从专有 LLM API 窃取推理轨迹

领先的大语言模型服务商如今会隐藏模型逐步推理的过程，也就是思维链，以保护知识产权并减少信息泄露。服务商不会把这些轨迹保存在服务器端，而是以加密文本块的形式返回给客户端；客户端在之后的每次请求中再将这些内容传回。基于以往研究，我们发现一个架构层面的漏洞：同一服务商生态内，不同会话、用户和模型之间的加密文本块完全兼容、可以互换。我们利用这一兼容性，设计出可大规模实施的解密越狱攻击。攻击者只需把某个模型的加密推理轨迹注入同一服务商旗下防护较弱的模型，就能迫使后者将轨迹原样解密为明文输出，无须直接越狱能力更强的模型。该漏洞带来四类攻击。第一，它能绕过反蒸馏机制，让攻击者提取专有模型的推理过程；我们在 Anthropic、OpenAI 和 Google 的模型上都进行了演示。第二，它能用于大规模提取私人数据。开发者经常公开分享会话日志，却不知道日志中的加密文本块包含什么。我们从公开代码库抓取的 315,320 个推理块中解码出 367 条个人身份信息（PII）和 182 个凭据。第三，即使模型最终可见的回复安全地拒绝了恶意请求，解密内容仍可能暴露推理过程中隐藏的危险信息。第四，攻击者可以把恶意载荷完全藏在加密文本块中，通过有毒数据污染公开的智能体运行记录，从而实施隐形提示注入。我们在负责任地披露问题后，提出了具体的密码学和系统层缓解方案，以保护客户端推理过程。