加密推理轨迹的跨模型重放风险

加密推理轨迹为何仍可能泄露？

一项针对闭源大模型 API 的研究提出：客户端无法直接读取加密推理轨迹，并不意味着这些轨迹在被模型重新接收后仍然安全。

研究涉及 Anthropic、OpenAI 和 Google。研究者称，这些厂商返回给客户端的部分加密思维链数据，可以跨会话、跨用户或跨模型重放。他们将较强模型生成的轨迹交给同系列较弱模型，再通过越狱诱导后者输出明文，从而提取前者隐藏的推理内容。

攻击依赖什么条件？

研究者报告，同一模型家族内的模型使用了相同的加密密钥。这使较弱模型也能接收并处理较强模型生成的加密轨迹。

攻击并非直接破解密文，而是利用两种能力的组合：

• 轨迹可被重用：较强模型返回的加密数据，能够被较弱模型继续处理。
• 输出约束可被绕过：较弱模型受到越狱提示影响后，可能把本应隐藏的推理内容输出为明文。

文中以 OpenAI Responses API 的 reasoning.encrypted_content 为例，展示了客户端可以接收到的加密推理字段。拿到这一字段本身不等于拿到明文；研究所描述的关键，是后续的跨模型重放与输出诱导。

研究者称，Claude Haiku 4.5 在测试中最容易受到攻击，所用方法涉及要求模型逐字转录附带的推理，以及设置助手回复前缀。

另一层风险：把提示注入藏进推理轨迹

研究还描述了一种提示注入变体：先诱使模型在推理过程中考虑恶意行为，例如向远程服务器上传文件，再将这段加密轨迹交给另一个模型。

研究者观察到，模型似乎会赋予自身推理轨迹较高的信任，因此可能更容易执行进入这些轨迹的指令。这里需要区分两个问题：隐藏推理被读取，以及隐藏推理成为恶意指令的传递载体。后者涉及后续模型如何判断输入内容的可信程度。

目前是否仍可复现？

研究者表示，所有相关厂商均确认收到了报告，此后他们已无法实施相同攻击。

这一表述支持的结论是：研究中报告的攻击方式，在后续测试中已无法复现。 它不等于证明所有类似风险都已消除，也不宜据此认定当前接口仍存在相同漏洞。

这项研究值得关注的核心，是加密轨迹被再次交给模型时的信任边界：数据即使以密文形式交付给客户端，仍需要考虑哪些模型能够处理它，以及处理后是否可能泄露内容或执行其中的指令。