هجوم «الأفكار المسروقة»: كيف اخترقت خدعة إعادة التشغيل التشفير وكشفت أسرار Kimi K3

في أغسطس 2026، نشر فريق من الباحثين من جامعة توبنغن، ومعهد ماكس بلانك للأنظمة الذكية، وأبحاث MATS، ومعهد ELLIS توبنغن، وشركة الأمن السيبراني Snyk ورقة بحثية تصف هجومًا بسيطًا بشكل مدهش على آثار التفكير المشفرة لنماذج الذكاء الاصطناعي الرائدة. نجح الهجوم عبر جميع المزودين الرئيسيين الثلاثة—Anthropic وOpenAI وGoogle—ولم يتطلب اختراق أي نموذج رائد. بدلاً من ذلك، استغل خيارًا معماريًا أساسيًا: تقوم هذه الشركات بإرجاع "كتل تفكير" مشفرة إلى عميل API بدلاً من تخزينها من جانب الخادم، وهذه الكتل قابلة للنقل عبر الجلسات والمستخدمين وحتى النماذج المختلفة من نفس المزود . أخذ الباحثون ببساطة كتلة تفكير مشفرة من نموذج رائد وأعادوا تشغيلها في نموذج شقيق أضعف، والذي يقوم بفك تشفيرها وإخراج الأثر بنص واضح . هذه التقنية، التي تسميها الورقة "اختراق فك التشفير،" مفصلة في المسودة الأولية Stealing Reasoning Traces from Proprietary LLM APIs، المقدمة إلى arXiv في 10 أغسطس 2026 .

كيف يعمل هجوم إعادة التشغيل

عندما يستعلم مستخدم نموذجًا رائدًا مثل Claude Opus 4.8 أو GPT-5.6 Sol من خلال API، يقوم النموذج بإجراء تفكير خطوة بخطوة داخليًا—"سلسلة أفكاره"—ويُعيد هذا التفكير إلى العميل ككتلة من النص المشفر. في الاستدعاءات اللاحقة، يمرر العميل هذه الكتلة مرة أخرى إلى API، مما يسمح للنموذج بمواصلة تفكيره دون تخزين المزود للحالة الوسيطة من جانب الخادم .

ما اكتشفه الباحثون هو أن هذه الكتل المشفرة ليست مرتبطة بجلسة أو مستخدم أو حتى نموذج معين. إنها تشترك في مفتاح تشفير عالمي واحد عبر جميع الجلسات والمستخدمين . وهذا يعني أنه يمكن إعادة تشغيل كتلة تم التقاطها من محادثة واحدة في سياق آخر. الرؤية الرئيسية: قم بتغذية كتلة من نموذج رائد محمي بشدة إلى نموذج شقيق أضعف وأقل توافقًا من نفس المزود (مثل Claude Haiku)، وسيقوم النموذج الأضعف—الذي يحتوي على حواجز حماية أقل للرفض—بفك تشفير محتويات الكتلة وإخراجها حرفيًا .

يتطلب الأمر فقط استدعائين API لتنفيذ الهجوم: واحد لالتقاط الكتلة المشفرة وآخر لتغذيتها للنموذج الأضعف. أظهر الباحثون أن الهجوم يعمل على نطاق واسع .

أدلة ظرفية على الاستنساخ: أنماط "الاحتمالات غير الطبيعية" في Kimi K3

لم يكتشف الهجوم عملية تفكير النماذج الرائدة فحسب—بل قدم أيضًا أدلة جديدة في الجدل الدائر حول ما إذا كانت شركة الذكاء الاصطناعي الصينية Moonshot AI قد دربت نموذجها Kimi K3 من خلال استنساخ (أي نسخ) تفكير النماذج الأمريكية.

بعد استخراج آثار التفكير من Claude Opus 4.8 وGPT-5.6 Sol، قارنها الباحثون بمخرجات النماذج مفتوحة الوزن، بما في ذلك Kimi K3. وجدوا أن مخرجات Kimi K3 أظهرت ما وصفوه بـ "ظواهر احتمالية غير طبيعية" تطابقت بشكل وثيق مع الأنماط الموجودة في آثار تفكير Claude وGPT .

الأدلة ظرفية، وليست قاطعة. يقول باحثون مستقلون إن النتائج "تقدم بعض الأدلة—وإن لم تكن دليلاً قاطعًا—على أن بعض النماذج الصينية ربما تم تدريبها عن طريق استنساخ معلومات التفكير من النماذج الأمريكية" . نتائج إضافية موحية: عندما طُلب منها التعريف عن نفسها، عرّفت Kimi K3 نفسها في البداية باسم "Claude" من Anthropic، مما زاد من حدة الاتهامات .

Kimi K3 هو نموذج مفتوح الوزن يحتوي على 2.8 تريليون معلمة، أصدرته Moonshot AI في 16 يوليو 2026. إنه يتفوق على Claude Opus 4.8 في العديد من المعايير، لكنه ليس رائدًا لا لبس فيه. في مؤشر تحليل الذكاء الاصطناعي المستقل، تسجل K3 57 نقطة مقابل 60 نقطة لـ Claude Fable 5 و59 نقطة لـ GPT-5.6 Sol. كانت Moonshot نفسها صريحة بشكل غير معتاد بأن K3 لا تزال متخلفة عن GPT-5.6 Sol وClaude Fable 5 بشكل عام .

الجدل الزمني

اتهام الاستنساخ ليس جديدًا—فقد اتهمت كل من Anthropic وOpenAI سابقًا الشركات الصينية باستنساخ نماذجهم بشكل منهجي. كشفت مراجعة للأوراق الأكاديمية وبراءات الاختراع الصينية عن استخدام باحثين عسكريين صينيين لمخرجات نماذج OpenAI وAnthropic لتدريب أنظمة ذكاء اصطناعي محلية لقدرات دفاعية .

أثار إطلاق Kimi K3 جدلاً فوريًا. في غضون ساعات من إصداره في 16 يوليو، اتهمت Anthropic شركة Moonshot ببناء K3 عن طريق استنساخ Claude، ووصل الادعاء إلى البيت الأبيض، مما أثار احتمال فرض عقوبات .

ومع ذلك، يشير منتقدو ادعاء الاستنساخ إلى مشكلة في التوقيت. تم إصدار Claude Opus 4.8 قبل وقت قصير من إطلاق Kimi K3. يقول باحثون مستقلون إن الجدول الزمني يجعل النسخ المباشر "غير معقول" لأنه ببساطة لم يكن هناك وقت كافٍ لتدريب نموذج يحتوي على 2.8 تريليون معلمة باستخدام الاستنساخ من نموذج تم إصداره مؤخرًا فقط . وتجادل Moonshot بأن K3 تم بناؤه من خلال بحث مستقل .

الثغرة الأمنية: تسرب البيانات الحساسة على مرأى من الجميع

كشف نفس العيب المعماري عن ثغرة أمنية عملية. نظرًا لأن النماذج الرائدة تتضمن أحيانًا بيانات اعتماد وبيانات شخصية في عملية التفكير الخاصة بها، فإن كتل التفكير المشفرة التي شاركها المطورون علنًا—في سجلات جلسات الوكلاء، على سبيل المثال—تحتوي على معلومات حساسة يمكن لأي شخص يعرف الحيلة قراءتها.

من خلال مسح ما يقرب من 7000 سجل جلسة وكيل تمت مشاركتها علنًا قبل أغسطس 2026، وجد الباحثون 62 مفتاح API نشطًا و33 كلمة مرور وبيانات مستخدم حساسة أخرى—إجمالي 704 عناصر خصوصية—مخبأة داخل كتل التفكير المشفرة . أي مطور نشر سجلات وكيل أولية ربما يكون قد كشف عن غير قصد مفاتيح API وكلمات مرور ومعلومات تعريف شخصية داخل كتل كان يعتقد أنه لا يمكن لأحد قراءتها . تضمن ذلك سجلات مخزنة في مستودعات GitHub العامة .

حدد الباحثون أربعة مسارات إساءة استخدام متميزة مكنتها الثغرة: إعادة بناء التفكير المخفي، واسترداد الأسرار المضمنة في آثار الوكيل، وحقن التعليمات من خلال قناة غير قابلة للفحص، وإعادة تشغيل الكتل غير منتهية الصلاحية عبر الجلسات .

استجابات المزودين: تصحيحات من جانب الخادم بعد الإفصاح

قامت جميع الشركات الثلاث بنشر تخفيفات من جانب الخادم بعد أن اتبع فريق البحث إجراءات الإفصاح المسؤولة .

كشف الباحثون عن نتائجهم لـ OpenAI وAnthropic وGoogle وMicrosoft وHugging Face. بعد أن نفذ المزودون التغييرات، أكدت فحوصات قابلية التكرار أن تقنية الاستخراج الرئيسية لم تعد ناجحة ضد بنيات API الحالية . تنصح الوثائق الآن بتجريد كتل التفكير قبل مشاركة السجلات أو تبديل النماذج في منتصف المحادثة .

من الجدير بالذكر أن باحث التشفير Matthew Green قد أبلغ بشكل منفصل عن ثغرة إعادة التشغيل عبر الجلسات لكل من OpenAI وAnthropic عبر برامج مكافآت اكتشاف الأخطاء الخاصة بهما في مايو 2026، لكنه تلقى ردودًا رافضة قبل نشر الورقة الأكاديمية .

التصحيحات نشطة اعتبارًا من أغسطس 2026، لكن سجلات الجلسات التاريخية التي تحتوي على كتل تفكير مفككة التشفير والتي تم استخراجها بالفعل من الويب العام لا تزال في متناول اليد .

لماذا هذا مهم

يكشف هجوم "الأفكار المسروقة" عن توتر أساسي في تصميم واجهات برمجة تطبيقات الذكاء الاصطناعي الحديثة. يريد المزودون تفريغ حالة التفكير إلى العميل من أجل قابلية التوسع وزمن الوصول، لكن الربط التشفيري المطلوب للحفاظ على أمان تلك الحالة عبر الجلسات والمستخدمين والنماذج يتطلب تصميمًا دقيقًا. كان نهج مفتاح التشفير العالمي الفردي الذي تستخدمه Anthropic وOpenAI وGoogle اختصارًا خلق ثغرة أمنية وخصوصية أثرت على كل مستخدم ومطور تفاعل مع واجهات برمجة التطبيقات هذه.

يأتي الهجوم أيضًا في منتصف صراع متصاعد بين الولايات المتحدة والصين حول استنساخ الذكاء الاصطناعي. في حين أن الأدلة المتعلقة بـ Kimi K3 ظرفية، إلا أنها توفر أقوى دليل تقني حتى الآن على أن الاستنساخ قد يحدث على نطاق واسع، وتمنح صانعي السياسات والباحثين أداة جديدة للتحقيق في أصل نماذج الذكاء الاصطناعي.