OpenAI 於 2026 年 9 月 30 日發布安全公告，揭露並阻斷了一場協作式的模型蒸餾攻擊行動。這項攻擊最早可追溯至 7 月第一週，目標是從 OpenAI 的模型中提取受保護的推理內容。所謂「蒸餾」，是指利用一個模型的輸出或推理過程，去訓練、複製或改進另一個模型；而「對抗性蒸餾」則是在未經授權的情況下進行這類操作。受保護推理是模型在處理任務時內部紀錄的思考過程，其中可能包含最終答案不會顯示的資訊，一旦被提取，攻擊者就能藉此重現模型的能力，甚至繞過原有的安全防護。
這次攻擊並非透過破壞加密、入侵資料庫或直接存取使用者對話紀錄來達成。攻擊者採取的方式是操縱模型之間的互動，讓受保護推理以請求者可見的形式被重現。具體手法包括：從一個對話中複製加密的推理內容，再要求另一個對話中的模型將這段加密內容解密並轉錄出來。這種手法利用了模型對輸入內容的處理機制，讓原本應該隱藏的推理過程以可讀形式流出。OpenAI 指出，這類漏洞並非其模型所獨有，而是生成式 AI 系統普遍面臨的安全挑戰。獨立安全研究人員也透過負責任揭露管道，回報了相關的跨模型與對話壓縮漏洞，OpenAI 確認這些攻擊路徑確實存在，並加速了修補工作。
從時間線來看，攻擊活動自 7 月 1 日開始，起初規模不大，但在 7 月 24 日至 25 日出現高峰，偵測到來自超過 4,000 個使用者的約 16,000 筆相關請求。進一步調查發現，超過 15,000 個使用者涉及類似的提示詞模式，OpenAI 在 7 月 28 日完全阻斷了這波活動。值得注意的是，OpenAI 在歸因評估中指出，雖然無法確認所有操作者是否來自單一行為者，但核心活動與 Moonshot AI（即 Kimi 聊天機器人的開發商）相關的個人有關。
對抗性蒸餾之所以引起高度重視，在於其安全與國家安全風險。透過蒸餾提取的推理內容，可以用來訓練另一個模型，但這個新模型不一定會保留原始模型在使用者介面上施加的安全防護。當蒸餾規模擴大時，先進能力的轉移速度會加快，而攻擊者無需投入同等的安全研發成本。尤其在模型能力涉及雙重用途領域（指同時具備民用與軍事應用的技術）時，這類風險會更加明顯。OpenAI 強調，這不是單一公司的問題，而是整個產業共同面對的挑戰，因此需要跨業界協調防禦。
OpenAI 的回應措施涵蓋帳戶執法、技術控制與合作夥伴協調三個層面。他們封鎖或限制了詐騙帳戶，強化註冊與基礎設施控制，並擴大對相關網路活動的監控。在技術方面，他們加強了對隱藏推理的保護，關閉了一條允許持有他人加密推理內容的使用者重放並還原內容的途徑，同時新增檢查機制，偵測並攔截可能暴露推理內容的串流輸出。當相關活動轉移到第三方服務時，OpenAI 也與這些服務提供商合作，識別並阻斷涉及其中的帳戶。此外，OpenAI 透過「前沿模型論壇」這個產業合作組織，以及適當的政府資訊共享管道，將相關發現分享給其他前沿模型開發者與公部門夥伴，協助他們偵測類似活動並強化自身防禦。
展望未來，OpenAI 預期這類蒸餾攻擊會隨著前沿模型能力提升而變得更加精密，攻擊者也會持續尋找更低成本的方式來模仿模型能力。這代表防禦工作必須採取多層次控制，並不斷調整應對策略。OpenAI 指出，合作夥伴託管的部署需要與第一方服務享有同等保護，而針對工具輸出的攻擊則需要超越一般可見文字的檢查機制。目前他們仍持續改進工具防禦、分類器覆蓋範圍、模型拒絕能力，並將相關控制措施推廣至雲端合作夥伴。整體回應策略聚焦於三個方向：強化對提取行為的技術保護、提升對協作式攻擊的偵測與執法能力，以及深化產業與政府之間的威脅資訊共享。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。