这些加密区块的通用性上。论文称，这些区块在同一厂商的生态系统里，可以跨会话、跨用户、跨模型使用。攻击者拿到一个由强模型生成的加密推理区块，把它交给同一个厂商家族里较弱的模型，再提示弱模型把附带的推理内容逐字转录出来，弱模型就会照做。整个过程没有破解任何密码学算法，也没有偷到任何加密密钥。弱模型只是把收到的东西“读”了出来，扮演了一个不自觉的解码器。
研究测试的三家厂商分别是Anthropic、OpenAI与Google。被点名用作解码器的较弱模型包括Claude Haiku 4.5、GPT-5.6 Luna与Gemini Robotics 1.6，对应的强模型则包括Claude Opus 4.8、GPT-5.6 Sol与Gemini 3.1 Pro。论文称，Claude的推理轨迹一般可以在模型之间重放，Fable 5的轨迹除外；GPT-5.6系列模型可以重放更早世代的轨迹；受测的Gemini模型则接受来自其他Gemini模型的推理轨迹。强模型普遍接受过专门的拒绝训练，目的是防止泄露内部推理；成本更低、速度更快的弱模型往往没有同样严格的防蒸馏保护，安全上的落差就出现在这里。
论文还描述了这些加密区块的封装方式：采用带有关联数据的认证加密信封，信封里可能包含模型名称、区块类型、版本号与密钥编号等头部信息，以及随机数、认证标签与密文。研究称，截至2026年7月，没有任何一家厂商公开详细说明这些推理区块的加密机制；实验结果显示，厂商似乎使用单一全局密钥来加密与认证这些区块，从而让区块可以在不同模型调用之间通用。需要强调的是，“似乎使用单一全局密钥”是研究者根据实验作出的推断，不是厂商公开承认的事实。
公开日志里到底找到了什么
这项研究最容易被误读的部分，是它从公开日志里找回的东西。研究团队从GitHub与Hugging Face等公开渠道抓取了6,708条公开分享的智能体会话轨迹，解码了其中的315,320个推理区块。论文摘要给出的结果是：找回367件个人信息与182个凭证。其中，来自真实用户会话的材料包括62个应用程序接口密钥、33个密码与30个个人邮箱。
这组数字需要逐项拆开读。315,320是被解码的推理区块总数，不是泄露事件的数量。367与182是论文摘要口径下的找回数量，62、33、30则是其中明确来自真实用户会话、而非基准测试会话的部分。部分转载与解读提到“704件隐私物品”这个总数，与论文摘要的口径并不一致，本文以论文摘要给出的数字为准，704这个数字的统计口径尚未核实，读者遇到时应当知道它与摘要数字不是同一把尺子。
研究团队用什么办法证明解出来的内容是真的？他们在120道Codeforces编程题上做了对照：把解码出的推理内容与应用程序接口报告的推理token数量逐项比对，两者对大多数输入都高度吻合。研究者据此认为，提取出的轨迹基本忠实于原始推理过程。这是一种间接验证，不是厂商的确认，但它说明解码结果不是研究者凭空编造的文本。
多家转载的解读还提到一个值得开发者警惕的细节：在找回的隐私物品中，有64件只出现在隐藏推理里，在会话的可见部分根本找不到。也就是说，只清洗可见文本的日志脱敏做法，会漏掉这部分内容。这个数字来自转载解读，不是论文摘要的原文，本文按转载说法引用，读者应当把它理解为“可见文本脱敏不够用”的一个例证，而不是精确的统计结论。
四条攻击路径，伤害各不相同
论文列出了四条攻击路径，它们的伤害对象与严重程度并不相同，混在一起谈会失真。第一条是模型蒸馏：提取强模型的推理轨迹，用来训练或改进其他模型，伤害的是厂商的知识产权与模型投入。第二条是从公开日志里恢复凭证与个人信息，伤害的是把日志公开分享的开发者与终端用户，这是本文重点讲的一条，因为它与普通开发者的日常操作直接相关。第三条是经由隐藏推理通道的提示注入：把恶意指令藏进推理区块，再让它在后续环节里发挥作用。第四条是越狱：通过隐藏推理通道绕过强模型的安全限制。
四条路径共用一个前提：攻击者能拿到加密推理区块。这个前提在两种场景里最容易成立。一种是开发者把包含推理区块的会话日志公开分享到了代码库、基准测试集或者问题反馈帖里；另一种是攻击者截获了别人的会话数据。第一种场景是研究实际验证过的，也是已经造成真实凭证外泄的场景；第二种场景在论文的实验设计里并没有同等程度的验证，读者不应当把两者等同起来。
三个不要误读的地方
围绕这项研究，最容易出现的三个误读，都需要在本文里一次性纠正。第一，这不是厂商服务器被攻破。没有证据显示任何一家厂商的服务器遭到入侵，也没有证据显示加密密钥被盗。研究利用的是加密区块在同一厂商生态内通用的架构特点，攻击发生在应用程序接口的正常使用方式之内，而不是一次入侵事件。把这项研究写成“某某大厂被黑”，是对事实的扭曲。
第二，这不是一起已经证实的大规模泄露。研究找回的凭证来自开发者自己公开分享的日志，数量以百计，不是成千上万；其中是否仍有密钥处于有效状态，论文摘要没有逐一说明，转载报道也没有给出验证结果。把“62个密钥出现在公开日志里”写成“用户数据已被大规模盗取”，既没有依据，也会让真正需要采取行动的开发者抓错重点。
第三，这项研究描述的是2026年7月之前观察到的状态，不是今天的实时状态。论文作者称，截至2026年8月，主要的提取手法已经无法在现有应用程序接口版本上复现。另有解读报道称，Anthropic此后更新了指引，说明思考区块与生成它的模型绑定，切换模型时应当整体剥离，而不是继续传递。厂商是否公开确认过这些变化与本研究有关，截至发稿尚未核实。本文能确认的只有一点：论文本身是8月的，11月10日的报道是对它的再报道，读者应当按8月的研究状态来理解它的结论，而不是把它当成今天刚刚发现的新漏洞。
开发者现在能做的几件事
对开发者来说，这项研究最有价值的部分不是它攻击了谁，而是它提醒了一个长期被忽视的盲点：加密的推理区块也是敏感数据，不能因为它看起来像一串乱码就随意公开。下面几条是通用的安全做法，不针对任何一家厂商的产品。
第一，不要把包含推理区块的日志公开分享。无论是调试记录、基准测试结果，还是复现问题时附上的会话记录，只要里面包含加密推理区块，就应当先剥离这些区块再公开。很多开发者公开日志是为了复现问题或者参与评测，动机完全正当，但公开之前需要多做一步：检查日志里有没有应用程序接口返回的加密推理字段。
第二，已经公开过的日志要回头清理并轮换密钥。如果曾经把包含推理区块的日志推到公开代码库或者发到公开论坛，最稳妥的做法是删除或替换这些公开内容，并轮换其中可能出现过的应用程序接口密钥、密码与访问令牌。轮换的范围应当包括所有在相关会话里出现过的凭证，而不只是已经确认外泄的那几个。密钥轮换的成本远低于凭证被滥用之后的清理成本。
第三，日志脱敏要覆盖加密区块，不能只洗可见文本。常规的日志脱敏工具通常只处理可见的文本内容，对加密区块视而不见。研究中64件只出现在隐藏推理里的物品，就是对这种做法的直接提醒。团队应当在日志处理流程里明确一条规则：加密推理区块按敏感数据处理，默认不写入持久化日志；确实需要保留的，应当与可见文本执行同样的访问控制与保留期限。
第四，在团队内部把推理区块的传递范围收窄。同一厂商生态内的跨模型通用性，意味着推理区块一旦离开原始会话，就可能在别的模型、别的用途里被再次使用。团队应当检查自己的调用链：推理区块是不是只传回了生成它的同一个模型，有没有在切换模型时继续传递，有没有在日志、缓存或者第三方服务里留下副本。这些检查不需要新的工具，只需要在现有的代码审查清单上加几行。
对普通用户意味着什么
对不写代码的普通用户来说，这项研究的影响要小得多。日常聊天的用户不会接触到加密推理区块，也不会把会话日志公开到代码库。风险集中在开发者的公开日志这个环节，而不是普通用户的聊天记录。普通用户需要记住的只有一点：如果使用的是会调用大模型应用程序接口的第三方工具，可以留意这款工具是否公开过包含会话日志的调试信息，但这属于进阶的核查，不必因此改变日常使用习惯。
对行业来说，这项研究的真正意义在于它指出了一个设计上的取舍。厂商把推理过程加密后交给客户端，是为了在保护知识产权的同时省去服务器端存储的负担。这个设计本身没有错，但它假设了加密区块不会被拿到别的模型里重放。研究证明这个假设不成立，至少在2026年7月之前不成立。厂商此后采取的缓解措施、以及Anthropic更新的模型绑定指引，都是在修补这个假设。至于修补是否彻底，三家厂商是否会公开说明加密机制的细节，仍有待观察。研究者与厂商之间的这种拉锯，过去在密码学与系统安全领域反复出现过，人工智能推理过程只是最新的一个战场。
最后回到11月10日这篇报道本身。它的价值在于提醒，而不是警报。提醒开发者检查自己的公开日志，提醒厂商审视自己的架构假设，提醒读者区分“研究发现了问题”与“问题正在大规模发生”。这三件事都值得做，但都不需要恐慌。真正需要行动的，是那些曾经公开分享过包含推理区块日志的开发者：清理日志，轮换密钥，然后把“加密区块也是敏感数据”写进团队的规范里。
暂无评论内容