「偷走的思維」攻擊：研究人員破解頂尖AI隱藏推理，揭露Kimi K3蒸餾爭議

2026年，兩個獨立研究團隊發表了突破頂尖AI模型隱藏推理安全性的方法。第一種是稱為推理暴露提示（Reasoning Exposure Prompting, REP） 的提示技術，能將模型隱藏的思維鏈拉回用戶可見的輸出中。第二種是稱為「偷走的思維」的重播攻擊，利用OpenAI、Anthropic與Google在API中回傳的加密推理區塊的結構性缺陷。這兩項漏洞共同為中國AI系統（如Moonshot的Kimi K3）是否透過蒸餾美國專有模型而建構的持續爭議，提供了新的法醫證據。

兩種互補的攻擊向量

推理暴露提示（REP） — 於2026年5月30日發表在論文《隱藏思維並非秘密：大型語言模型中的推理軌跡暴露》（arXiv:2606.00642）中，研究人員Lu、Tsai、Tsai、Popa與Yu證明，即使供應商刻意隱藏思維鏈推理，一種輕量級的上下文提示技術仍可將隱藏推理拉回用戶可見的輸出中。這種方法稱為影子模型提示，利用來自較小、不受限制模型的示範，包裹在輔助代碼格式中，從受害模型中提取內部軌跡。恢復的軌跡細節足以蒸餾出一個較小的模型。

「偷走的思維」重播攻擊 — 於2026年8月10日至11日發表在論文《從專有LLM API竊取推理軌跡》（arXiv:2608.09867）中，研究人員Panfilov、Schmotz、Shumailov、Beurer-Kellner、Schaeffer、Prabhu、Geiping與Andriushchenko發現了一個關鍵的架構缺陷。Anthropic、OpenAI與Google回傳給API客戶端的加密「思維」區塊，並未與其來源正確密封。這些區塊可以從一次對話中取出，並重播到同一供應商較弱、防護較少的同系列模型中，後者便會以明文列印出前沿模型的隱藏推理。此攻擊可跨會話、跨用戶帳戶以及跨同一供應商生態系中的模型運作。研究人員證實，此技術在他們測試的每一家主要前沿AI公司上皆能運作，且恢復的推理長度與API回報的隱藏思考令牌數量幾乎是1:1吻合。

Kimi K3蒸餾爭議的證據

提取出的推理軌跡為模型蒸餾提供了高品質的訓練訊號——即利用較強模型的輸出，來訓練一個更小、更便宜的競爭對手模型。這項技術正處於圍繞中國AI實驗室的一場激烈爭議中心：

• Anthropic公開表示，包括DeepSeek、Moonshot、MiniMax在內的中國AI實驗室，使用了約24,000個詐騙帳戶，與Claude產生了超過1,600萬次互動，規避了存取限制。
• Kimi K3，由Moonshot AI於2026年7月發布，被詹姆斯敦基金會列為具體透過蒸餾建構的模型，其效能據稱可與Anthropic的Claude Fable 5和OpenAI的GPT-5.6 Sol相媲美。
• Ryan Greenblatt（Redwood Research）發表了一項統計分析，顯示交叉熵比較結果暗示Kimi K3的輸出與Anthropic的Claude模型高度吻合。
• 白宮科學顧問Michael Kratsios公開指責Moonshot透過「秘密工業級蒸餾」建構Kimi K3。

然而，證據並非決定性。包括Braden Hancock（Laude Institute）和Nathan Lambert（艾倫AI研究所）在內的研究人員認為，僅憑蒸餾無法解釋Kimi K3的全部能力。一份廣為流傳、聲稱證明思維鏈蒸餾的PDF，被批評為結合了有限的實驗與未經證實的主張。

漏洞帶來的安全風險

該缺陷帶來了超越智慧財產權盜竊的多項具體風險：

• 憑證與個資外洩：研究人員解碼了從公開儲存庫中抓取的315,320個推理區塊，並恢復了367個個資和182組憑證（包括API金鑰和密碼），這些都嵌入在推理軌跡中。
• 繞過反蒸餾保護：同樣的漏洞也使得供應商自身的反蒸餾保護措施失效。
• 有害行為轉移：另一篇論文《隱藏於思維：可轉移的思維鏈工藝品誘發有害行為》發現，轉移的推理軌跡可使最脆弱的開源模型的有害回覆率高於80%。
• 隱藏提示暴露：代理開發人員視為安全可保留並發布的不透明推理欄位，可能包含隱藏的系統指令和憑證。

OpenAI、Anthropic與Google的回應

所有三家公司在論文發表前都已接到「偷走的思維」研究團隊的通知。根據報導，OpenAI、Anthropic與Google在獲悉後封鎖了跨模型推理攻擊。他們具體的緩解措施細節並未在已發布來源中完整揭露，但該漏洞在修補前已確認存在於所有三家供應商的API中。攻擊被「封鎖」表明這些公司實施了伺服器端修復——很可能限制了加密推理區塊在不同模型上下文或帳戶間的重複使用。

Anthropic在此之前已持續公開對抗大規模蒸餾，報告了中國實驗室用於提取Claude輸出的24,000個詐騙帳戶和1,600萬次互動。

REP和「偷走的思維」論文的核心教訓是，隱藏或加密推理軌跡從根本上來說是一種脆弱的資安策略——如果推理存在於模型權重中，它就可以被誘導出來。