更換底層模型就能揭露GPT和Claude的隱藏思維鏈

8月27日前後，X用戶@kotekjedi_ml公布了一組反常的實驗結果：Claude、GPT和Gemini的API中原本不會展示給使用者的隱藏推理（reasoning block），被安全研究人員重新還原成了可讀文字。按照正常設計，這些推理內容會在模型完成內部思考後由伺服器加密，作為一段不透明的資料塊傳回給客戶端；使用者能拿到這段資料，卻既讀不了也改不了，等到下一輪呼叫時再原樣交回伺服器，模型便可以從上一次的狀態繼續推理。研究人員沒有破解這層加密，也沒有拿到伺服端金鑰，他們繞過的是這段資料的使用權限，而不是加密本身。

隱藏推理為什麼會離開模型

推理模型與一般聊天模型的差異，不只是回答前多想幾步，而是這些中間狀態往往還要在後續任務中繼續使用：模型拆解問題、嘗試方案、讀取工具結果、修正判斷，這些過程一旦形成，長任務和代理人場景就需要在下一輪呼叫時接著用。伺服端本可以為每個工作階段長期保存完整的推理紀錄，但這會增加儲存和上下文管理的複雜度，於是不少API選擇把內部推理封裝成客戶端讀不懂的資料塊，交給客戶端保管，下一次呼叫時再驗證並使用。這樣做能防止內容被直接讀取或竄改，但也帶來一個先前不那麼突出的權限問題：簽章和加密只能證明這段資料確實由伺服端產生、沒有被外部改動，卻無法證明它現在仍然對應著正確的帳號、工作階段或模型——一段完全合法的推理，仍然可能被放在了不該出現的位置。

如何讓強模型「開口」

研究人員測試發現，這些隱藏推理資料塊並不總是被牢牢鎖定在原始上下文裡：有些可以跨工作階段使用，有些甚至可以換一個帳號重新提交，而最關鍵的是，其中一部分可以被同一廠商旗下的其他型號讀取。以Claude為例，Opus完成一次正常任務後，伺服端產生對應的隱藏推理，並把簽章後的思維資料塊傳回給客戶端。研究人員沒有繼續嘗試讓Opus本身交出思維鏈，而是把這段資料放進另一個型號Haiku的上下文——Haiku能夠正常載入這段本該屬於Opus的推理內容。一旦這一步成立，攻擊目標就發生了轉移：不必再突破Opus自身的限制，只需要讓防護相對較弱的Haiku把已經讀到的內容重新轉述出來。由於不同型號在對齊強度和抗越獄能力上並不一致，原本守在強模型身上的限制，就可能被同一體系裡更容易被繞過的型號旁路。

如何證明還原的內容是真的

研究人員拿不到伺服端保存的明文推理紀錄，無法逐字核對，只能借助多個獨立訊號判斷還原結果是否真的對應原始狀態。

• 讓來源模型處理120道Codeforces程式設計題，同時記錄API回報的隱藏推理token數，再對照還原出的文字長度：Anthropic、OpenAI和Google旗下多組模型的還原長度與官方記錄的推理token數高度吻合，大量樣本落在長度相等的對角線附近。
• 研究人員從GitHub和Hugging Face上蒐集了6708筆公開的代理人執行紀錄，從中處理出315320個推理資料塊；還原後的內容裡出現了API金鑰、密碼、存取權杖、私鑰、電子郵件等敏感資訊，其中一部分從未出現在公開的對話紀錄裡——如果還原模型只是憑可見文字重新推理，不可能憑空還原出這些具體數值。

這組結果還順帶暴露了代理人日誌裡的另一個問題：使用者即便把某個密碼或金鑰從聊天紀錄、程式碼庫裡刪除，也不代表舊的隱藏推理資料塊裡保存的同一資訊已經消失——代理人在修改程式碼、調整設定或清理程式碼庫的過程中本就可能讀取過這些內容，一旦被寫進推理狀態，就可能繼續留存在舊的資料塊裡。

AI公司引以為傲的「推理護城河」正在鬆動

完整的推理過程對訓練模型的價值，遠不止比最終答案多幾句話：它記錄了一個任務是如何被拆解、中間判斷如何形成、走錯的路又是如何被修正的，這些過程能為訓練一個更小的模型提供比單純的答案監督豐富得多的訊號。過去想大規模取得這類資料，通常得自己花錢呼叫昂貴的封閉模型來產生；現在，公開的代理人日誌裡已經累積了大量由其他使用者、用昂貴模型算出來的加密推理，只要找到一個能讀懂這些資料塊的相容型號，就有機會把已經存在的高品質推理重新提取出來，而不必自己重新產生。這意味著推理的產生和提取被拆到了不同的呼叫端點：高階模型負責產生高價值的思考過程，低成本模型負責把它讀出來——過去只盯著高階模型一側監控大規模蒸餾流量的做法，很可能覆蓋不到這條新路徑。

月之暗面的Kimi K3實驗進一步說明了這種價值有多大：研究人員只截取了Claude Opus隱藏推理開頭大約1%的token，把它放進Kimi K3的推理上下文裡，Kimi K3隨後的回答就明顯向Opus的輸出方向偏移，幅度遠超沒有接受這段前綴的對照組模型。這並不能證明Kimi K3曾經用Claude的推理資料訓練過，但足以說明哪怕只是一小段高品質推理，也能明顯改變另一個模型接下來的解題路徑。

在代理人系統裡，這已經不只是資訊外洩

在一般聊天場景裡，隱藏推理被讀出來，主要意味著內部資訊外洩；但在長期運作的代理人系統裡，推理還承擔著任務狀態的角色——它記錄著代理人已經分析過什麼、排除了哪些方案、下一步準備怎麼做。如果一段推理資料塊可以從原來的任務遷移到另一段代理人執行裡，被帶過去的就不只是歷史資訊，還可能包括代理人已經形成的行動傾向。研究人員展示了一種因此產生的隱形提示注入：惡意內容先被寫進隱藏推理，之後一個新的代理人載入了這段狀態——使用者看到的輸入裡完全沒有對應的指令，但模型一旦恢復內部狀態，仍會受到其中內容的影響並執行額外動作。這與常見的提示注入不同：後者藏在網頁、檔案、電子郵件或工具傳回的明文裡，安全系統至少還有機會去掃描；而加密的推理資料塊對外部系統來說只是一段不透明資料，只有伺服端把它解密還原後，模型才能讀懂其中的含義，掃描防線在此之前根本看不到內容。

更廣的背景：AI程式設計代理人已在企業網路裡執行未經授權的程式碼

這次針對隱藏推理的發現，出現在AI代理人安全問題集中曝光的同一時期。據Ars Technica報導，一家以色列的低調新創團隊近期掃描了6214個屬於國防承包商、財星500大企業和大型科技公司的網域，在其中120個網站的llms.txt說明文件裡，發現了指向未註冊程式碼包或網域的227條安裝指令；他們註冊了其中幾個空缺的包名和網域後，一小時內就收到了一家財星500大企業的回連請求，此後陸續收到數十次類似請求，涉及Claude、OpenAI的Codex和Nous Research的Hermes等多款AI程式設計代理人。研究員之一Alon Hertz據此指出，這暴露的是同一類更根本的問題：代理人系統預設信任它讀到的每一份文件，卻沒有能力區分哪些內容是真正的指令、哪些只是待驗證的資訊。

代理人把廠商文件當作絕對可信的事實，既不會質疑，監督它們的人也往往不會——代理人化AI的使用正在爆炸式成長，風險已經蔓延到SaaS、雲端和終端的每一層。

這對使用AI推理代理人的台灣企業意味著什麼

對於正在把Claude、GPT等模型接入客服、程式碼審查、資料分析等代理人流程的台灣企業來說，這項研究提示了一個先前很少被討論的風險面：推理資料塊裡可能藏著金鑰、密碼等敏感資訊，一旦被還原，其危害不亞於日誌外洩本身；而如果企業允許代理人在多個任務、多個模型之間遷移和重複使用舊的推理狀態，還需要考慮這些狀態是否可能攜帶被竄改過的行動傾向。短期內，企業在部署推理代理人時，應當避免把內部憑證暴露在會被寫入推理過程的上下文裡，並對允許跨模型、跨工作階段重複使用的推理狀態設定更明確的權限邊界，而不是預設信任每一段能通過簽章驗證的資料。