Varastetut ajatukset: Tutkijat mursivat tekoälyn piilotetun päättelyn

'Varastetut ajatukset' -toistohyökkäys – 10.–11. elokuuta 2026 julkaistussa artikkelissa "Stealing Reasoning Traces from Proprietary LLM APIs" (arXiv:2608.09867) tutkijat Panfilov, Schmotz, Shumailov, Beurer-Kellner, Schaeffer, Prabhu, Geiping ja Andriushchenko löysivät kriittisen arkkitehtuurisen heikkouden. Salatut 'ajattelu'-lohkot, jotka Anthropic, OpenAI ja Google palauttavat API-asiakkailleen, eivät ole kunnolla sidottu alkuperäänsä. Nämä lohkot voidaan poimia yhdestä keskustelusta ja toistaa heikompaan, vähemmän suojattuun sisarmalliin samalta palveluntarjoajalta, joka tulostaa huippumallin piilotetun päättelyn selkokielisenä . Hyökkäys toimii istuntojen, käyttäjätilien ja saman palveluntarjoajan eri mallien välillä . Tutkijat vahvistivat tekniikan toimivan jokaisessa testatussa suuressa tekoäly-yhtiössä, ja talteen saadun päättelyn pituus vastaa API:n ilmoittamaa piilotettujen ajatusmerkkien määrää lähes 1:1 .

Todisteita Kimi K3:n tislauskiistassa

Esitetyt päättelyjäljet tarjoavat korkealaatuisia harjoitussignaaleja mallin tislaukseen – käytäntöön, jossa vahvemman mallin tuotoksia käytetään pienemmän ja halvemman kilpailijamallin kouluttamiseen . Tämä tekniikka on kiistan keskiössä, joka liittyy kiinalaisiin tekoälylaboratorioihin:

• Anthropic on julkisesti todennut, että kiinalaiset tekoälylaboratoriot, kuten DeepSeek, Moonshot ja MiniMax, käyttivät noin 24 000 vilpillistä tiliä luodakseen yli 16 miljoonaa vuorovaikutusta Claude-mallin kanssa kiertäen käyttörajoituksia .
• Kimi K3, jonka Moonshot AI julkaisi heinäkuussa 2026, mainittiin Jamestown-säätiön raportissa nimenomaisesti tislauksen avulla rakennettuna mallina, jonka suorituskyvyn väitetään olevan verrattavissa Anthropicin Claude Fable 5:een ja OpenAI:n GPT-5.6 Soliin .
• Ryan Greenblatt (Redwood Research) julkaisi tilastollisen analyysin, joka sisältää ristientropiavertailuja, jotka viittaavat siihen, että Kimi K3:n tuotokset ovat läheisesti linjassa Anthropicin Claude-mallien kanssa .
• Valkoisen talon tiedeneuvonantaja Michael Kratsios syytti julkisesti Moonshotia siitä, että Kimi K3 on rakennettu "peitellyn teollisen tislauksen" avulla .

Todisteet eivät kuitenkaan ole lopullisia. Tutkijat, kuten Braden Hancock (Laude-instituutti) ja Nathan Lambert (Allen Institute for AI), väittävät, että pelkkä tislaus ei selitä Kimi K3:n kaikkia ominaisuuksia. Laajalti levinnyt PDF-tiedosto, jonka väitettiin todistavan päättelyketjun tislauksen, sai kritiikkiä siitä, että se yhdisti rajoitetun kokeen perusteettomiin väitteisiin .

Haavoittuvuuden aiheuttamat tietoturvariskit

Heikkous aiheuttaa monia konkreettisia riskejä, jotka ylittävät immateriaaliomaisuuden varkauden:

• Tunnistetietojen ja henkilötietojen vuoto: Tutkijat purkivat 315 320 julkisista arkistoista kerättyä päättelylohkoa ja löysivät 367 henkilötietoja sisältävää artefaktia ja 182 tunnistetta (mukaan lukien API-avaimet ja salasanat), jotka oli upotettu päättelyjälkiin .
• Tislaukseneston kiertäminen: Sama haavoittuvuus, joka mahdollistaa päättelyn poimimisen, kiertää myös palveluntarjoajien omat tislauksenestosuojaukset .
• Haitallisen käyttäytymisen siirtyminen: Erillinen artikkeli ("Hidden in Thought: Transferable Chain-of-Thought Artifacts Induce Harmful Behavior") havaitsi, että siirretyt päättelyjäljet voivat nostaa haitallisten vastausten osuuden yli 80 prosenttiin kaikkein haavoittuvimmilla avoimen lähdekoodin malleilla .
• Piilotettujen kehotteiden paljastuminen: Opaakkeja päättelykenttiä, joita agenttikehittäjät pitävät turvallisina säilyttää ja julkaista, saattaa sisältää piilotettuja järjestelmäohjeita ja tunnistetietoja .

Miten OpenAI, Anthropic ja Google vastasivat?

Kaikkiin kolmeen yritykseen otettiin yhteyttä ennen 'Varastetut ajatukset' -tutkimuksen julkaisua. Raporttien mukaan OpenAI, Anthropic ja Google estivät ristiinmallisen päättelyhyökkäyksen saatuaan tiedon siitä. Tarkkoja tietoja heidän lievennystoimistaan ei ole täysin julkistettu, mutta haavoittuvuus vahvistettiin olevan olemassa kaikkien kolmen palveluntarjoajan API-rajapinnoissa ennen korjausta . Hyökkäyksen estäminen viittaa siihen, että yritykset toteuttivat palvelinpuolen korjauksia – todennäköisesti rajoittaen salattujen päättelylohkojen uudelleenkäyttöä eri mallikontekstien tai -tilien välillä .

Anthropic oli jo aiemmin julkisesti taistellut tiskausta vastaan suuressa mittakaavassa raportoidessaan 24 000 vilpillisestä tilistä ja 16 miljoonasta vuorovaikutuksesta, joita kiinalaiset laboratoriot käyttivät Claude-tuotosten poimimiseen .

Keskeinen opetus sekä REP- että Varastetut ajatukset -tutkimuksista on, että päättelyjälkien piilottaminen tai salaaminen on lähtökohtaisesti hauras turvallisuusstrategia – jos päättely on olemassa mallin painoissa, se voidaan saada esiin .