OpenAI 补上推理漏洞，Azure 晚了 61 天

OpenAI 披露，它发现并瓦解了一场有组织的行动：1.5 万个以上的欺诈账号 —— 与中国 AI 公司月之暗面（Moonshot AI）有关联的个人相关 —— 利用加密推理 token 在不同会话之间共享方式上的一个缺陷，系统性地提取其前沿模型隐藏的推理内容。这次攻击在 7 月 24 日和 25 日达到 1.6 万次提取请求的峰值，随后OpenAI 在 7 月 28 日将其压制。OpenAI 指出，这些数字描述的是尝试的、而不一定成功的提取。公司此前一直没有公开的是：据在 OpenAI 自家补丁之后重新测试该漏洞的独立安全研究者称，同样的攻击在微软 Azure 托管的同一批 OpenAI 模型上又继续奏效了 61 天，直到 9 月 27 日。

这次披露恰逢 MATS 项目和图宾根 ELLIS 研究所的 Joachim Schaeffer 研究团队在 9 月发布的一次更新，他们最先在一篇8 月 10 日提交到 arXiv 的论文中记录了这个底层漏洞。两件事合起来意味着：在那九周里，通过 Azure OpenAI 服务路由流量的企业客户，依据 OpenAI 自己的时间线可能以为自己受到了保护 —— 而他们的实际暴露，却一直在持续，经由的是一个由微软独立掌控的中间端点。

加密推理块里的缺陷

当 GPT-6 Astra 或 Claude Opus 这样具备推理能力的模型通过 API 返回响应时，服务商还会同时返回一个加密的不透明数据块，里面装着模型隐藏的思维链。这个数据块必须在每次 API 调用中被原样回传，以便做无状态的对话管理 —— 服务商把它宣传成对专有推理内容的保护。这种认证加密提供了机密性和防篡改，但关键在于，它没有绑定到特定的会话、用户或模型。GPT-6 Astra 产生的加密推理块，会被 GPT-5.6 Luna 当作有效输入接受；Claude Opus 4.8 的数据块，会被 Haiku 4.5 处理。加密并没有被破解 —— 它是被绕过去的，办法是把数据块路由给一个更便宜的同门模型，让它在不知情中充当解码器，正如Panfilov 等人详细记录的那样。

攻击链是三步：向一个强大的目标模型发起查询，截获它的加密推理块；把这个块提交给同一服务商的一个较弱模型；指示这个较弱的模型「逐字转写先前的思考」。较弱的模型照办了 —— 它的拒绝训练防的是披露自己的推理，而不是同一服务商家族里另一个模型回放过来的内容。已确认的解码模型包括：Claude 轨迹用 Haiku 4.5，OpenAI 轨迹用 GPT-5.6 Luna，谷歌轨迹用 Gemini Robotics 1.6。研究团队估计，解密 1 万条推理轨迹的成本约为 720 美元 —— 对一家有资金的 AI 实验室来说，在经济上微不足道。

7 月的这场行动，正是专门针对推理模型、大规模利用了这个架构上的缺口。9 月 3 日发布的 GPT-6 Astra，围绕 OpenAI 所称的「循环深度」或「循环 Transformer」方法构建，这种做法提升了推理效率，但按设计会让模型的部分或全部思维链对外部检视不可见。讽刺的是，服务商越是把推理从可见输出里藏起来，那份加密轨迹对能把它提取出来的对手就越有价值 —— 那个被隐藏的过程，恰恰是那些更高档模型所训练的对象，也是竞争对手实验室最想要的东西。

第二种攻击根本不需要加密

Schaeffer 的团队还确认了一种更简单的手法：指示模型把它的推理写进一个「虚拟记事本」工具 —— 智能体框架里的标准能力 —— 然后读取模型写下的任何内容。这种做法不需要操纵加密块，对每一个受测的 OpenAI 和 Anthropic 模型都有效，只有三个例外：Opus 5、Fable 5 和 Fable 5.1。这三个 Anthropic 模型似乎带有额外的工具使用拒绝训练。Fable 5 和 Fable 5.1 是 Anthropic 经过安全加固的档位 —— Fable 5.1 在生物、网络安全和 LLM 研究方面带有增强控制 —— 它们的免疫，很可能反映的是针对高风险领域的刻意加固，而不是架构上的偶然。

另外，Panfilov 团队对公开 GitHub 仓库和 Hugging Face 智能体数据集的扫描在开发者无意间纳入的共享日志里，发现了 315320 个加密推理块。应用解密技术之后，他们恢复出 182 份凭证 —— 包括 62 个 API 密钥、33 个密码和 24 个访问令牌 —— 以及 367 个个人身份信息痕迹，其中 64 项只出现在加密推理里，从未出现在可见的明文中。那些在发布前从对话日志里剥离敏感数据的开发者，仍可能在他们一并带上的推理数据块里泄露着同样的数据。

延伸阅读：OpenAI 的持久 Dots 智能体，以及它背后的一连串安全事件

Azure 缺口：同样的模型，不同的保护

OpenAI 在 7 月 28 日修补了自己的 API。Azure OpenAI 服务 —— 微软转售的 OpenAI 模型 API —— 则按微软自己单独的补丁时间线走。9 月 13 日，Schaeffer 的团队对 Azure 重新测试，发现每一个受测的 OpenAI 模型，包括 GPT-6 Astra（仅十天前的 9 月 3 日才发布），仍然存在漏洞。通过 Azure 访问的 Anthropic 模型也可以经由 Claude Sonnet 5 被提取。据研究者的说法，修复于 9 月 27 日在 Azure 上落地；Azure 上的 Anthropic 模型从 9 月 28 日起受到保护，这一点见WindowsForum 的报道。

「同样的模型，但取决于由哪个平台提供服务，保护并不相同，」Schaeffer 总结道。微软尚未公开回应。

这道缺口不是协调上的偶发失误 —— 它是转售模式的结构性特征。Azure OpenAI 服务掌控着自己的端点基础设施；服务商的安全修复不会自动传导到转售方。依据主要服务商来核实安全状况的企业客户 —— 这是一个合理的假设 —— 可能经由一个遵循独立补丁节奏的中间商而暴露。61 天的空档，足够一个有动机、有资金的行为者完成一场企业以为已经被堵住的提取行动。

延伸阅读：微软的 AI 规则手册禁止模型隐藏推理 —— 而 Azure 在这次补丁上却落了后

月之暗面与更广的归因

OpenAI 把 7 月行动的核心部分归于与月之暗面有关联的个人。月之暗面是总部在北京的 Kimi 系列模型的开发者，2023 年 3 月由清华校友杨植麟、周昕宇和吴育昕创办，2026 年 7 月估值达 350 亿美元，由阿里巴巴和腾讯支持。OpenAI 也说明了不确定性：「我们在相关时间段内观察到的所有操作者，是否都出自同一个行为者，目前并不清楚。」

月之暗面此前就曾被指控做蒸馏。2026 年 9 月，Anthropic 指控该公司把用户请求路由到 Claude 模型、而不是用 Kimi 处理，并保留了其中一部分交互用于训练（事件 GTG-16002）。2026 年 4 月，美国国会的一份传票针对的是使用 Kimi 模型的公司。月之暗面对媒体就 OpenAI 这次披露的置评请求，没有回应。

7 月这场提取行动的时间点值得注意。月之暗面于 2026 年 7 月 16 日发布了Kimi K3 —— 一个 2.8 万亿参数的开放权重模型，公司自己的基准测试称其可与美国前沿模型相竞争 —— 完整权重于 7 月 27 日发布。攻击在 7 月 24 日和 25 日达到峰值，约在 Kimi K3 发布八天之后、完整权重发布的两到三天之前。至今没有公开确立任何被提取的推理内容与 Kimi K3 训练之间的直接联系。

为什么推理轨迹提取不同于标准蒸馏

标准的对抗性蒸馏，是从竞争对手的 API 上生成大量问答对，并用这些输出去训练一个学生模型。它能捕捉回答的风格和事实性规律，但捕捉不到底层的推理过程。推理轨迹提取直接瞄准隐藏的思维链 —— 那种逐步的审议，是昂贵的强化学习和后训练流程的产物。2026 年 9 月 CISA 一份关于中国 AI 蒸馏行动的通告指出，现行的出口管制框架限制的是训练好的模型权重，但一个意志坚决的行为者，不必拿到底层权重，就能近似复制前沿模型相当一部分的价值。直接的推理轨迹提取走得更远：它既不需要权重转移，也不需要大规模的 API 挖掘，只需要寥寥几次会话，就能把推理过程本身捕获下来。

政策分析人士呼吁把月之暗面、DeepSeek 和 MiniMax 列入实体清单，并对代理运营方采取行政行动。OpenAI 周四的这次披露，给出了迄今最直接的、把一场推理轨迹提取行动公开归因于一家具名公司的说法 —— 而 Azure 的缺口又增添了一个出口管制框架当初并未设计去应对的维度：在主要模型供应商已经打上补丁之后，同样的攻击仍可以经由一家持牌的美国云服务商继续奏效。

对于在 7 月 28 日到 9 月 27 日期间使用过 Azure OpenAI 或 Azure 托管的 Anthropic 模型的机构，值得回头查一查：那段时间里，是否有敏感数据经过了智能体的推理步骤。两个端点现在都已打上补丁。构建智能体流水线的开发者，应当把加密推理块当作明文机密来对待 —— 公开前从共享日志里剥离，而不是连同 API 记录的其余部分一并回显到开放仓库里。

OpenAI 表示，它已通过前沿模型论坛分享了调查发现，并采取了「账号处置、技术管控和伙伴协调」—— 封禁欺诈账号，并扩大对类似模式的监控。这种协调能否在未来的漏洞上，为云转售商带来同步的补丁时间线，是 Azure 缺口最直接引出的问题。眼下的转售模式意味着，任何通过云中间商购买 AI 模型访问权的企业客户，都隐含地同时在信任那家中间商的补丁纪律与主要服务商的纪律 —— 这种依赖，在一次 61 天的落差让它变得具体之前，一直是看不见的。随着前沿模型通过越来越多的云平台、托管 API 服务和区域转售商分发，这道缺口的暴露面还会扩大。