Atak „Skradzione Myśli”: Jak Naukowcy Złamali Ukryte Rozumowanie AI i Kimi K3

Dwa Uzupełniające się Wektory Ataku

Reasoning Exposure Prompting (REP) — Opublikowany 30 maja 2026 roku w pracy „Hidden Thoughts Are Not Secret: Reasoning Trace Exposure in LLMs” (arXiv:2606.00642), naukowcy Lu, Tsai, Tsai, Popa i Yu wykazali, że nawet gdy dostawcy celowo ukrywają rozumowanie krok po kroku, lekka technika promptowania w kontekście może wyciągnąć ukryte rozumowanie z powrotem do widocznego wyniku. Metoda, nazwana shadow-model prompting, wykorzystuje demonstracje z mniejszego, niczym nieograniczonego modelu, owinięte w pomocnicze formaty przypominające kod, aby wydobyć wewnętrzne ślady z modelu-ofiary. Odtworzone ślady są na tyle szczegółowe, że umożliwiają wytrenowanie mniejszego modelu .

Atak „Skradzione Myśli” (Stolen Thoughts) — Opublikowany 10–11 sierpnia 2026 roku w pracy „Stealing Reasoning Traces from Proprietary LLM APIs” (arXiv:2608.09867), naukowcy Panfilov, Schmotz, Shumailov, Beurer-Kellner, Schaeffer, Prabhu, Geiping i Andriushchenko odkryli krytyczną wadę architektoniczną. Zaszyfrowane bloki „myślenia”, które Anthropic, OpenAI i Google zwracają klientom API, nie są odpowiednio przypisane do swojego źródła. Bloki te można przenieść z jednej konwersacji i odtworzyć w słabszym, słabiej chronionym modelu pochodzącym od tego samego dostawcy, który następnie wypisuje ukryte rozumowanie modelu w zwykłym tekście . Atak działa między sesjami, kontami użytkowników i modelami w obrębie ekosystemu jednego dostawcy . Naukowcy potwierdzili, że technika działa na każdej głównej firmie zajmującej się modelami AI, którą testowali, a długość odzyskanego rozumowania prawie 1:1 odpowiada liczbie ukrytych tokenów myślenia zgłaszanej przez API .

Dowody w Kontrowersji wokół Destylacji Kimi K3

Wyodrębnione ślady rozumowania stanowią wysokiej jakości sygnały treningowe dla destylacji modeli — praktyki używania wyników silniejszego modelu do trenowania mniejszego, tańszego modelu konkurencyjnego . Ta technika znajduje się w centrum gorącej kontrowersji wokół chińskich laboratoriów AI:

• Anthropic publicznie oświadczył, że chińskie laboratoria AI, w tym DeepSeek, Moonshot i MiniMax, użyły około 24 000 fałszywych kont, aby wygenerować ponad 16 milionów interakcji z Claude, obchodząc ograniczenia dostępu .
• Kimi K3, wydany w lipcu 2026 roku przez Moonshot AI, został wskazany przez Jamestown Foundation jako konkretny model zbudowany przez destylację, o wydajności porównywalnej z Anthropic Claude Fable 5 i OpenAI GPT-5.6 Sol .
• Ryan Greenblatt (Redwood Research) opublikował analizę statystyczną pokazującą porównania entropii krzyżowej, które sugerują, że wyniki Kimi K3 są ściśle zgodne z modelami Claude od Anthropic .
• Doradca naukowy Białego Domu Michael Kratsios publicznie oskarżył Moonshot o zbudowanie Kimi K3 poprzez „tajną destylację przemysłową” .

Jednak dowody nie są rozstrzygające. Naukowcy, w tym Braden Hancock (Laude Institute) i Nathan Lambert (Allen Institute for AI), argumentują, że sama destylacja nie może wyjaśnić pełnych możliwości Kimi K3. Powszechnie rozpowszechniony plik PDF rzekomo dowodzący destylacji łańcucha myśli został skrytykowany za łączenie ograniczonego eksperymentu z niepopartymi twierdzeniami .

Zagrożenia Bezpieczeństwa Stwarzane przez Lukę

Wada wprowadza kilka konkretnych zagrożeń wykraczających poza kradzież własności intelektualnej:

• Wyciek danych uwierzytelniających i PII: Naukowcy zdekodowali 315 320 bloków rozumowania zebranych z publicznych repozytoriów i odzyskali 367 artefaktów PII oraz 182 dane uwierzytelniające (w tym klucze API i hasła), które zostały osadzone wewnątrz śladów rozumowania .
• Obejście zabezpieczeń przed destylacją: Ta sama podatność, która umożliwia ekstrakcję, pokonuje również własne zabezpieczenia antydestylacyjne dostawców .
• Transfer szkodliwych zachowań: Osobna praca („Hidden in Thought: Transferable Chain-of-Thought Artifacts Induce Harmful Behavior”) wykazała, że przeniesione ślady rozumowania mogą podnieść wskaźnik szkodliwych odpowiedzi powyżej 80% w przypadku najbardziej podatnych na ataki modeli open-source .
• Ujawnienie ukrytych promptów: Nieprzezroczyste pola rozumowania, które twórcy agentów traktują jako bezpieczne do przechowywania i publikowania, mogą zawierać ukryte instrukcje systemowe i dane uwierzytelniające .

Jak Zareagowały OpenAI, Anthropic i Google

Wszystkie trzy firmy zostały skontaktowane przez badaczy „Skradzionych Myśli” przed publikacją. Według doniesień, OpenAI, Anthropic i Google zablokowały atak na rozumowanie między modelami po otrzymaniu zgłoszenia. Szczegóły ich działań naprawczych nie zostały w pełni ujawnione w opublikowanych źródłach, ale potwierdzono, że podatność istniała we wszystkich interfejsach API tych trzech dostawców przed załataniem . Fakt, że atak został „zablokowany”, sugeruje, że firmy wdrożyły poprawki po stronie serwera – prawdopodobnie ograniczając ponowne użycie zaszyfrowanych bloków rozumowania w różnych kontekstach modeli lub kontach .

Anthropic już wcześniej publicznie walczył z destylacją na dużą skalę, zgłaszając 24 000 fałszywych kont i 16 milionów interakcji wykorzystywanych przez chińskie laboratoria do wyodrębniania wyników Claude .

Główna lekcja płynąca zarówno z prac REP, jak i „Skradzionych Myśli” jest taka, że ukrywanie lub szyfrowanie śladów rozumowania jest z natury kruchą strategią bezpieczeństwa – jeśli rozumowanie istnieje w wagach modelu, można je wywołać .