精读笔记：Stealing Reasoning Traces from Proprietary LLM APIs

Alexander Panfilov、David Schmotz、Ilia Shumailov 等，arXiv:2608.09867v1，2026-08-10。
原文：摘要页 · PDF

一句话结论

论文揭示的并非传统意义上的密码破解，而是一个跨安全层的架构缺陷：加密推理块虽然保护了内容完整性与传输机密性，却没有充分绑定调用者、会话、上下文位置和模型边界。攻击者可以把强模型生成的有效推理块移交给同一供应商生态中的弱模型，由服务端正常解密，再诱导弱模型复述其中内容。

核心判断是：“加密”不能替代“上下文授权”。一个可被其他主体、会话或模型接受的密文，本身就是可重放的能力与数据载体。

研究问题与背景

推理模型通常在给出可见答案前生成较长的隐藏推理。为保护模型知识产权、降低敏感信息外泄和安全策略暴露，主要 API 供应商只向用户显示摘要，同时把完整推理包装成不透明的签名或加密字段。客户端保存该字段，并在多轮对话中回传，以维持无状态 API 的上下文连续性。

这种设计同时追求三项目标：

机密性：客户端无法直接阅读完整推理。
完整性：客户端篡改后，认证标签失效。
无状态性：供应商无需长期保存完整推理状态。

论文指出，现有实现主要认证“块的内容是否有效”，却没有充分认证“谁、在哪个会话、以什么顺序、交给哪个模型使用”。因此形成三类兼容性：

兼容性	合法价值	安全后果
跨会话	编辑历史、截断上下文、恢复任务	可把旧推理植入新上下文
跨用户	共享或迁移轨迹	他人可重放公开日志中的推理块
跨模型	模型切换、降级与路由	弱模型可成为强模型推理的语义解码器

供应商内部密码机制并未公开。论文基于跨上下文兼容现象推断，不同调用共享了过宽的解密与认证域；这是一项行为层推断，不等同于证明供应商采用某一种具体密钥结构。

攻击机制

攻击流程可以压缩为四步：

强模型生成隐藏推理，并向客户端返回不透明推理块。
攻击者取得该块，来源可以是自己的 API 调用，也可以是公开的 Agent 轨迹。
攻击者在新的请求中，把该块提交给同一供应商生态内兼容、成本更低、拒绝能力更弱的模型。
服务端验证并解密合法块；弱模型读取其中语义，再被提示复述或延续内容。

论文把弱模型称为“模糊解码器”。攻击没有恢复密钥，也没有在客户端执行密码分析；真正的解密仍由供应商基础设施完成。漏洞来自“密码学上有效”被错误地等同于“在当前上下文中获授权”。

截至 2026 年 7 月的测试中，论文分别利用 Claude Haiku 4.5、GPT-5.6 Luna/Terra、Gemini Robotics 1.6 对同供应商的其他模型推理进行提取。不同供应商的提取难度差异显著：Claude 可使用较稳定的固定提示；GPT 需要多模板、分段与多次采样；Gemini 需要对多个带噪候选进行协调重建。

四类风险

1. 推理蒸馏与能力复制

最终答案只暴露计算终点，完整推理则包含问题分解、中间假设、失败路径和解题策略，是更高密度的训练信号。论文估算，按实验时 Claude Haiku 4.5 的价格，解码 1 万条、每条约 12k 输入与 12k 输出 token 的推理，名义成本约为 720 美元。

这也绕过了强模型端的反蒸馏监控：强模型只负责正常生成加密推理，真正的提取流量出现在弱模型端，监控单一高端模型接口无法覆盖完整攻击链。

2. 隐藏有害信息的提取

可见答案可能已经安全拒绝或只给出防御性建议，但隐藏推理仍可能讨论更具体的危险内容。若推理块可被另一模型复述，输出过滤与可见答案审查便不再构成完整防线。

这说明安全评估需要覆盖“模型思考了什么、哪些状态会被未来模型调用消费”，而不仅是最终返回了什么。

3. 公开轨迹中的隐私与凭证泄露

论文从 GitHub 和 Hugging Face 收集 6,708 条公开 Agent 轨迹，解码出 315,320 个推理块：

1,028 个块（0.3%）至少包含一项真实隐私泄露。
328 条轨迹（4.9%）至少泄露一项敏感信息。
含基准合成数据时，共计 912 个去重敏感项：367 项个人信息、363 项技术标识、182 项凭证。
排除基准数据后，真实用户轨迹中仍有 704 个去重敏感项，包括 62 个 API key、33 个密码、24 个访问令牌、7 个私钥和 30 个个人邮箱。
其中 64 项只存在于隐藏推理，不出现在可见对话中。

一个反直觉触发器是“清理或匿名化会话”：模型为了决定删除什么，会在隐藏推理中重新陈述原始敏感值。用户随后只清理可见文本并公开日志，反而把不可见副本保留下来。

4. 不可见提示注入

攻击者可以先让模型把恶意指令吸收到推理中，再传播对应的不透明块。恢复公开长任务或共享 Agent 轨迹的用户一旦重放该块，模型可能把它当作自身此前的可信思考继续执行。

这种注入绕过只扫描可见消息的监控，也比普通文本注入更难被人工发现。对可恢复、可分叉、可共享的长程 Agent 工作流，这是直接的供应链风险。

证据强度与方法边界

可信度较强的部分

跨会话、跨用户、跨模型重放由多家供应商、多种模型组合实测支持。
在 120 道 Codeforces 题上，提取文本长度与 API 计费的 thinking token 数量大体同步。
提取结果约为公开推理摘要长度的 5 倍，并能恢复可核对的凭证、个人信息与详细中间步骤。
隐私分析采用两阶段分类：第一阶段高召回筛选，第二阶段排除占位符、环境变量名和基准伪数据，再去重并区分基准与真实用户轨迹。
论文在发布前进行了负责任披露；供应商确认收到报告后，原攻击在 2026 年 8 月已无法按论文方法复现。

需要谨慎解释的部分

研究者没有真实明文推理作为逐 token 对照。长度接近是重要证据，但不能证明每个 token 都被逐字恢复。
解码器具有随机性，并使用多次采样、候选筛选、分段和协调重建；部分结果可能包含模型补全或重构。
公开轨迹样本不是总体随机样本，0.3% 与 4.9% 不能直接外推到全部生产流量。
隐私标注依赖 LLM-as-a-judge，论文给出了过滤流程与汇总，但缺少独立人工审计的完整误差估计。
附录关于 Kimi-K3、GLM-5.2 与专有模型推理风格接近的实验只显示特定干预下的行为兼容性。作者明确指出，它不能证明记忆、训练数据来源或蒸馏因果关系。
结果绑定于 2026 年 7 月的具体 API 与模型版本；供应商修复已改变可复现性。

因此，论文最稳固的结论是“上下文未绑定的推理块构成严重重放面”，而不是“所有恢复文本均为逐字真值”或“某个开放模型确定蒸馏自某个专有模型”。

防御设计

论文提出分层防御，而非依赖单一过滤器：

层级	关键措施	作用与代价
架构	服务端保存推理，仅向客户端返回随机句柄	根除客户端持有可提取载荷；增加状态、存储与 API 复杂度
身份绑定	在 AEAD 关联数据中绑定 tenant/user_id	阻止跨用户重放，可保持无状态验证
会话绑定	绑定 session_id、前序块哈希与顺序	限制跨会话与乱序重放；需要兼容压缩、分叉与恢复
模型隔离	网关拒绝来源模型与目标模型策略不匹配的块	关闭弱模型解码强模型的通道
防重放	高熵 nonce、服务端唯一性与消费记录	阻止同一块重复使用，但引入少量状态
旧数据处置	轮换旧密钥、拒绝旧 key ID、限期重新签名	使已公开旧块失效；会中断未迁移会话
检测	速率、重复签名、跨会话异常和解码错误监控	发现批量提取，不能替代协议修复
模型训练	拒绝复述隐藏推理的请求	缩小剩余攻击面，但模型行为防线不是密码学边界
数据发布	删除所有 opaque reasoning/signature 字段	降低公开轨迹风险；可见文本清理不足以覆盖隐藏状态
生命周期	推理用后即弃，或按最短保留期处理	降低可恢复性与长期泄露面，牺牲多轮连续性

论文进一步建议用链式哈希和 Merkle 根在安全与可用性之间折中：把每个块绑定到会话与前驱；压缩后只保留必要根；分叉继承分叉点之前的链状态。该方案能缩小爆炸半径，但无法阻止攻击者完整重放一条合法会话，因此仍需身份绑定、模型隔离和防重放机制共同工作。

对企业 Agent 平台的直接启示

安全模型

把不透明推理块视为“敏感、主动、可执行状态”，而不是普通日志元数据。
加密状态仍属于数据资产与供应链输入，需要完整的来源、授权、生命周期和可审计性。
任何模型族的安全上限都由最弱兼容解码器决定；模型网关应执行组合级策略，而不是只审查单模型。

平台控制面

在推理状态中绑定租户、主体、会话、模型策略、轮次、用途、过期时间和唯一 nonce。
对恢复、分叉、压缩、模型降级与跨区迁移建立显式协议，禁止由客户端自由拼接历史块。
默认从日志、评测集、回放包、事件总线、工单和公开数据集中剥离 opaque reasoning 字段。
对旧轨迹执行资产盘点、密钥轮换和凭证重置；仅删除公开页面不能撤销已复制的推理块。
在网关监测相同块的重复提交、跨租户使用、异常目标模型、批量短输出和解码失败。
对 Agent 的外发、文件写入和网络调用保留独立授权，避免隐藏状态直接转化为高影响工具动作。
将“推理摘要是否忠实”纳入可观测性评估。论文展示了摘要遗漏、猜测被洗成确定陈述、事后合理化等现象，摘要不能被视为完整审计记录。

最值得记住的三点

内容认证不等于上下文授权。 AEAD 保护密文本身，却不会自动回答谁能在何处重放它。
不透明状态不是安全状态。 用户无法阅读的推理仍可能包含凭证、个人信息和可执行指令。
Agent 安全必须覆盖状态流。 任务恢复、轨迹共享、模型路由、日志发布和工具调用共同组成攻击面，单独检查提示词或最终答案远远不够。