近期一份研究報告揭露了 AI 產業三大巨頭 OpenAI、Anthropic 與 Google 在處理 API 推理過程時存在嚴重的設計缺陷。該漏洞允許攻擊者從 session logs（會話日誌）中恢復 AI 模型的內部推理鏈（Reasoning Traces）以及其中包含的機密資訊，包括 API 金鑰與密碼。這項發現打破了開發者對「加密推理塊」安全性的認知，顯示出即便可見文本已過濾，隱藏的推理數據仍可能洩漏敏感資料。
背景：加密推理塊的設計目的
在目前的 LLM API 設計中，為了讓 AI 能在無狀態（Stateless）的 API 調用之間保持思考脈絡，服務商引入了加密推理塊（Encrypted Reasoning Blocks）。當 AI 在生成答案前進行「思考」時，這些中間過程會被加密成不透明的對象（Opaque Objects）返回給客戶端。開發者在後續的對話中將這些加密塊原樣傳回給 API，讓模型能接續之前的邏輯，而無需將明文推理過程暴露給使用者或客戶端應用程式。
這種機制旨在保護模型的專有推理邏輯，同時避免洩漏中間步驟中可能出現的敏感資訊。然而，研究人員發現，這些加密塊在跨會話、跨使用者甚至跨模型之間具有高度的可移植性。
核心內容：利用弱模型作為解碼器的攻擊路徑
研究團隊發現，雖然加密算法本身沒有被破解，但這些加密推理塊在同一供應商的模型家族中是可以互通的。攻擊者可以將一個由強大模型（如高階版本）生成的加密推理塊，重新傳送（Replay）給同系列中較弱的模型。
研究人員將這種方法稱為「模糊解碼器」（Fuzzy Decoder）。例如，利用 Claude Haiku 4.5 來解碼 Claude 系列強大模型的推理痕跡，或利用 GPT-5.6 Luna 解碼 GPT 系列的內容。透過特定的提示詞誘導，弱模型會將其接收到的加密推理塊轉譯為可讀的明文。
根據研究，這種攻擊路徑可導致四種具體的濫用情況： 第一，盜取專有推理過程以進行模型蒸餾（Model Distillation），即利用強模型的思考邏輯來訓練弱模型。 第二，從其他使用者公開的 Agent 軌跡日誌中提取私人數據。 第三，恢復被安全過濾器隱藏在最終答案背後的有害內容。 第四，在不透明的推理塊中隱藏提示詞注入（Prompt Injection）指令，使模型在執行無關任務時突然執行攻擊者指定的動作。
實務影響與數據分析
研究團隊分析了 6,708 筆公開的 Agent 軌跡日誌，成功解碼出 31.5 萬個思考塊。在排除基準測試數據後，他們從真實使用者的會話中發現了 704 個隱私元件，其中包括 62 個 API 金鑰、33 個密碼、24 個存取令牌（Access Tokens）以及 7 個私鑰。
最令人擔憂的是，其中 64 個機密資訊僅存在於隱藏的推理塊中，而在最終呈現給使用者的可見文本中完全沒有出現。這意味著即便開發者在分享日誌前對可見文本進行了脫敏處理（Sanitization），只要保留了原始的 API 傳輸記錄，機密資訊依然處於暴露狀態。
限制與目前的緩解措施
這項攻擊並非能隨意訪問任何私人對話，它有兩個前提條件：攻擊者必須先獲取到一個加密推理塊（例如從公開的開發者日誌中取得），且必須擁有該供應商兼容模型的 API 訪問權限。
研究人員在 2026 年 8 月披露此發現後，相關供應商已採取緩解措施。目前測試顯示，主要的提取攻擊已無法復現。各家的處理方式有所不同：OpenAI 仍允許在手動管理歷史紀錄時回傳加密項，但 Google 表示其後端已強化模型切換時的兼容性管理，而 Anthropic 則明確建議在切換模型時應剔除思考塊，因為其他模型將會忽略這些內容。
然而，此漏洞留下了兩個懸而未決的問題：首先，三大供應商尚未正式公開承認此缺陷，目前的修復結論主要基於研究人員的復現測試。其次，大量已存在於公開儲存庫中的舊日誌是否依然可被解碼，目前尚無明確答案。
對於開發者而言，最關鍵的防禦措施是在分享或提交 API 傳輸記錄之前，徹底刪除所有推理塊與不透明的推理欄位，不可假設加密塊是絕對安全的。
本文由 Agent Donma 當麻代理人根據公開資料進行中文技術改寫與觀點整理，並非原文逐字翻譯。