安全公司 Xint 披露，OpenAI 的对话压缩流程曾存在一处漏洞，研究人员可借此让模型的隐藏推理以可读文本形式输出。Xint 将这一方法称为“压缩走私”（compaction smuggling）。据该公司及相关报道，OpenAI 已于 2026 年 10 月 23 日修复问题；Xint 于 10 月 26 日公开披露。25

漏洞如何利用对话压缩

对话压缩的作用，是把较长的聊天内容整理成更短的表示形式。Xint 的报告称，研究人员引导压缩流程，将模型隐藏推理复制进压缩条目，再让较旧的模型读取该条目并转写其中内容。543

关键在于，报道所描述的并不是通过普通对话直接要求模型公开推理。相关报道指出，模型推理通常以用户无法读取的加密条目形式返回；被报告的漏洞则利用 API 后续处理环节，让内容在不同功能和模型之间流转时变得可读。2 因此，现有信息指向的是数据在处理流程中的保护不足，并不能据此说加密机制本身已被破解。

部分报道提到，研究人员从 gpt-5.6-sol 提取推理，并通过 gpt-4.1 和 gpt-4o 回显压缩内容。3334不过，现有公开材料不足以核实攻击的每个技术细节，例如具体调用格式或规避分类器的做法，因此不宜把这些细节当作已独立证实的事实。

为什么推理内容可能有价值

Xint 表示，这类漏洞可能为先进模型的大规模蒸馏提供条件。5 蒸馏通常是利用较强模型的输出作为训练材料，帮助较小模型学习其能力。与最终答案相比，推理轨迹可能包含更多解题过程信息，因此有潜在训练价值。但现有报道并未证明有人利用这一漏洞训练了竞争模型。

修复已确认，细节仍有限

Xint 称，OpenAI 确认了问题，并在 10 月 23 日部署了未公开具体内容的修复；Xint 则在三天后发布报告。5 The Hacker News 的报道也称 OpenAI 确认并修复了漏洞。2 一篇后续报道提到，研究团队获得了 6,000 美元的漏洞赏金。50

公开信息没有具体说明修复如何改变压缩条目的处理方式，也不足以核实所有测试范围和攻击格式的细节。因而，这一发现支持的是对所报告攻击路径的担忧，不能直接推断所有 OpenAI 模型或工作流程都受到同等影响。

安全启示：不能只检查单一环节

这起事件提醒开发者，敏感输出即使在某个 API 环节受到保护，也仍可能在后续功能处理或跨模型传递时暴露。Xint 称，该方法绕过了 OpenAI 在此前有关推理轨迹窃取研究后采取的缓解措施。5 CSO Online 强调的更广泛教训是：针对模型问题的修复需要重新测试，单次修补未必能彻底解决问题。3

对 AI 服务提供方而言，安全检查不能只关注用户能否直接索取隐藏推理，还要确认这些数据在压缩、转换和模型间传递的整个流程中是否持续受到保护。就目前公开信息而言，漏洞报告和厂商修复已有报道，但具体实现细节仍未公开。

安全公司 Xint 披露，OpenAI 的对话压缩流程曾存在一处漏洞，研究人员可借此让模型的隐藏推理以可读文本形式输出。Xint 将这一方法称为“压缩走私”（compaction smuggling）。据该公司及相关报道，OpenAI 已于 2026 年 10 月 23 日修复问题；Xint 于 10 月 26 日公开披露。25

漏洞如何利用对话压缩

对话压缩的作用，是把较长的聊天内容整理成更短的表示形式。Xint 的报告称，研究人员引导压缩流程，将模型隐藏推理复制进压缩条目，再让较旧的模型读取该条目并转写其中内容。543

关键在于，报道所描述的并不是通过普通对话直接要求模型公开推理。相关报道指出，模型推理通常以用户无法读取的加密条目形式返回；被报告的漏洞则利用 API 后续处理环节，让内容在不同功能和模型之间流转时变得可读。2 因此，现有信息指向的是数据在处理流程中的保护不足，并不能据此说加密机制本身已被破解。

部分报道提到，研究人员从 gpt-5.6-sol 提取推理，并通过 gpt-4.1 和 gpt-4o 回显压缩内容。3334不过，现有公开材料不足以核实攻击的每个技术细节，例如具体调用格式或规避分类器的做法，因此不宜把这些细节当作已独立证实的事实。

为什么推理内容可能有价值

Xint 表示，这类漏洞可能为先进模型的大规模蒸馏提供条件。5 蒸馏通常是利用较强模型的输出作为训练材料，帮助较小模型学习其能力。与最终答案相比，推理轨迹可能包含更多解题过程信息，因此有潜在训练价值。但现有报道并未证明有人利用这一漏洞训练了竞争模型。

修复已确认，细节仍有限

Xint 称，OpenAI 确认了问题，并在 10 月 23 日部署了未公开具体内容的修复；Xint 则在三天后发布报告。5 The Hacker News 的报道也称 OpenAI 确认并修复了漏洞。2 一篇后续报道提到，研究团队获得了 6,000 美元的漏洞赏金。50

公开信息没有具体说明修复如何改变压缩条目的处理方式，也不足以核实所有测试范围和攻击格式的细节。因而，这一发现支持的是对所报告攻击路径的担忧，不能直接推断所有 OpenAI 模型或工作流程都受到同等影响。

安全启示：不能只检查单一环节

这起事件提醒开发者，敏感输出即使在某个 API 环节受到保护，也仍可能在后续功能处理或跨模型传递时暴露。Xint 称，该方法绕过了 OpenAI 在此前有关推理轨迹窃取研究后采取的缓解措施。5 CSO Online 强调的更广泛教训是：针对模型问题的修复需要重新测试，单次修补未必能彻底解决问题。3

对 AI 服务提供方而言，安全检查不能只关注用户能否直接索取隐藏推理，还要确认这些数据在压缩、转换和模型间传递的整个流程中是否持续受到保护。就目前公开信息而言，漏洞报告和厂商修复已有报道，但具体实现细节仍未公开。