摘要： 進入推理模型時代後，模型怎麼思考，各家 API 都會一併交還給開發者。Anthropic、OpenAI、Google 的處理是把這段過程封進帶簽章或加密的區塊裡，拿到的開發者看到的是讀不出來的一團內容。8 月 10 日投上 arXiv、8 月 11 日在 Hacker News 被大量討論的論文〈Stealing Reasoning Traces from Proprietary LLM APIs〉，指出這個設計有個沒人預期的缺口：區塊確實加了密，但它可以被搬到別的地方使用。
進入推理模型時代後，模型怎麼思考，各家 API 都會一併交還給開發者。Anthropic、OpenAI、Google 的處理是把這段過程封進帶簽章或加密的區塊裡，拿到的開發者看到的是讀不出來的一團內容。8 月 10 日投上 arXiv、8 月 11 日在 Hacker News 被大量討論的論文〈Stealing Reasoning Traces from Proprietary LLM APIs〉，指出這個設計有個沒人預期的缺口：區塊確實加了密，但它可以被搬到別的地方使用。
論文出自 MATS Research、ELLIS Institute Tübingen、馬克斯普朗克智能系統研究所、Snyk 等機構組成的團隊。他們的攻擊最諷刺之處在於，強模型本身從頭到尾沒被碰過一次——所有步驟都跑在同一家廠商旗下、防護較鬆的較弱模型上。
攻擊手法：兩次 API 呼叫
步驟並不複雜。先取強模型（例如 Anthropic 的 claude-opus-4-8）產生的加密思考區塊，不改動其中任何內容，直接重放進同一家廠商較弱、防護較鬆的模型（claude-haiku-4-5）的對話裡；接著對這個弱模型越獄，要它把那段「看不懂的輸入」一字不動地轉錄出來。兩次呼叫之後，強模型的推理原文就成了明文。
OpenAI 這一側也一樣：GPT-5.2 Codex 的思考軌跡用 GPT-5.6 Luna 就解得出來，Google 的 API 也被測出相同毛病。為了確認抄下來的內容是真推理而不是幻覺，團隊拿 120 道 Codeforces 題目檢驗，還原出的推理長度與 API 自己回報的隱藏思考 token 數相當接近。
掃描公開軌跡：思考內容裡躺著機密
攻擊之外，論文還做了一項更貼近日常實況的測量。團隊掃過 6,708 條公開的代理執行軌跡，重建出 315,320 個思考區塊，並在其中辨識出 704 種隱私物件：62 組 API 金鑰、33 個密碼、24 個存取權杖、30 個個人信箱。這 704 種裡有 64 個物件只出現在推理內容中，可見輸出裡從頭到尾沒露臉。
換言之，思考鏈正變成資料外洩的一條新邊界：使用者與代理把機密寫進「只該給模型看」的位置，而這個位置如今被證明讀得出來。
一個設計缺陷衍生四種攻擊
論文整理出四條攻擊線。第一，繞過反蒸餾防護：Anthropic、OpenAI、Google 都被示範能取出推理鏈，原本指望用來阻止軌跡流向對手訓練流程的防線，實際上擋不住什麼。第二，大規模私密資料萃取，也就是上一節那份掃描結果。第三，思考區塊可以藏進有害內容，而模型的可見回答完全正常，負責稽核輸出的人看不出異狀。第四，隱形提示注入：指令可以直接寫進思考區塊，隨區塊帶進後續對話。
還有一項補充實驗值得記下：把推理內容預填充給 Moonshot Kimi-K3，它的答案會跟著改變。這些區塊不只是文字，對模型行為具有實際的控制力。
根因與修補：問題不在加密強度
漏洞的關鍵不是密碼學被攻破，而是一個設計決定：思考區塊能跨對話、跨使用者、跨模型通用，功能上等同於一張不記名的票。團隊在完成負責任揭露後，提出加密層與系統層的修補方向，重點是把每個思考區塊綁定到單一對話、單一使用者與單一模型。論文同時提醒一個常被忽略的細節：API 回傳的思考摘要未必忠實反映真正的推理過程——若監督機制建立在這些摘要之上，就有被操弄的空間。
對開發者的意義
三點實務建議。第一，不要把機密放進送給模型的上下文：它可能被寫進推理，之後又被還原出來。第二，公開代理軌跡（log、trace、示範資料）時，思考區塊要跟著其餘內容一起清理乾淨。第三，評估廠商時多問一句：思考區塊怎麼簽章、怎麼綁定對話。在推理模型時代，思考過程本身就是需要存取控制的資產。