「偷諗法」攻擊：研究員破解AI隱藏推理，Kimi K3蒸餾爭議再升溫

2026年，兩個獨立研究團隊先後公開破解咗頂尖AI模型嘅隱藏推理機制。第一個係叫做Reasoning Exposure Prompting（REP）嘅提示詞攻擊，可以將模型刻意隱藏嘅思考鏈扯返出嚟俾用戶睇到。第二個係叫「偷諗法」（Stolen Thoughts）嘅重演攻擊，專攻OpenAI、Anthropic同Google點樣加密API回傳嘅原始思考區塊嘅結構漏洞。兩個漏洞加埋，為中國AI系統好似Moonshot嘅Kimi K3係咪透過蒸餾偷取美國專有模型呢個爭議，提供咗全新嘅法證證據。

兩種互補嘅攻擊方法

Reasoning Exposure Prompting (REP)——2026年5月30日發表嘅論文《Hidden Thoughts Are Not Secret: Reasoning Trace Exposure in LLMs》（arXiv:2606.00642）入面，研究員Lu、Tsai、Tsai、Popa同Yu展示咗，即使供應商刻意隱藏思考鏈，一個輕量級嘅上文下理提示技巧都可以將隱藏推理扯返出嚟。呢個方法叫做影子模型提示（shadow-model prompting），係用一個較細、冇限制嘅模型產生示範，再用輔助代碼格式包裝，去從目標模型度提取內部痕跡。提取到嘅痕跡夠晒仔細，可以用嚟蒸餾一個細模型出嚟。

「偷諗法」重演攻擊——2026年8月10至11日發表嘅論文《Stealing Reasoning Traces from Proprietary LLM APIs》（arXiv:2608.09867）入面，研究員Panfilov、Schmotz、Shumailov、Beurer-Kellner、Schaeffer、Prabhu、Geiping同Andriushchenko發現咗一個關鍵嘅架構缺陷。Anthropic、OpenAI同Google回傳俾API用戶嘅加密「思考」區塊，係冇同來源綁實嘅。呢啲區塊可以從一段對話抽起，然後重演落同一個供應商嘅弱啲兄弟模型度，跟住兄弟模型就會將旗艦模型嘅隱藏推理印返出嚟做明文。呢種攻擊跨越唔同對話、唔同用戶帳戶，甚至同一個供應商旗下嘅唔同模型都得。研究員確認呢個技巧喺佢哋測試嘅每一間頂尖AI公司都work到，而且還原出嚟嘅推理長度同API報稱嘅隱藏思考token數幾乎係1比1吻合。

Kimi K3蒸餾爭議嘅證據

提取出嚟嘅推理痕跡，為模型蒸餾——即係用強模型嘅輸出嚟訓練一個更平、更細嘅競爭對手模型——提供咗高質素嘅訓練訊號。呢個技術正正係圍繞中國AI實驗室嘅激烈爭議核心：

• Anthropic公開話，包括DeepSeek、Moonshot同MiniMax在內嘅中國AI實驗室，用咗大約24,000個假帳戶，同Claude產生咗超過1,600萬次對話，避開咗存取限制。
• Kimi K3——Moonshot AI喺2026年7月推出——被Jamestown Foundation點名係透過蒸餾造出嚟嘅模型，效能號稱可以同Anthropic嘅Claude Fable 5同OpenAI嘅GPT-5.6 Sol媲美。
• Ryan Greenblatt（Redwood Research）發表咗一個統計分析，顯示交叉熵比較之下，Kimi K3嘅輸出同Anthropic嘅Claude模型非常近似。
• 白宮科學顧問Michael Kratsios公開指控Moonshot係透過「秘密工業蒸餾」整出Kimi K3。

不過，證據唔係鐵證。包括Laude Institute嘅Braden Hancock同Allen Institute for AI嘅Nathan Lambert在內嘅研究員都話，齋靠蒸餾解釋唔到Kimi K3嘅全部能力。一份聲稱證明咗思考鏈蒸餾嘅廣傳PDF，就被批評係將有限嘅實驗同未經證實嘅主張夾埋一齊。

漏洞帶嚟嘅安全風險

呢個缺陷帶嚟嘅具體風險遠超知識產權盜竊：

• 憑證同個人資料洩漏：研究員解碼咗由公開儲存庫搜集返嚟嘅315,320個推理區塊，恢復咗367件PII資料同182組憑證（包括API密鑰同密碼），全部都係嵌入喺推理痕跡入面嘅。
• 反蒸餾繞過：呢個漏洞同時破解咗供應商自己嘅反蒸餾保護措施。
• 有害行為轉移：另一份論文《Hidden in Thought: Transferable Chain-of-Thought Artifacts Induce Harmful Behavior》發現，轉移嘅推理痕跡可以將有害回應率推高到超過80%，尤其係針對最脆弱嘅開源模型。
• 隱藏提示暴露：代理開發者當做安全可以保留同發布嘅唔透明推理欄位，入面其實可以藏有隱藏系統指令同憑證。

OpenAI、Anthropic同Google點樣回應

三間公司喺「偷諗法」論文發表之前都俾研究員通知咗。根據報導，OpenAI、Anthropic同Google收到通知之後已經封鎖咗呢種跨模型推理攻擊。具體嘅緩解措施細節冇喺公開來源全面披露，但漏洞喺修補之前確實存在於三間供應商嘅API。攻擊被「封鎖」意味住公司實施咗伺服器端嘅修正——好大機會係限制加密推理區塊喺唔同模型情境或用戶帳戶之間嘅重用。

Anthropic之前已經公開同大規模蒸餾抗爭，舉報咗中國實驗室用24,000個假帳戶同1,600萬次對話嚟提取Claude輸出。

無論係REP定係「偷諗法」論文，核心教訓都係一樣：隱藏或者加密推理痕跡，係一種根本上就好脆弱嘅安全策略——如果推理存在於模型權重入面，就一定會俾人誘導出嚟。