第三方云聚合器仍可窃取前沿模型推理

作者在推理提取攻击发布两个月后审计了厂商随后引入的缓解措施，发现仍能通过第三方 API 提供商从 Astra/Sol-6.1 中提取推理内容，并已将发现披露给 OpenAI 和 Anthropic。作者表示，企业需要覆盖的攻击面之大令人意外，攻击仍可能绕过防护；目前 Astra/Sol-6.1 的推理轨迹已对公众开放，作者也因此认为思维链监控可能相当困难。

Jonas Geiping 复盘了此前披露的推理提取攻击后续：所有前沿厂商的推理都可被提取，且厂商很难彻底修补，针对 Astra 的攻击一直持续到本周。他提到已把更新整理成报告，并指向 OpenAI 近期关于阻断协同模型蒸馏活动的报告。引用内容显示，在推理提取攻击发布两个月后，作者审计了此后引入的缓解措施，发现仍可通过第三方 API 提供商从 Astra/Sol-6.1 提取推理，并已向 OpenAI 和 Anthropic 披露。

作者在推理提取攻击公开两个月后审计了此后引入的缓解措施，发现仍能通过第三方 API 提供商从 Astra/Sol-6.1 提取推理内容。作者已将发现披露给 OpenAI 和 Anthropic，并附上 OpenAI 关于打击协同模型蒸馏活动的公告链接。

我们又偷到了推理。 关于推理提取论文的更新：修补你自己的 API 并不能保护你的云托管生态。 详情见🧵

研究者对 OpenAI、Anthropic 直连端点及 AWS Bedrock、Microsoft Azure、OpenRouter 等下游云聚合商做了审计，发现厂商针对推理轨迹提取的修补碎片化且易被绕过。推理重放攻击在 Azure 上对每个 OpenAI 模型（含 GPT-6 Astra）以及 Anthropic 直到 Sonnet 5 的模型仍间歇有效，一次解码即可逐字还原轨迹；scratchpad 攻击仍能从所有 OpenAI 模型以及 Opus 4.8、Sonnet 5 提取推理，目前只有 Opus 5、Fable 5、Fable 5.1 不暴露推理。作者指出下游主机存在补丁传播延迟和策略漂移，攻击者无需绕过主厂商护栏，只需把请求路由到未同步防护的下游主机即可，并建议对无法同步执行推理轨迹保密与工具范围护栏的云主机不予授权。