團隊掃描咗大約 7,000 個公開嘅智能體日誌，發現隱藏喺加密區塊入面嘅 62 個有效 API Key、33 個密碼同總共 704 項私隱資料。
Kimi K3 嘅輸出顯示出同 Claude 極度相似嘅「異常機率現象」，仲試過自稱係「Claude」，但因為 Claude Opus 4.8 只係早過 K3 好短時間推出，令蒸餾指控嘅時間線備受質疑。
What technique did researchers from the University of Tübingen, the Max Planck Institute, MATS Research, and Snyk develop to extract hiddenThe replay attack involves feeding an encrypted reasoning block from a frontier model into a weaker sibling model, which decodes the hidden chain-of-thought. (AI-generated illustration.)
AI 提示
Create a landscape editorial hero image for this Studio Global article: What technique did researchers from the University of Tübingen, the Max Planck Institute, MATS Research, and Snyk develop to extract hidden. Article summary: ## The Technique: "Replay Attack" on Encrypted Reasoning Traces. Topic tags: general, academic, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
2026 年 8 月，由德國圖賓根大學、馬克斯普朗克智能系統研究所、MATS Research、ELLIS Institute Tübingen 同保安公司 Snyk 組成嘅研究團隊，發表咗一篇論文，描述咗一種簡單得令人驚訝嘅攻擊手法，專門針對頂尖 AI 模型嘅加密推理步驟。呢種攻擊成功繞過咗 Anthropic、OpenAI 同 Google 三大供應商，而且完全唔需要破解任何一個旗艦模型。關鍵在於呢啲公司嘅一個基本架構決定：佢哋將加密嘅「推理區塊」傳返俾 API 客戶端，而唔係儲存喺伺服器；更致命嘅係，呢啲區塊可以跨 session、跨用戶、甚至跨同一供應商嘅唔同模型使用 。研究人員嘅做法好簡單：將一個由旗艦模型產生嘅加密推理區塊，餵俾同一供應商嘅一個弱雞兄弟模型，後者就會直接解碼並輸出晒啲文字出嚟 。呢個技術喺論文 （2026 年 8 月 10 日提交至 arXiv）入面被稱為「解密越獄」 。
團隊掃描咗大約 7,000 個公開嘅智能體日誌，發現隱藏喺加密區塊入面嘅 62 個有效 API Key、33 個密碼同總共 704 項私隱資料。
Kimi K3 嘅輸出顯示出同 Claude 極度相似嘅「異常機率現象」，仲試過自稱係「Claude」，但因為 Claude Opus 4.8 只係早過 K3 好短時間推出，令蒸餾指控嘅時間線備受質疑。
What technique did researchers from the University of Tübingen, the Max Planck Institute, MATS Research, and Snyk develop to extract hiddenThe replay attack involves feeding an encrypted reasoning block from a frontier model into a weaker sibling model, which decodes the hidden chain-of-thought. (AI-generated illustration.)
AI 提示
Create a landscape editorial hero image for this Studio Global article: What technique did researchers from the University of Tübingen, the Max Planck Institute, MATS Research, and Snyk develop to extract hidden. Article summary: ## The Technique: "Replay Attack" on Encrypted Reasoning Traces. Topic tags: general, academic, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
2026 年 8 月，由德國圖賓根大學、馬克斯普朗克智能系統研究所、MATS Research、ELLIS Institute Tübingen 同保安公司 Snyk 組成嘅研究團隊，發表咗一篇論文，描述咗一種簡單得令人驚訝嘅攻擊手法，專門針對頂尖 AI 模型嘅加密推理步驟。呢種攻擊成功繞過咗 Anthropic、OpenAI 同 Google 三大供應商，而且完全唔需要破解任何一個旗艦模型。關鍵在於呢啲公司嘅一個基本架構決定：佢哋將加密嘅「推理區塊」傳返俾 API 客戶端，而唔係儲存喺伺服器；更致命嘅係，呢啲區塊可以跨 session、跨用戶、甚至跨同一供應商嘅唔同模型使用 。研究人員嘅做法好簡單：將一個由旗艦模型產生嘅加密推理區塊，餵俾同一供應商嘅一個弱雞兄弟模型，後者就會直接解碼並輸出晒啲文字出嚟 。呢個技術喺論文 （2026 年 8 月 10 日提交至 arXiv）入面被稱為「解密越獄」 。
Stealing Reasoning Traces from Proprietary LLM APIs
重播攻擊係點運作？
當你用 API 查問一個旗艦模型（例如 Claude Opus 4.8 或 GPT-5.6 Sol）嗰陣，模型內部會進行逐步推理——即係佢嘅「思維鏈」（chain of thought）——然後將呢段推理過程以加密文字區塊嘅形式傳返俾客戶端。之後每次查問，客戶端都會將呢個區塊傳返俾 API，等模型可以繼續推理，而供應商就唔需要喺伺服器 keep 住個中間狀態 。
研究人員發現嘅漏洞係：呢啲加密區塊唔係綁定喺某個特定 session、用戶或者模型。成個供應商嘅系統用嘅係同一把全球加密金鑰 。所以，由一個對話 capture 返嚟嘅區塊，可以喺另一個對話入面重播。關鍵一步：將一個由安全措施好嚴緊嘅旗艦模型產生嘅區塊，餵俾同一供應商嘅一個弱雞兄弟模型（例如 Claude Haiku），呢個弱雞模型因為冇咁多拒絕機制，就會乖乖仔咁將區塊嘅內容照單全收咁輸出 。
成個攻擊只需要兩次 API 呼叫：一次 capture 加密區塊，另一次就將佢餵俾弱雞模型。研究人員證實呢個攻擊可以大規模進行 。
間接證據：Kimi K3 嘅「異常機率」模式
呢個攻擊唔單止揭露咗旗艦模型嘅推理過程，仲為一個持續爭議提供咗新證據：究竟中國 AI 公司 Moonshot AI 嘅 Kimi K3 模型係咪透過「蒸餾」（即係抄襲）美國模型嘅推理步驟嚟訓練出嚟？
研究人員提取咗 Claude Opus 4.8 同 GPT-5.6 Sol 嘅推理步驟之後，同 Kimi K3 呢類開放權重模型嘅輸出做比對。結果發現，Kimi K3 嘅輸出顯示出一啲「異常機率現象」，同 Claude 同 GPT 嘅推理步驟模式高度吻合 。
呢個證據係間接嘅，唔係決定性嘅。獨立研究人員話，呢啲發現「提供咗一啲證據——雖然唔係確鑿證據——證明某啲中國模型可能係透過蒸餾美國模型嘅推理資訊嚟訓練」 。另一個引人遐想嘅發現：當 Kimi K3 被要求自我介紹嗰陣，佢最初話自己係 Anthropic 嘅「Claude」 。
Kimi K3 係 Moonshot AI 喺 2026 年 7 月 16 日發布嘅一個 2.8 萬億參數開放權重模型。佢喺幾個 benchmarks 上超越咗 Claude Opus 4.8，但唔係毫無爭議嘅領導者。根據獨立嘅「人工智能分析智能指數」（Artificial Analysis Intelligence Index），K3 得分係 57，比 Claude Fable 5 嘅 60 分同 GPT-5.6 Sol 嘅 59 分都要低。Moonshot 自己都坦承，K3 整體上仍然落後於 GPT-5.6 Sol 同 Claude Fable 5 。
研究團隊向 OpenAI、Anthropic、Google、Microsoft 同 Hugging Face 披露咗佢哋嘅發現。供應商實施咗更改之後，可重複性檢查證實，主要嘅提取技巧已經唔能夠再喺當前嘅 API 版本上成功執行 。文件而家建議開發人員喺分享日誌或者喺對話中途切換模型之前，先剝離推理區塊 。
值得留意嘅係，密碼學研究人員 Matthew Green 喺 2026 年 5 月曾經分別向 OpenAI 同 Anthropic 嘅 bug bounty 計劃報告過跨 session 重播嘅漏洞，但喺呢篇學術論文發表前，佢收到嘅係唔睬唔理嘅回覆 。
呢次「偷心」攻擊揭示咗現代 AI API 設計入面一個基本矛盾。供應商想將推理狀態卸載到客戶端，以換取可擴展性同低延遲，但要安全噉跨 session、跨用戶、跨模型綁定呢個狀態，就需要好小心嘅設計。Anthropic、OpenAI 同 Google 採用嘅單一全球加密金鑰方法，係一個捷徑，結果製造咗一個影響每一個同呢啲 API 互動嘅用戶同開發人員嘅安全同私隱漏洞。
呢次攻擊亦恰逢中美之間關於 AI 蒸餾嘅衝突不斷升級。雖然關於 Kimi K3 嘅證據係間接嘅，但佢提供咗目前為止最強嘅技術證據，顯示蒸餾可能正在大規模進行，並且為政策制定者同研究人員提供咗一個新工具，用嚟調查 AI 模型嘅來源。
【資料來源】
Stealing Reasoning Traces from Proprietary LLM APIs - arXiv.org
A New Trick Reveals AI Models’ Inner Thoughts - Dnyuz
Annual AI Paper: 3 Top Leading Global Large Models' Anti-Distillation Mechanisms Fully Cracked - 36Kr EN
Encrypted Reasoning Cracked Across Anthropic, OpenAI & Google - ITNerd Blog
New Method Lets Anyone Extract AI Model Secrets - AI Daily Post
Researchers Penetrate AI Thought Processes, Find Clues Suggesting Chinese Firms May Copy U.S. Models - Thairath EN
Security flaw lets researchers extract AI models' hidden reasoning - Hello Marvis AI Today
Single Shared Encryption Key Let Anyone Read AI Reasoning Buried in Published Logs - TechTimes
Stolen Thoughts — encrypted reasoning pulled out of Claude, GPT ... - TLDR AI
AI's secret thoughts may not be so secret after all - Firstpost
Stealing Reasoning Traces from Proprietary LLM APIs
重播攻擊係點運作？
當你用 API 查問一個旗艦模型（例如 Claude Opus 4.8 或 GPT-5.6 Sol）嗰陣，模型內部會進行逐步推理——即係佢嘅「思維鏈」（chain of thought）——然後將呢段推理過程以加密文字區塊嘅形式傳返俾客戶端。之後每次查問，客戶端都會將呢個區塊傳返俾 API，等模型可以繼續推理，而供應商就唔需要喺伺服器 keep 住個中間狀態 。
研究人員發現嘅漏洞係：呢啲加密區塊唔係綁定喺某個特定 session、用戶或者模型。成個供應商嘅系統用嘅係同一把全球加密金鑰 。所以，由一個對話 capture 返嚟嘅區塊，可以喺另一個對話入面重播。關鍵一步：將一個由安全措施好嚴緊嘅旗艦模型產生嘅區塊，餵俾同一供應商嘅一個弱雞兄弟模型（例如 Claude Haiku），呢個弱雞模型因為冇咁多拒絕機制，就會乖乖仔咁將區塊嘅內容照單全收咁輸出 。
成個攻擊只需要兩次 API 呼叫：一次 capture 加密區塊，另一次就將佢餵俾弱雞模型。研究人員證實呢個攻擊可以大規模進行 。
間接證據：Kimi K3 嘅「異常機率」模式
呢個攻擊唔單止揭露咗旗艦模型嘅推理過程，仲為一個持續爭議提供咗新證據：究竟中國 AI 公司 Moonshot AI 嘅 Kimi K3 模型係咪透過「蒸餾」（即係抄襲）美國模型嘅推理步驟嚟訓練出嚟？
研究人員提取咗 Claude Opus 4.8 同 GPT-5.6 Sol 嘅推理步驟之後，同 Kimi K3 呢類開放權重模型嘅輸出做比對。結果發現，Kimi K3 嘅輸出顯示出一啲「異常機率現象」，同 Claude 同 GPT 嘅推理步驟模式高度吻合 。
呢個證據係間接嘅，唔係決定性嘅。獨立研究人員話，呢啲發現「提供咗一啲證據——雖然唔係確鑿證據——證明某啲中國模型可能係透過蒸餾美國模型嘅推理資訊嚟訓練」 。另一個引人遐想嘅發現：當 Kimi K3 被要求自我介紹嗰陣，佢最初話自己係 Anthropic 嘅「Claude」 。
Kimi K3 係 Moonshot AI 喺 2026 年 7 月 16 日發布嘅一個 2.8 萬億參數開放權重模型。佢喺幾個 benchmarks 上超越咗 Claude Opus 4.8，但唔係毫無爭議嘅領導者。根據獨立嘅「人工智能分析智能指數」（Artificial Analysis Intelligence Index），K3 得分係 57，比 Claude Fable 5 嘅 60 分同 GPT-5.6 Sol 嘅 59 分都要低。Moonshot 自己都坦承，K3 整體上仍然落後於 GPT-5.6 Sol 同 Claude Fable 5 。
研究團隊向 OpenAI、Anthropic、Google、Microsoft 同 Hugging Face 披露咗佢哋嘅發現。供應商實施咗更改之後，可重複性檢查證實，主要嘅提取技巧已經唔能夠再喺當前嘅 API 版本上成功執行 。文件而家建議開發人員喺分享日誌或者喺對話中途切換模型之前，先剝離推理區塊 。
值得留意嘅係，密碼學研究人員 Matthew Green 喺 2026 年 5 月曾經分別向 OpenAI 同 Anthropic 嘅 bug bounty 計劃報告過跨 session 重播嘅漏洞，但喺呢篇學術論文發表前，佢收到嘅係唔睬唔理嘅回覆 。
呢次「偷心」攻擊揭示咗現代 AI API 設計入面一個基本矛盾。供應商想將推理狀態卸載到客戶端，以換取可擴展性同低延遲，但要安全噉跨 session、跨用戶、跨模型綁定呢個狀態，就需要好小心嘅設計。Anthropic、OpenAI 同 Google 採用嘅單一全球加密金鑰方法，係一個捷徑，結果製造咗一個影響每一個同呢啲 API 互動嘅用戶同開發人員嘅安全同私隱漏洞。
呢次攻擊亦恰逢中美之間關於 AI 蒸餾嘅衝突不斷升級。雖然關於 Kimi K3 嘅證據係間接嘅，但佢提供咗目前為止最強嘅技術證據，顯示蒸餾可能正在大規模進行，並且為政策制定者同研究人員提供咗一個新工具，用嚟調查 AI 模型嘅來源。
【資料來源】
Stealing Reasoning Traces from Proprietary LLM APIs - arXiv.org
A New Trick Reveals AI Models’ Inner Thoughts - Dnyuz
Annual AI Paper: 3 Top Leading Global Large Models' Anti-Distillation Mechanisms Fully Cracked - 36Kr EN
Encrypted Reasoning Cracked Across Anthropic, OpenAI & Google - ITNerd Blog
New Method Lets Anyone Extract AI Model Secrets - AI Daily Post
Researchers Penetrate AI Thought Processes, Find Clues Suggesting Chinese Firms May Copy U.S. Models - Thairath EN
Security flaw lets researchers extract AI models' hidden reasoning - Hello Marvis AI Today
Single Shared Encryption Key Let Anyone Read AI Reasoning Buried in Published Logs - TechTimes
Stolen Thoughts — encrypted reasoning pulled out of Claude, GPT ... - TLDR AI
AI's secret thoughts may not be so secret after all - Firstpost
arxiv.orgStealing Reasoning Traces from Proprietary LLM APIs - arXiv.org
dnyuz.comA New Trick Reveals AI Models’ Inner Thoughts
techtimes.comSingle Shared Encryption Key Let Anyone Read AI Reasoning Buried in Published Logs
ai-tldr.dev