เปิดโปง ‘Stolen Thoughts’: วิธีง่ายๆ ที่เจาะความลับการคิดของ AI ชั้นนำ และเบาะแสที่บ่งชี้ว่า Kimi K3 อาจถูก ‘กลั่นกรอง’ จากโมเดลสหรัฐฯ

ในเดือนสิงหาคม ค.ศ. 2026 ทีมนักวิจัยจากมหาวิทยาลัยทือบิงเงิน (University of Tübingen), สถาบันมักซ์พลังค์เพื่อระบบอัจฉริยะ (Max Planck Institute for Intelligent Systems), MATS Research, ELLIS Institute Tübingen และบริษัทรักษาความปลอดภัย Snyk ได้ตีพิมพ์บทความที่อธิบายถึงการโจมตีที่เรียบง่ายอย่างน่าประหลาดใจต่อ ‘ร่องรอยการคิด’ (reasoning traces) ที่ถูกเข้ารหัสของโมเดล AI ชั้นนำ การโจมตีนี้ใช้ได้ผลกับผู้ให้บริการรายใหญ่ทุกราย นั่นคือ Anthropic, OpenAI และ Google โดยที่ไม่จำเป็นต้อง ‘เจลเบรก’ (jailbreak) โมเดลใดๆ เลย

เคล็ดลับอยู่ที่จุดอ่อนทางสถาปัตยกรรม: บริษัทเหล่านี้ส่งคืน ‘บล็อกการคิด’ (reasoning blocks) ที่เข้ารหัสแล้วกลับไปยังไคลเอนต์ API แทนที่จะเก็บไว้ในเซิร์ฟเวอร์ และบล็อกเหล่านี้สามารถพกพาไปใช้ข้ามเซสชัน ผู้ใช้ และแม้แต่ข้ามโมเดลต่างๆ ภายในผู้ให้บริการรายเดียวกันได้ นักวิจัยเพียงแค่จับบล็อกการคิดที่เข้ารหัสจากโมเดลขั้นสูงมา ‘เล่นซ้ำ’ (replay) ใส่โมเดล ‘น้องเล็ก’ ที่อ่อนแอกว่าในเครือเดียวกัน ซึ่งโมเดลที่อ่อนแอกว่าจะถอดรหัสและแสดงร่องรอยการคิดออกมาเป็นข้อความธรรมดาให้เห็น

วิธีการโจมตีแบบ Replay Attack

เมื่อผู้ใช้สอบถามโมเดลระดับแนวหน้าอย่าง Claude Opus 4.8 หรือ GPT-5.6 Sol ผ่าน API โมเดลจะทำการคิดแบบทีละขั้นตอน (chain-of-thought) ภายใน และส่งคืนการคิดนั้นกลับไปยังไคลเอนต์ในรูปแบบของบล็อกข้อความที่ถูกเข้ารหัส ในการเรียกใช้ครั้งต่อไป ไคลเอนต์จะส่งบล็อกนี้กลับไปยัง API เพื่อให้โมเดลสามารถคิดต่อได้ โดยที่ผู้ให้บริการไม่ต้องจัดเก็บสถานะระหว่างกลางไว้ที่เซิร์ฟเวอร์

สิ่งที่นักวิจัยค้นพบคือ บล็อกที่เข้ารหัสเหล่านี้ไม่ได้ผูกติดกับเซสชัน ผู้ใช้ หรือแม้แต่โมเดลใดโดยเฉพาะ แต่กลับใช้คีย์เข้ารหัสสากลเพียงคีย์เดียวร่วมกันในทุกเซสชันและทุกผู้ใช้ ซึ่งหมายความว่า บล็อกที่จับได้จากการสนทนาหนึ่งสามารถนำไปเล่นซ้ำในบริบทอื่นได้ หัวใจสำคัญคือ: เมื่อป้อนบล็อกจากโมเดลระดับแนวหน้าที่มีการป้องกันแน่นหนาให้กับโมเดล ‘น้องเล็ก’ ที่อ่อนแอกว่าและถูกฝึกให้มีข้อจำกัดน้อยกว่า (เช่น Claude Haiku) โมเดลที่อ่อนแอกว่าจะทำหน้าที่เป็น ‘เครื่องถอดรหัส’ โดยจะถอดรหัสและแสดงเนื้อหาของบล็อกนั้นออกมาทั้งหมด

การโจมตีนี้ใช้การเรียก API เพียงสองครั้งเท่านั้น: ครั้งแรกเพื่อจับบล็อกที่เข้ารหัส และครั้งที่สองเพื่อป้อนบล็อกนั้นให้กับโมเดลที่อ่อนแอกว่า นักวิจัยแสดงให้เห็นว่าการโจมตีนี้สามารถทำได้ในวงกว้าง

หลักฐานแวดล้อมของการกลั่นกรอง: ‘ปรากฏการณ์ความน่าจะเป็นที่ผิดปกติ’ ของ Kimi K3

การโจมตีนี้ไม่ได้เปิดโปงแค่การคิดของโมเดลระดับแนวหน้าเท่านั้น แต่ยังให้หลักฐานใหม่ในข้อถกเถียงที่ดำเนินอยู่ว่า บริษัท AI สัญชาติจีน Moonshot AI ได้ฝึกฝนโมเดล Kimi K3 ของตนโดยการกลั่นกรอง (distilling) หรือก็คือการคัดลอกแนวคิดของโมเดลสหรัฐฯ หรือไม่

หลังจากดึงร่องรอยการคิดจาก Claude Opus 4.8 และ GPT-5.6 Sol ออกมาได้ นักวิจัยได้นำไปเปรียบเทียบกับผลลัพธ์ของโมเดล open-weight อื่นๆ รวมถึง Kimi K3 พวกเขาพบว่าผลลัพธ์ของ Kimi K3 แสดง ‘ปรากฏการณ์ความน่าจะเป็นที่ผิดปกติ’ (abnormal probability phenomena) ซึ่งใกล้เคียงกับรูปแบบที่พบในร่องรอยการคิดของ Claude และ GPT อย่างมาก

หลักฐานนี้เป็นเพียงหลักฐานแวดล้อม ยังไม่สามารถสรุปได้เด็ดขาด นักวิจัยอิสระกล่าวว่าการค้นพบนี้ “ให้หลักฐานบางอย่าง — แม้จะไม่ใช่ข้อพิสูจน์ที่แน่ชัด — ว่าโมเดลจีนบางรุ่นอาจถูกฝึกโดยการกลั่นกรองข้อมูลการคิดจากโมเดลสหรัฐฯ” นอกจากนี้ยังพบข้อเท็จจริงที่ชวนสงสัยอีกประการ: เมื่อถูกถามให้ระบุตัวตน Kimi K3 ระบุตัวเองในตอนแรกว่าเป็น ‘Claude’ ของ Anthropic ซึ่งยิ่งเติมเชื้อไฟให้กับข้อกล่าวหา

Kimi K3 เป็นโมเดล open-weight ขนาด 2.8 ล้านล้านพารามิเตอร์ เปิดตัวโดย Moonshot AI เมื่อวันที่ 16 กรกฎาคม ค.ศ. 2026 โดยทำคะแนนได้ดีกว่า Claude Opus 4.8 ในหลายเกณฑ์ชี้วัด แต่อย่างไรก็ตาม มันก็ไม่ได้เป็นผู้นำที่ชัดเจนแต่อย่างใด บนดัชนี Artificial Analysis Intelligence Index ซึ่งเป็นหน่วยงานอิสระ Kimi K3 ได้ 57 คะแนน ขณะที่ Claude Fable 5 ได้ 60 และ GPT-5.6 Sol ได้ 59 คะแนน Moonshot เองก็ยอมรับอย่างตรงไปตรงมาว่า K3 ยังคงตามหลัง GPT-5.6 Sol และ Claude Fable 5 โดยรวม

ข้อถกเถียงเรื่องไทม์ไลน์

ข้อกล่าวหาเรื่องการกลั่นกรองไม่ใช่เรื่องใหม่ — ทั้ง Anthropic และ OpenAI เคยกล่าวหาบริษัทจีนว่ากลั่นกรองโมเดลของตนอย่างเป็นระบบมาก่อน การตรวจสอบเอกสารวิชาการและสิทธิบัตรของจีนพบว่านักวิจัยทางทหารของจีนใช้ผลลัพธ์จากโมเดลของ OpenAI และ Anthropic เพื่อฝึกอบรมระบบ AI ในประเทศสำหรับขีดความสามารถด้านการป้องกันประเทศ

การเปิดตัว Kimi K3 ก่อให้เกิดความขัดแย้งในทันที ภายในไม่กี่ชั่วโมงหลังการเปิดตัวในวันที่ 16 กรกฎาคม Anthropic ก็กล่าวโทษ Moonshot ว่าสร้าง K3 โดยการกลั่นกรอง Claude และข้อกล่าวหานี้ไปถึงทำเนียบขาว ทำให้เกิดแนวโน้มว่าจะมีการคว่ำบาตร

อย่างไรก็ตาม ผู้ที่วิจารณ์ข้อกล่าวหาการกลั่นกรองชี้ให้เห็นถึงปัญหาเรื่องเวลา Claude Opus 4.8 เพิ่งเปิดตัวไม่นานก่อนที่ Kimi K3 จะเปิดตัว นักวิจัยอิสระกล่าวว่าไทม์ไลน์ดังกล่าวทำให้การคัดลอกโดยตรงนั้น ‘เป็นไปไม่ได้’ เพราะมีเวลาไม่เพียงพอที่จะฝึกโมเดลขนาด 2.8 ล้านล้านพารามิเตอร์โดยใช้การกลั่นกรองจากโมเดลที่เพิ่งเปิดตัวได้ไม่นาน ในขณะที่ Moonshot ยืนยันว่า K3 สร้างขึ้นจากงานวิจัยอิสระของตัวเอง

ช่องโหว่ด้านความปลอดภัย: ข้อมูลรั่วไหลในที่แจ้ง

จุดอ่อนทางสถาปัตยกรรมเดียวกันนี้ยังเผยให้เห็นช่องโหว่ด้านความปลอดภัยในทางปฏิบัติอีกด้วย เนื่องจากบางครั้งโมเดลระดับแนวหน้าได้รวมข้อมูลประจำตัว (credentials) และข้อมูลส่วนบุคคลเข้าไปในกระบวนการคิดของพวกเขา บล็อกการคิดที่เข้ารหัสซึ่งนักพัฒนาแชร์ต่อสาธารณะ — เช่น ในล็อกเซสชันของเอเจนต์ AI — จึงมีข้อมูลที่ละเอียดอ่อนซึ่งใครก็ตามที่รู้เคล็ดลับนี้ก็สามารถอ่านได้

จากการสแกนล็อกเซสชันเอเจนต์ที่แชร์ต่อสาธารณะประมาณ 7,000 รายการซึ่งเผยแพร่ก่อนเดือนสิงหาคม ค.ศ. 2026 นักวิจัยพบ คีย์ API ที่ยังใช้งานได้ 62 รายการ, รหัสผ่าน 33 รายการ และข้อมูลผู้ใช้ที่ละเอียดอ่อนอื่นๆ รวมทั้งสิ้น 704 รายการ ที่ซ่อนอยู่ภายในบล็อกการคิดที่เข้ารหัส นักพัฒนาที่เผยแพร่ล็อกเอเจนต์ดิบโดยไม่ได้ตรวจสอบ อาจเผยแพร่คีย์ API รหัสผ่าน และข้อมูลที่สามารถระบุตัวบุคคล (PII) โดยไม่รู้ตัว ภายในบล็อกที่พวกเขาเชื่อว่าไม่มีใครอ่านได้ ซึ่งรวมถึงล็อกที่ถูกเก็บไว้ในพื้นที่เก็บข้อมูลสาธารณะบน GitHub

นักวิจัยระบุเส้นทางการละเมิด (abuse paths) ที่แตกต่างกันสี่เส้นทางที่ช่องโหว่นี้เอื้อให้เกิด ได้แก่ การสร้างการคิดที่ซ่อนขึ้นมาใหม่ การกู้คืนความลับที่ฝังอยู่ในร่องรอยของเอเจนต์ การแทรกคำสั่งผ่านช่องทางที่ไม่สามารถตรวจสอบได้ และการเล่นซ้ำบล็อกที่ยังไม่หมดอายุข้ามเซสชัน

การตอบสนองของผู้ให้บริการ: การแก้ไขฝั่งเซิร์ฟเวอร์หลังการเปิดเผย

ทั้งสามบริษัทได้ดำเนินการ แก้ไขในฝั่งเซิร์ฟเวอร์ (server-side mitigations) หลังจากทีมวิจัยปฏิบัติตามขั้นตอนการเปิดเผยข้อมูลอย่างมีความรับผิดชอบ (responsible disclosure)

นักวิจัยเปิดเผยการค้นพบของตนต่อ OpenAI, Anthropic, Google, Microsoft และ Hugging Face หลังจากที่ผู้ให้บริการดำเนินการเปลี่ยนแปลงแล้ว การตรวจสอบความสามารถในการทำซ้ำยืนยันว่าเทคนิคการดึงข้อมูลหลักไม่สามารถใช้ได้ผลอีกต่อไปกับ API build ในปัจจุบัน ขณะนี้เอกสารแนะนำให้ลบบล็อกการคิดก่อนที่จะแชร์ล็อกหรือสลับโมเดลระหว่างการสนทนา

เป็นที่น่าสังเกตว่า นักวิจัยด้านวิทยาการเข้ารหัส Matthew Green ได้รายงานช่องโหว่การเล่นซ้ำข้ามเซสชันนี้แยกต่างหากไปยัง OpenAI และ Anthropic ผ่านโปรแกรม Bug Bounty ของพวกเขาในเดือนพฤษภาคม ค.ศ. 2026 แต่ได้รับการตอบกลับในเชิงปัดตก ก่อนที่บทความวิชาการนี้จะถูกตีพิมพ์

การแก้ไขมีผลตั้งแต่วันที่เผยแพร่ในเดือนสิงหาคม ค.ศ. 2026 แต่ล็อกเซสชันในอดีตที่มีบล็อกการคิดที่ถูกถอดรหัสแล้วซึ่งถูกดึงมาจากเว็บสาธารณะ (scrape) ยังคงสามารถเข้าถึงได้

เหตุใดเรื่องนี้จึงสำคัญ

การโจมตี ‘Stolen Thoughts’ เผยให้เห็นถึงความตึงเครียดพื้นฐานในการออกแบบ API AI สมัยใหม่ ผู้ให้บริการต้องการย้ายสถานะการคิดไปยังไคลเอนต์เพื่อความสามารถในการปรับขนาด (scalability) และลดความหน่วง (latency) แต่การผูกมัดด้วยการเข้ารหัส (cryptographic binding) ที่จำเป็นเพื่อรักษาความปลอดภัยให้กับสถานะดังกล่าวข้ามเซสชัน ผู้ใช้ และโมเดลนั้นต้องอาศัยการออกแบบที่รอบคอบ การใช้คีย์เข้ารหัสสากลเพียงคีย์เดียวของ Anthropic, OpenAI และ Google เป็นวิธีลัดที่สร้างช่องโหว่ด้านความปลอดภัยและความเป็นส่วนตัวที่ส่งผลกระทบต่อผู้ใช้และนักพัฒนาทุกคนที่โต้ตอบกับ API เหล่านี้

การโจมตีนี้ยังเกิดขึ้นในช่วงกลางของความขัดแย้งที่ทวีความรุนแรงขึ้นระหว่างสหรัฐฯ และจีนในเรื่องการกลั่นกรอง AI แม้ว่าหลักฐานที่เกี่ยวข้องกับ Kimi K3 จะเป็นเพียงหลักฐานแวดล้อม แต่มันก็เป็นหลักฐานทางเทคนิคที่หนักแน่นที่สุดเท่าที่เคยมีมา ที่บ่งชี้ว่าการกลั่นกรองอาจกำลังเกิดขึ้นในวงกว้าง และมันยังมอบเครื่องมือใหม่ให้กับผู้กำหนดนโยบายและนักวิจัยในการตรวจสอบที่มาที่ไปของโมเดล AI อีกด้วย