Как работает атака воспроизведения

Когда пользователь отправляет запрос флагманской модели (например, Claude Opus 4.8 или GPT-5.6 Sol) через API, модель выполняет внутренние пошаговые рассуждения («цепочку мыслей») и возвращает их клиенту в виде непрозрачного зашифрованного текста. При последующих вызовах клиент снова передаёт этот блок в API, что позволяет модели продолжать свои рассуждения, не храня промежуточное состояние на сервере .

Исследователи обнаружили, что эти зашифрованные блоки не привязаны к конкретной сессии, пользователю или даже модели. Все они используют один глобальный ключ шифрования для всех сессий и пользователей . Это означает, что блок, захваченный из одного диалога, можно воспроизвести в другом контексте. Ключевой момент: подайте блок от сильно защищённой флагманской модели более слабой и менее «выровненной» модели-сиблингу от того же провайдера (например, Claude Haiku), и более слабая модель — у которой меньше защитных механизмов — декодирует и выведет содержимое блока дословно .

Для выполнения атаки требуется всего два вызова API: один для получения зашифрованного блока и один для его передачи слабой модели. Исследователи продемонстрировали, что атака работает в масштабе .

Косвенные улики дистилляции: «аномальные вероятности» Kimi K3

Атака не только раскрыла логику флагманских моделей — она также предоставила новые доказательства в продолжающемся споре о том, не использовала ли китайская компания Moonshot AI дистилляцию (по сути, копирование) рассуждений американских моделей для обучения своей модели Kimi K3.

После извлечения цепочек рассуждений из Claude Opus 4.8 и GPT-5.6 Sol исследователи сравнили их с выходами моделей с открытыми весами, включая Kimi K3. Они обнаружили, что выходы Kimi K3 демонстрируют «аномальные вероятностные явления», которые очень близки к паттернам, найденным в логах Claude и GPT .

Доказательства являются косвенными, а не окончательными. Независимые исследователи отмечают, что результаты «предоставляют некоторые доказательства — хотя и не окончательные — того, что определённые китайские модели могли быть обучены путём дистилляции информации о рассуждениях из американских моделей» . Ещё один показательный факт: когда Kimi K3 попросили идентифицировать себя, она сначала представилась как «Claude от Anthropic», что подлило масла в огонь обвинений .

Kimi K3 — это модель с открытыми весами на 2,8 триллиона параметров, выпущенная Moonshot AI 16 июля 2026 года. Она превосходит Claude Opus 4.8 по нескольким тестам, но не является однозначным лидером. В независимом Индексе ИИ по версии Artificial Analysis Kimi K3 набирает 57 баллов против 60 у Claude Fable 5 и 59 у GPT-5.6 Sol. Сама Moonshot необычно откровенно признала, что K3 в целом всё ещё уступает GPT-5.6 Sol и Claude Fable 5 .

Спор о сроках

Обвинение в дистилляции не ново — и Anthropic, и OpenAI ранее обвиняли китайские фирмы в систематической дистилляции своих моделей. Обзор китайских академических статей и патентов показал, что китайские военные исследователи использовали выходные данные моделей OpenAI и Anthropic для обучения внутренних ИИ-систем для оборонных целей .

Запуск Kimi K3 сразу же вызвал споры. В течение нескольких часов после выхода 16 июля Anthropic обвинил Moonshot в том, что K3 построена на дистилляции Claude, и это обвинение дошло до Белого дома, что вызвало угрозу санкций .

Однако критики версии о дистилляции указывают на проблему со сроками. Claude Opus 4.8 была выпущена незадолго до запуска Kimi K3. Независимые исследователи называют прямое копирование «маловероятным», потому что просто не хватило бы времени, чтобы обучить модель на 2,8 триллиона параметров с помощью дистилляции модели, выпущенной совсем недавно . Moonshot утверждает, что K3 создана на основе независимых исследований .

Уязвимость безопасности: утечка конфиденциальных данных на виду

Этот же архитектурный изъян обернулся практической уязвимостью. Поскольку флагманские модели иногда включают учётные данные и личную информацию в свои рассуждения, зашифрованные блоки рассуждений, которые разработчики публиковали в открытом доступе (например, в логах агентов), содержали конфиденциальную информацию, которую мог прочитать любой, кто знал трюк.

Просканировав около 7000 публично доступных логов сессий агентов, опубликованных до августа 2026 года, исследователи обнаружили 62 действующих API-ключа, 33 пароля и другие конфиденциальные данные пользователей — всего 704 артефакта конфиденциальности, — спрятанные внутри зашифрованных блоков рассуждений . Любой разработчик, публиковавший «сырые» логи агентов, мог неосознанно раскрыть API-ключи, пароли и личную информацию в блоках, которые, как он считал, никто не сможет прочитать . Это включало логи, хранящиеся в публичных репозиториях GitHub .

Исследователи определили четыре основных пути злоупотребления, которые открывала эта уязвимость: восстановление скрытых рассуждений, извлечение секретов, встроенных в трассы агентов, внедрение инструкций через непроверяемый канал и межсессионное воспроизведение незаблокированных блоков .

Реакция провайдеров: патчи на стороне сервера после раскрытия

Все три компании развернули исправления на стороне сервера после того, как исследовательская группа соблюла процедуру ответственного раскрытия уязвимости .

Исследователи сообщили о своих находках в OpenAI, Anthropic, Google, Microsoft и Hugging Face. После того как провайдеры внедрили изменения, проверки на воспроизводимость подтвердили, что основной метод извлечения больше не работает против текущих версий API . Документация теперь рекомендует удалять блоки рассуждений перед публикацией логов или сменой модели в середине диалога .

Примечательно, что криптограф Мэттью Грин ранее независимо сообщал об уязвимости межсессионного воспроизведения в OpenAI и Anthropic через программы bug bounty в мае 2026 года, но получил пренебрежительные ответы до публикации академической статьи .

Исправления действуют по состоянию на август 2026 года, но исторические логи сессий с декодированными блоками рассуждений, которые уже были скачаны из открытого веба, остаются доступными .

Почему это важно

Атака «кража мыслей» выявила фундаментальное противоречие в дизайне современных ИИ-API. Провайдеры стремятся перенести состояние рассуждений на сторону клиента для масштабируемости и уменьшения задержек, но криптографическая привязка, необходимая для защиты этого состояния между сессиями, пользователями и моделями, требует тщательного проектирования. Использование единого глобального ключа шифрования, которое применяли Anthropic, OpenAI и Google, было компромиссным решением, создавшим уязвимость для безопасности и конфиденциальности, затронувшую каждого пользователя и разработчика, работавшего с этими API.

Атака также оказалась в центре эскалирующего американо-китайского конфликта вокруг дистилляции ИИ. Хотя доказательства относительно Kimi K3 являются косвенными, они предоставляют самые сильные технические свидетельства на сегодняшний день того, что дистилляция может происходить в масштабе, и дают политикам и исследователям новый инструмент для изучения происхождения ИИ-моделей.

Как работает атака воспроизведения

Когда пользователь отправляет запрос флагманской модели (например, Claude Opus 4.8 или GPT-5.6 Sol) через API, модель выполняет внутренние пошаговые рассуждения («цепочку мыслей») и возвращает их клиенту в виде непрозрачного зашифрованного текста. При последующих вызовах клиент снова передаёт этот блок в API, что позволяет модели продолжать свои рассуждения, не храня промежуточное состояние на сервере .

Исследователи обнаружили, что эти зашифрованные блоки не привязаны к конкретной сессии, пользователю или даже модели. Все они используют один глобальный ключ шифрования для всех сессий и пользователей . Это означает, что блок, захваченный из одного диалога, можно воспроизвести в другом контексте. Ключевой момент: подайте блок от сильно защищённой флагманской модели более слабой и менее «выровненной» модели-сиблингу от того же провайдера (например, Claude Haiku), и более слабая модель — у которой меньше защитных механизмов — декодирует и выведет содержимое блока дословно .

Для выполнения атаки требуется всего два вызова API: один для получения зашифрованного блока и один для его передачи слабой модели. Исследователи продемонстрировали, что атака работает в масштабе .

Косвенные улики дистилляции: «аномальные вероятности» Kimi K3

Атака не только раскрыла логику флагманских моделей — она также предоставила новые доказательства в продолжающемся споре о том, не использовала ли китайская компания Moonshot AI дистилляцию (по сути, копирование) рассуждений американских моделей для обучения своей модели Kimi K3.

После извлечения цепочек рассуждений из Claude Opus 4.8 и GPT-5.6 Sol исследователи сравнили их с выходами моделей с открытыми весами, включая Kimi K3. Они обнаружили, что выходы Kimi K3 демонстрируют «аномальные вероятностные явления», которые очень близки к паттернам, найденным в логах Claude и GPT .

Доказательства являются косвенными, а не окончательными. Независимые исследователи отмечают, что результаты «предоставляют некоторые доказательства — хотя и не окончательные — того, что определённые китайские модели могли быть обучены путём дистилляции информации о рассуждениях из американских моделей» . Ещё один показательный факт: когда Kimi K3 попросили идентифицировать себя, она сначала представилась как «Claude от Anthropic», что подлило масла в огонь обвинений .

Kimi K3 — это модель с открытыми весами на 2,8 триллиона параметров, выпущенная Moonshot AI 16 июля 2026 года. Она превосходит Claude Opus 4.8 по нескольким тестам, но не является однозначным лидером. В независимом Индексе ИИ по версии Artificial Analysis Kimi K3 набирает 57 баллов против 60 у Claude Fable 5 и 59 у GPT-5.6 Sol. Сама Moonshot необычно откровенно признала, что K3 в целом всё ещё уступает GPT-5.6 Sol и Claude Fable 5 .

Спор о сроках

Обвинение в дистилляции не ново — и Anthropic, и OpenAI ранее обвиняли китайские фирмы в систематической дистилляции своих моделей. Обзор китайских академических статей и патентов показал, что китайские военные исследователи использовали выходные данные моделей OpenAI и Anthropic для обучения внутренних ИИ-систем для оборонных целей .

Запуск Kimi K3 сразу же вызвал споры. В течение нескольких часов после выхода 16 июля Anthropic обвинил Moonshot в том, что K3 построена на дистилляции Claude, и это обвинение дошло до Белого дома, что вызвало угрозу санкций .

Однако критики версии о дистилляции указывают на проблему со сроками. Claude Opus 4.8 была выпущена незадолго до запуска Kimi K3. Независимые исследователи называют прямое копирование «маловероятным», потому что просто не хватило бы времени, чтобы обучить модель на 2,8 триллиона параметров с помощью дистилляции модели, выпущенной совсем недавно . Moonshot утверждает, что K3 создана на основе независимых исследований .

Уязвимость безопасности: утечка конфиденциальных данных на виду

Этот же архитектурный изъян обернулся практической уязвимостью. Поскольку флагманские модели иногда включают учётные данные и личную информацию в свои рассуждения, зашифрованные блоки рассуждений, которые разработчики публиковали в открытом доступе (например, в логах агентов), содержали конфиденциальную информацию, которую мог прочитать любой, кто знал трюк.

Просканировав около 7000 публично доступных логов сессий агентов, опубликованных до августа 2026 года, исследователи обнаружили 62 действующих API-ключа, 33 пароля и другие конфиденциальные данные пользователей — всего 704 артефакта конфиденциальности, — спрятанные внутри зашифрованных блоков рассуждений . Любой разработчик, публиковавший «сырые» логи агентов, мог неосознанно раскрыть API-ключи, пароли и личную информацию в блоках, которые, как он считал, никто не сможет прочитать . Это включало логи, хранящиеся в публичных репозиториях GitHub .

Исследователи определили четыре основных пути злоупотребления, которые открывала эта уязвимость: восстановление скрытых рассуждений, извлечение секретов, встроенных в трассы агентов, внедрение инструкций через непроверяемый канал и межсессионное воспроизведение незаблокированных блоков .

Реакция провайдеров: патчи на стороне сервера после раскрытия

Все три компании развернули исправления на стороне сервера после того, как исследовательская группа соблюла процедуру ответственного раскрытия уязвимости .

Исследователи сообщили о своих находках в OpenAI, Anthropic, Google, Microsoft и Hugging Face. После того как провайдеры внедрили изменения, проверки на воспроизводимость подтвердили, что основной метод извлечения больше не работает против текущих версий API . Документация теперь рекомендует удалять блоки рассуждений перед публикацией логов или сменой модели в середине диалога .

Примечательно, что криптограф Мэттью Грин ранее независимо сообщал об уязвимости межсессионного воспроизведения в OpenAI и Anthropic через программы bug bounty в мае 2026 года, но получил пренебрежительные ответы до публикации академической статьи .

Исправления действуют по состоянию на август 2026 года, но исторические логи сессий с декодированными блоками рассуждений, которые уже были скачаны из открытого веба, остаются доступными .

Почему это важно

Атака «кража мыслей» выявила фундаментальное противоречие в дизайне современных ИИ-API. Провайдеры стремятся перенести состояние рассуждений на сторону клиента для масштабируемости и уменьшения задержек, но криптографическая привязка, необходимая для защиты этого состояния между сессиями, пользователями и моделями, требует тщательного проектирования. Использование единого глобального ключа шифрования, которое применяли Anthropic, OpenAI и Google, было компромиссным решением, создавшим уязвимость для безопасности и конфиденциальности, затронувшую каждого пользователя и разработчика, работавшего с этими API.

Атака также оказалась в центре эскалирующего американо-китайского конфликта вокруг дистилляции ИИ. Хотя доказательства относительно Kimi K3 являются косвенными, они предоставляют самые сильные технические свидетельства на сегодняшний день того, что дистилляция может происходить в масштабе, и дают политикам и исследователям новый инструмент для изучения происхождения ИИ-моделей.