更换底层模型就能暴露GPT和Claude的隐藏思维链

8月27日前后，X用户@kotekjedi_ml公布了一组反常的实验结果：Claude、GPT和Gemini的API中原本不会展示给用户的隐藏推理（reasoning block），被安全研究人员重新恢复成了可读文本。按照正常设计，这些推理内容会在模型完成内部思考后由服务端加密，作为一段不透明的数据块返回给客户端；用户能拿到这段数据，却既读不了也改不了，等到下一轮调用时再原样交回服务器，模型便可以从上一次的状态继续推理。研究人员没有破解这层加密，也没有拿到服务端密钥，他们绕过的是这段数据的使用权限，而不是加密本身。

隐藏推理为什么会离开模型

推理模型与普通聊天模型的区别，不只是回答前多想几步，而是这些中间状态往往还要在后续任务中继续使用：模型拆解问题、尝试方案、读取工具结果、修正判断，这些过程一旦形成，长任务和智能体场景就需要在下一轮调用时接着用。服务端本可以为每个会话长期保存完整的推理记录，但这会增加存储和上下文管理的复杂度，于是不少API选择把内部推理封装成客户端读不懂的数据块，交给客户端保管，下一次调用时再验证并使用。这样做能防止内容被直接读取或篡改，但也带来一个此前不那么突出的权限问题：签名和加密只能证明这段数据确实由服务端生成、没有被外部改动，却无法证明它现在仍然对应着正确的账号、会话或模型——一段完全合法的推理，仍然可能被放在了不该出现的位置。

如何让强模型「开口」

研究人员测试发现，这些隐藏推理数据块并不总是被牢牢锁定在原始上下文里：有些可以跨会话使用，有些甚至可以换一个账号重新提交，而最关键的是，其中一部分可以被同一厂商旗下的其他型号读取。以Claude为例，Opus完成一次正常任务后，服务端生成对应的隐藏推理，并把签名后的思维数据块返回给客户端。研究人员没有继续尝试让Opus本身交出思维链，而是把这段数据放进另一个型号Haiku的上下文——Haiku能够正常加载这段本该属于Opus的推理内容。一旦这一步成立，攻击目标就发生了转移：不必再突破Opus自身的限制，只需要让防护相对更弱的Haiku把已经读到的内容重新转述出来。由于不同型号在对齐强度和抗越狱能力上并不一致，原本守在强模型身上的限制，就可能被同一体系里更容易被绕过的型号旁路。

如何证明恢复的内容是真的

研究人员拿不到服务端保存的明文推理记录，无法逐字核对，只能借助多个独立信号判断恢复结果是否真的对应原始状态。

• 让源模型处理120道Codeforces编程题，同时记录API报告的隐藏推理token数，再对照恢复出的文本长度：Anthropic、OpenAI和谷歌旗下多组模型的恢复长度与官方记录的推理token数高度吻合，大量样本落在长度相等的对角线附近。
• 研究人员从GitHub和Hugging Face上收集了6708条公开的智能体运行记录，从中处理出315320个推理数据块；恢复后的内容里出现了API密钥、密码、访问令牌、私钥、邮箱等敏感信息，其中一部分从未出现在公开的对话记录里——如果恢复模型只是凭可见文本重新推理，不可能凭空还原出这些具体数值。

这组结果还顺带暴露了智能体日志里的另一个问题：用户即便把某个密码或密钥从聊天记录、代码仓库里删除，也不代表旧的隐藏推理数据块里保存的同一信息已经消失——智能体在修改代码、调整配置或清理仓库的过程中本就可能读取过这些内容，一旦被写进推理状态，就可能继续留存在旧的数据块里。

AI公司引以为傲的「推理护城河」正在松动

完整的推理过程对训练模型的价值，远不止比最终答案多几句话：它记录了一个任务是如何被拆解、中间判断如何形成、走错的路又是如何被修正的，这些过程能为训练一个更小的模型提供比单纯的答案监督丰富得多的信号。过去想大规模获得这类数据，通常得自己花钱调用昂贵的闭源模型来生成；现在，公开的智能体日志里已经积累了大量由其他用户、用昂贵模型算出来的加密推理，只要找到一个能读懂这些数据块的兼容型号，就有机会把已经存在的高质量推理重新提取出来，而不必自己重新生成。这意味着推理的生成和提取被拆到了不同的调用端点：高端模型负责产生高价值的思考过程，低成本模型负责把它读出来——过去只盯着高端模型一侧监控大规模蒸馏流量的做法，很可能覆盖不到这条新路径。

月之暗面的Kimi K3实验进一步说明了这种价值有多大：研究人员只截取了Claude Opus隐藏推理开头大约1%的token，把它放进Kimi K3的推理上下文里，Kimi K3随后的回答就明显向Opus的输出方向偏移，幅度远超没有接受这段前缀的对照组模型。这并不能证明Kimi K3曾经用Claude的推理数据训练过，但足以说明哪怕只是一小段高质量推理，也能明显改变另一个模型接下来的解题路径。

在智能体系统里，这已经不只是信息泄露

在普通聊天场景里，隐藏推理被读出来，主要意味着内部信息外泄；但在长期运行的智能体系统里，推理还承担着任务状态的角色——它记录着智能体已经分析过什么、排除了哪些方案、下一步准备怎么做。如果一段推理数据块可以从原来的任务迁移到另一段智能体运行里，被带过去的就不只是历史信息，还可能包括智能体已经形成的行动倾向。研究人员演示了一种因此产生的隐形提示注入：恶意内容先被写进隐藏推理，之后一个新的智能体加载了这段状态——用户看到的输入里完全没有对应的指令，但模型一旦恢复内部状态，仍会受到其中内容的影响并执行额外动作。这与常见的提示注入不同：后者藏在网页、文件、邮件或工具返回的明文里，安全系统至少还有机会去扫描；而加密的推理数据块对外部系统来说只是一段不透明数据，只有服务端把它解密还原后，模型才能读懂其中的含义，扫描防线在此之前根本看不到内容。

更广的背景：AI编程智能体已在企业网络里执行未经授权的代码

这次针对隐藏推理的发现，出现在AI智能体安全问题集中曝光的同一时期。据Ars Technica报道，一家以色列的初创团队近期扫描了6214个属于国防承包商、财富500强企业和大型科技公司的域名，在其中120个网站的llms.txt说明文件里，发现了指向未注册代码包或域名的227条安装指令；他们注册了其中几个空缺的包名和域名后，一小时内就收到了一家财富500强企业的回连请求，此后陆续收到数十次类似请求，涉及Claude、OpenAI的Codex和Nous Research的Hermes等多款AI编程智能体。研究员之一Alon Hertz据此指出，这暴露的是同一类更根本的问题：智能体系统默认信任它读到的每一份文档，却没有能力区分哪些内容是真正的指令、哪些只是待验证的信息。

智能体把厂商文档当作绝对可信的事实，既不会质疑，监督它们的人也往往不会——智能体化AI的使用正在爆炸式增长，风险已经蔓延到SaaS、云和终端的每一层。

这对使用AI推理智能体的中国企业意味着什么

对于正在把Claude、GPT或国产大模型接入客服、代码审查、数据分析等智能体流程的中国企业来说，这项研究提示了一个此前很少被讨论的风险面：推理数据块里可能藏着密钥、密码等敏感信息，一旦被恢复，其危害不亚于日志泄露本身；而如果企业允许智能体在多个任务、多个模型之间迁移和复用旧的推理状态，还需要考虑这些状态是否可能携带被篡改过的行为倾向。短期内，企业在部署推理智能体时，应当避免把内部凭证暴露在会被写入推理过程的上下文里，并对允许跨模型、跨会话复用的推理状态设置更明确的权限边界，而不是默认信任每一段能通过签名校验的数据。