OpenAI łączy część prób wydobycia ukrytego rozumowania GPT z Moonshot AI

OpenAI twierdzi, że zakłóciło kampanię, której celem miało być skłonienie modeli GPT do ujawniania chronionego, ukrytego rozumowania. Firma przypisała główną część zaobserwowanej aktywności, a nie całość, osobom związanym z Moonshot AI, twórcą modeli Kimi. OpenAI podkreśla też, że nie ustaliło, czy wszyscy operatorzy działali na zlecenie jednego podmiotu.

To istotne zastrzeżenie: opisane liczby dotyczą prób, nie potwierdzonych przypadków skutecznego wydobycia informacji. Zarzuty OpenAI należy również odróżnić od osobnych ustaleń przedstawionych we wrześniu przez amerykańskie agencje i Anthropic.

Co według OpenAI wydarzyło się w lipcu?

Firma podaje, że pierwsze ślady aktywności pojawiły się 1 lipca 2026 r. Największy wzrost nastąpił 24 i 25 lipca: OpenAI zarejestrowało wtedy 16 tys. zapytań wykorzystujących wzorzec mający wydobywać ukryte rozumowanie, pochodzących od ponad 4 tys. użytkowników. Dalsza analiza wykazała podobne wzorce zapytań u ponad 15 tys. użytkowników. OpenAI informuje, że zakłóciło tę aktywność do 28 lipca.

Jeden z opisanych sposobów polegał na skopiowaniu zaszyfrowanego rozumowania z jednej rozmowy i poproszeniu modelu w innej rozmowie o jego odszyfrowanie oraz przepisanie. Celem miało być uzyskanie informacji, których model normalnie nie pokazuje w końcowej odpowiedzi. OpenAI zaznacza jednak, że nie może potwierdzić, iż próby zakończyły się powodzeniem ani że za całą aktywnością stał jeden sprawca.

Co mówią amerykańskie agencje i Anthropic?

We wrześniu NSA, CISA i FBI opublikowały wspólne ostrzeżenie dotyczące przemysłowej skali nieautoryzowanej destylacji modeli. Wymieniają w nim Moonshot AI wśród sześciu firm z Chin, którym przypisują — łącznie — pozyskiwanie miliardów tokenów w milionach zapytań kierowanych do amerykańskich modeli granicznych, co najmniej od końca 2024 r. Te zbiorcze liczby nie dotyczą wyłącznie Moonshot AI. Agencje ostrzegają też, że zapytania mogą przechodzić przez różne kanały dostępu, w tym interfejsy API, dostawców chmurowych i zewnętrznych pośredników.

Anthropic osobno oskarżyło Moonshot AI o potajemne przekazywanie zapytań użytkowników do Claude zamiast obsługiwania ich przez Kimi. Według firmy w jednym przypadku w ciągu dziesięciu dni przekazano w ten sposób niemal 300 tys. zapytań, z których większość trafiła do modelu Opus. Anthropic twierdzi, że użytkownicy nie byli o tym informowani. To zarzuty Anthropic, a nie niezależne ustalenie, że każde z tych zapytań służyło destylacji modelu.

Destylacja to metoda uczenia mniejszego modelu na odpowiedziach większego. Sama w sobie jest powszechną techniką; spór w tych sprawach dotyczy zarzucanego nieautoryzowanego pozyskiwania odpowiedzi i obchodzenia warunków dostępu.

Kimi K3 w Codexie — osobny wątek

Równolegle pojawiła się wiadomość o udostępnieniu Moonshot AI-owego modelu Kimi K3 klientom biznesowym przez narzędzie programistyczne Codex i amerykańskiego dostawcę infrastruktury AI Baseten. Według doniesień firmy mogą rozliczać korzystanie z Kimi K3 w ramach istniejących zobowiązań zakupowych wobec OpenAI, bez uruchamiania osobnej procedury wyboru dostawcy. Media opisywały tę integrację jako pierwsze wejście chińskiego modelu open source do tego kanału zakupowego OpenAI. 13

To wyrazisty kontrast wobec zarzutów OpenAI, ale dostępne informacje nie dowodzą, że integracja z Codexem miała jakikolwiek związek z opisywaną kampanią wydobywania ukrytego rozumowania.

Jakie zabezpieczenia zaleciły agencje?

Wspólne ostrzeżenie NSA, CISA i FBI wzywa amerykańskie firmy AI do wdrażania kompleksowego wykrywania i ograniczania takich działań. Agencje zwracają uwagę, że rozproszenie zapytań między różne kanały może utrudniać ustalenie ich pochodzenia. Dostępne tu informacje nie pozwalają jednak przedstawić kompletnej, szczegółowej listy zalecanych zabezpieczeń, dlatego nie należy przypisywać agencjom konkretnej checklisty bez odwołania do pełnej treści ostrzeżenia.