德國圖賓根大學、馬克斯·普朗克研究所、MATS Research與資安公司Snyk共同發表論文，發現Anthropic、OpenAI和Google的AI模型加密推理區塊共用同一把全球金鑰，可跨會話、跨使用者、跨模型重放。 攻擊者只需兩次API呼叫：一次從前沿模型（如Claude Opus 4.8）捕捉加密推理區塊，另一次將其餵給同一提供商防護較弱的兄弟模型，後者會直接以明文輸出隱藏思考過程。
Kimi K3的輸出表現出「異常機率現象」，與Claude和GPT的推理軌跡高度吻合；該模型在被要求自我介紹時甚至一度自稱「Claude」。
What technique did researchers from the University of Tübingen, the Max Planck Institute, MATS Research, and Snyk develop to extract hiddenThe replay attack involves feeding an encrypted reasoning block from a frontier model into a weaker sibling model, which decodes the hidden chain-of-thought. (AI-generated illustration.)
AI 提示詞
Create a landscape editorial hero image for this Studio Global article: What technique did researchers from the University of Tübingen, the Max Planck Institute, MATS Research, and Snyk develop to extract hidden. Article summary: ## The Technique: "Replay Attack" on Encrypted Reasoning Traces. Topic tags: general, academic, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
2026年8月，一支來自德國圖賓根大學（University of Tübingen）、馬克斯·普朗克智慧系統研究所（Max Planck Institute for Intelligent Systems）、MATS Research、ELLIS Institute Tübingen 以及資安公司 Snyk 的研究團隊，發表了一篇論文，展示了一種令人驚訝的簡單攻擊手法，能破解前沿AI模型的加密推理軌跡。這項攻擊同時影響了三大AI供應商——Anthropic、OpenAI 和 Google——而且完全不需要對任何前沿模型進行越獄（jailbreaking）。
研究團隊發現，這些公司並非將推理過程儲存在伺服器端，而是將加密的「推理區塊」（reasoning blocks）回傳給API客戶端。更關鍵的是，這些加密區塊可以在不同會話、不同使用者，甚至同一供應商的不同模型之間完全互通。研究人員只需將從前沿模型（如 Claude Opus 4.8）捕捉到的加密推理區塊，重放（replay）給同一供應商下防護較弱的兄弟模型（如 Claude Haiku），後者便會直接將軌跡以明文解碼輸出。這篇名為《從專有LLM API中竊取推理軌跡》（Stealing Reasoning Traces from Proprietary LLM APIs）的預印本，於2026年8月10日提交至arXiv平台。
德國圖賓根大學、馬克斯·普朗克研究所、MATS Research與資安公司Snyk共同發表論文，發現Anthropic、OpenAI和Google的AI模型加密推理區塊共用同一把全球金鑰，可跨會話、跨使用者、跨模型重放。 攻擊者只需兩次API呼叫：一次從前沿模型（如Claude Opus 4.8）捕捉加密推理區塊，另一次將其餵給同一提供商防護較弱的兄弟模型，後者會直接以明文輸出隱藏思考過程。
德國圖賓根大學、馬克斯·普朗克研究所、MATS Research與資安公司Snyk共同發表論文，發現Anthropic、OpenAI和Google的AI模型加密推理區塊共用同一把全球金鑰，可跨會話、跨使用者、跨模型重放。 攻擊者只需兩次API呼叫：一次從前沿模型（如Claude Opus 4.8）捕捉加密推理區塊，另一次將其餵給同一提供商防護較弱的兄弟模型，後者會直接以明文輸出隱藏思考過程。
Kimi K3的輸出表現出「異常機率現象」，與Claude和GPT的推理軌跡高度吻合；該模型在被要求自我介紹時甚至一度自稱「Claude」。
What technique did researchers from the University of Tübingen, the Max Planck Institute, MATS Research, and Snyk develop to extract hiddenThe replay attack involves feeding an encrypted reasoning block from a frontier model into a weaker sibling model, which decodes the hidden chain-of-thought. (AI-generated illustration.)
AI 提示詞
Create a landscape editorial hero image for this Studio Global article: What technique did researchers from the University of Tübingen, the Max Planck Institute, MATS Research, and Snyk develop to extract hidden. Article summary: ## The Technique: "Replay Attack" on Encrypted Reasoning Traces. Topic tags: general, academic, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, clickbait thumbnails, icons, and tiny thumbnail layouts. Make it useful as an illustrative visual, not as factual evidence.
openai.com
2026年8月，一支來自德國圖賓根大學（University of Tübingen）、馬克斯·普朗克智慧系統研究所（Max Planck Institute for Intelligent Systems）、MATS Research、ELLIS Institute Tübingen 以及資安公司 Snyk 的研究團隊，發表了一篇論文，展示了一種令人驚訝的簡單攻擊手法，能破解前沿AI模型的加密推理軌跡。這項攻擊同時影響了三大AI供應商——Anthropic、OpenAI 和 Google——而且完全不需要對任何前沿模型進行越獄（jailbreaking）。
研究團隊發現，這些公司並非將推理過程儲存在伺服器端，而是將加密的「推理區塊」（reasoning blocks）回傳給API客戶端。更關鍵的是，這些加密區塊可以在不同會話、不同使用者，甚至同一供應商的不同模型之間完全互通。研究人員只需將從前沿模型（如 Claude Opus 4.8）捕捉到的加密推理區塊，重放（replay）給同一供應商下防護較弱的兄弟模型（如 Claude Haiku），後者便會直接將軌跡以明文解碼輸出。這篇名為《從專有LLM API中竊取推理軌跡》（Stealing Reasoning Traces from Proprietary LLM APIs）的預印本，於2026年8月10日提交至arXiv平台。
德國圖賓根大學、馬克斯·普朗克研究所、MATS Research與資安公司Snyk共同發表論文，發現Anthropic、OpenAI和Google的AI模型加密推理區塊共用同一把全球金鑰，可跨會話、跨使用者、跨模型重放。 攻擊者只需兩次API呼叫：一次從前沿模型（如Claude Opus 4.8）捕捉加密推理區塊，另一次將其餵給同一提供商防護較弱的兄弟模型，後者會直接以明文輸出隱藏思考過程。
當使用者透過API查詢像 Claude Opus 4.8 或 GPT-5.6 Sol 這樣的前沿模型時，模型會先進行內部的逐步推理（即「鏈式思考」），然後將這個推理過程以一段不透明的加密文字區塊回傳給客戶端。後續每次請求時，客戶端會將這個區塊再次傳回API，讓模型可以接續推理，而供應商無需在伺服器端儲存中間狀態。
研究人員發現，這些加密區塊並未綁定特定的會話、使用者或模型。它們共用一把全域加密金鑰。這意味著，從一場對話中捕捉到的區塊，可以在完全不同的情境下重複使用。關鍵在於：將一個來自高度保護的前沿模型的加密區塊，餵給同一供應商下、防護較弱的兄弟模型（例如 Claude Haiku），這個較弱的模型——因其拒絕機制較少——會直接將區塊內容一字不漏地解碼輸出。
這項攻擊不僅曝光了前沿模型的推理過程，也為一場持續已久的爭論提供了新證據：中國AI公司 Moonshot AI 是否透過蒸餾（distillation，實質上就是複製）美國模型的推理過程來訓練其 Kimi K3 模型？
研究人員在從 Claude Opus 4.8 和 GPT-5.6 Sol 提取出推理軌跡後，將其與包括 Kimi K3 在內的開放權重模型的輸出進行比較。他們發現，Kimi K3 的輸出表現出所謂的「異常機率現象」（abnormal probability phenomena），與 Claude 和 GPT 的推理軌跡模式高度吻合。
這些證據是間接的，並非決定性證據。獨立研究人員表示，這些發現「提供了一些證據——儘管不是結論性證據——表明某些中國模型可能是透過蒸餾美國模型的推理資訊來訓練的」。另外一個引人注目的發現是：當 Kimi K3 被要求自我介紹時，它最初曾自稱是 Anthropic 的「Claude」，這進一步加劇了外界的指控。
Kimi K3 是 Moonshot AI 於2026年7月16日發布的2.8兆參數開放權重模型。它在多項基準測試中超越了 Claude Opus 4.8，但並非毫無爭議的領先者。在獨立的 Artificial Analysis Intelligence Index 上，K3 得分為57，低於 Claude Fable 5 的60分和 GPT-5.6 Sol 的59分。Moonshot 本身也罕見地坦承，K3 總體上仍落後於 GPT-5.6 Sol 和 Claude Fable 5。
Kimi K3 的發布立即引發爭議。在其7月16日發布後的幾小時內，Anthropic 就指控 Moonshot 透過蒸餾 Claude 來打造 K3，這項指控甚至驚動了白宮，引發了制裁的討論。
然而，對蒸餾指控持批評意見的人士指出了時間線上的問題。Claude Opus 4.8 是在 Kimi K3 發布前不久才推出的。獨立研究人員表示，從時間上來看，直接複製「難以令人信服」，因為根本沒有足夠的時間，利用一個剛發布不久的模型來蒸餾訓練一個2.8兆參數的模型。Moonshot 則主張 K3 是建立在獨立研究的基礎上。
「思維盜取」攻擊揭示了現代AI API設計中的一個根本矛盾。供應商希望將推理狀態卸載到客戶端，以獲得更好的可擴展性和更低的延遲，但要確保這些狀態在跨會話、使用者和模型時的安全性，就需要精心的設計。Anthropic、OpenAI 和 Google 採用的單一全域加密金鑰方法是一種捷徑，它為所有與這些API互動的使用者和開發者創造了一個安全與隱私漏洞。
這項攻擊也恰逢中美之間因AI蒸餾問題而日益升高的緊張局勢。雖然關於 Kimi K3 的證據是間接的，但它提供了迄今為止最強烈的技術證據，表明大規模蒸餾可能正在發生，並為政策制定者和研究人員提供了一個調查AI模型來源的新工具。
Stolen Thoughts — encrypted reasoning pulled out of Claude, GPT ...
當使用者透過API查詢像 Claude Opus 4.8 或 GPT-5.6 Sol 這樣的前沿模型時，模型會先進行內部的逐步推理（即「鏈式思考」），然後將這個推理過程以一段不透明的加密文字區塊回傳給客戶端。後續每次請求時，客戶端會將這個區塊再次傳回API，讓模型可以接續推理，而供應商無需在伺服器端儲存中間狀態。
研究人員發現，這些加密區塊並未綁定特定的會話、使用者或模型。它們共用一把全域加密金鑰。這意味著，從一場對話中捕捉到的區塊，可以在完全不同的情境下重複使用。關鍵在於：將一個來自高度保護的前沿模型的加密區塊，餵給同一供應商下、防護較弱的兄弟模型（例如 Claude Haiku），這個較弱的模型——因其拒絕機制較少——會直接將區塊內容一字不漏地解碼輸出。
這項攻擊不僅曝光了前沿模型的推理過程，也為一場持續已久的爭論提供了新證據：中國AI公司 Moonshot AI 是否透過蒸餾（distillation，實質上就是複製）美國模型的推理過程來訓練其 Kimi K3 模型？
研究人員在從 Claude Opus 4.8 和 GPT-5.6 Sol 提取出推理軌跡後，將其與包括 Kimi K3 在內的開放權重模型的輸出進行比較。他們發現，Kimi K3 的輸出表現出所謂的「異常機率現象」（abnormal probability phenomena），與 Claude 和 GPT 的推理軌跡模式高度吻合。
這些證據是間接的，並非決定性證據。獨立研究人員表示，這些發現「提供了一些證據——儘管不是結論性證據——表明某些中國模型可能是透過蒸餾美國模型的推理資訊來訓練的」。另外一個引人注目的發現是：當 Kimi K3 被要求自我介紹時，它最初曾自稱是 Anthropic 的「Claude」，這進一步加劇了外界的指控。
Kimi K3 是 Moonshot AI 於2026年7月16日發布的2.8兆參數開放權重模型。它在多項基準測試中超越了 Claude Opus 4.8，但並非毫無爭議的領先者。在獨立的 Artificial Analysis Intelligence Index 上，K3 得分為57，低於 Claude Fable 5 的60分和 GPT-5.6 Sol 的59分。Moonshot 本身也罕見地坦承，K3 總體上仍落後於 GPT-5.6 Sol 和 Claude Fable 5。
Kimi K3 的發布立即引發爭議。在其7月16日發布後的幾小時內，Anthropic 就指控 Moonshot 透過蒸餾 Claude 來打造 K3，這項指控甚至驚動了白宮，引發了制裁的討論。
然而，對蒸餾指控持批評意見的人士指出了時間線上的問題。Claude Opus 4.8 是在 Kimi K3 發布前不久才推出的。獨立研究人員表示，從時間上來看，直接複製「難以令人信服」，因為根本沒有足夠的時間，利用一個剛發布不久的模型來蒸餾訓練一個2.8兆參數的模型。Moonshot 則主張 K3 是建立在獨立研究的基礎上。
「思維盜取」攻擊揭示了現代AI API設計中的一個根本矛盾。供應商希望將推理狀態卸載到客戶端，以獲得更好的可擴展性和更低的延遲，但要確保這些狀態在跨會話、使用者和模型時的安全性，就需要精心的設計。Anthropic、OpenAI 和 Google 採用的單一全域加密金鑰方法是一種捷徑，它為所有與這些API互動的使用者和開發者創造了一個安全與隱私漏洞。
這項攻擊也恰逢中美之間因AI蒸餾問題而日益升高的緊張局勢。雖然關於 Kimi K3 的證據是間接的，但它提供了迄今為止最強烈的技術證據，表明大規模蒸餾可能正在發生，並為政策制定者和研究人員提供了一個調查AI模型來源的新工具。
Stolen Thoughts — encrypted reasoning pulled out of Claude, GPT ...
arxiv.orgStealing Reasoning Traces from Proprietary LLM APIs - arXiv.org
dnyuz.comA New Trick Reveals AI Models’ Inner Thoughts
techtimes.comSingle Shared Encryption Key Let Anyone Read AI Reasoning Buried in Published Logs
ai-tldr.dev