Что OpenAI утверждает о попытках Moonshot AI извлечь скрытые рассуждения GPT

OpenAI заявила, что пресекла кампанию, участники которой пытались добиться от её моделей раскрытия защищённых внутренних рассуждений. Компания связала с Moonshot AI — разработчиком семейства Kimi — основную группу активности, но не утверждает, что все замеченные операторы действовали от имени одной организации. По словам OpenAI, данные отражают попытки, а не обязательно успешное извлечение рассуждений.

Что известно о масштабе и сроках

OpenAI датирует первые замеченные эпизоды первой неделей июля 2026 года. 24–25 июля компания зафиксировала около 16 000 запросов с характерным для извлечения рассуждений шаблоном от более чем 4 000 пользователей. При дальнейшем расследовании схожие запросы обнаружились более чем у 15 000 пользователей; связанную активность, по сообщению компании, удалось пресечь к 28 июля.

Среди описанных приёмов был такой: операторы копировали зашифрованный фрагмент рассуждений из одного диалога, а затем просили модель в другом диалоге расшифровать и переписать его. OpenAI не заявляла, что участники взломали шифрование или получили доступ к базам переписок: речь шла о попытках воспроизвести защищённый материал через взаимодействие с моделью.

Важно и ограничение атрибуции. OpenAI говорит, что связала с людьми, ассоциированными с Moonshot AI, основную группу, но не смогла установить, были ли все операторы частью единой кампании или одного субъекта. Компания также не подтверждает, что все попытки привели к получению полезных данных.

Что утверждали американские ведомства и Anthropic

В совместном предупреждении от 8 сентября NSA, CISA и FBI назвали Moonshot AI одной из шести китайских компаний, которые, по утверждению ведомств, использовали дистилляцию для извлечения возможностей американских передовых моделей. Совокупный масштаб, указанный в предупреждении, — миллионы запросов и миллиарды токенов с конца 2024 года или позднее; эти общие цифры не относятся только к Moonshot AI. Ведомства также описали маршрутизацию запросов через разные каналы, включая API, облачных провайдеров и сторонние агрегаторы.

Отдельно Anthropic обвинила Moonshot в том, что компания без уведомления пользователей перенаправляла их запросы в Claude, а ответы подавала как результат работы Kimi. Anthropic сообщила почти о 300 000 запросов за десять дней в одном из таких эпизодов; большинство из них, по её данным, направлялось модели Opus. Это обвинение самой Anthropic, а не независимое подтверждение того, что каждый запрос использовался для обучения или улучшения Kimi.

Дистилляция — это обучение менее мощной модели на ответах более мощной. Сам метод применяется в индустрии, однако американские ведомства и Anthropic описывали здесь предполагаемое несанкционированное использование коммерческих моделей и обход условий доступа.

Почему в этой истории упоминают Codex

В конце сентября стало известно, что корпоративные пользователи могут запускать модель Moonshot AI Kimi K3 в среде Codex через американского провайдера инференса Baseten. Расходы на использование модели учитываются в рамках уже существующих обязательств клиентов перед OpenAI, поэтому отдельная закупка у нового поставщика не требуется. В сообщениях о запуске Kimi K3 называли первой китайской открытой моделью, вошедшей в этот корпоративный платёжный канал. 13

Это заметный контраст на фоне обвинений OpenAI, но сам факт доступности Kimi K3 через Codex не доказывает, что интеграция помогала вести описанные попытки извлечения данных. 3

Какие меры защиты рекомендовали ведомства

Совместное предупреждение NSA, CISA и FBI призывает компании выявлять и снижать риски промышленного масштаба несанкционированной дистилляции; в доступном описании отдельно упоминается комплексный подход к обнаружению и противодействию.

Однако приведённые материалы не позволяют надёжно перечислить полный набор конкретных мер из предупреждения. Поэтому точный исчерпывающий чек-лист ведомствам приписывать не стоит.