低价模型可解密高价模型的加密推理

这篇论文太疯狂了。OpenAI、Anthropic 和 Google 通过加密推理过程，并让推理通过用户客户端传回，以此来隐藏它们的推理过程。

结果发现，这个加密数据块是可移植的。你可以把 Opus 4.8 的加密“思想”交给 Haiku，而 Haiku 可以逐字解码出来。

事情是这样的：顶级 AI 在解决复杂问题时，它会在输出结果前先“思考”。这种内部思考过程是全世界最有价值的数据，是制胜秘诀。如果你能确切地知道一个顶尖 AI 是如何思考的，你就可以用这些数据以极低的成本训练一个有竞争力的开源 AI。

所以，那些大型科技巨头把它藏了起来。但在自己的服务器上存储数百万条冗长复杂的思考过程成本很高。因此他们想出了一个变通办法：他们把 AI 的思考加密成一个文本块，发送到你的电脑，当你下次发送消息时，再让你的浏览器把它传回去。

研究人员最近发现这个架构存在一个致命缺陷。加密并不和生成这段思考的特定模型绑定。所以他们尝试了一个漏洞利用：他们从 Claude Opus 4.8 这种大型、昂贵、高度安全的模型那里拿到了一个加密的“思考块”，然后把它交给 API 中最便宜、性能最弱的模型，比如 Claude Haiku。然后他们让 Haiku 继续这段思考。

Haiku 不只是读取了它，它完整解码了整个数据块，并把内容以明文输出了出来。这是一把万能钥匙。廉价 AI 可以读出昂贵 AI 的思想。

这个漏洞对大实验室来说后果是灾难性的。首先，护城河没了。价值数十亿美元的壁垒倒塌了。开源开发者现在可以轻松获取世界上最先进模型的隐藏推理过程。

其次，这是一场安全噩梦。几个月来，开发者一直不小心把这些“无害”的加密数据块粘贴到公开的 GitHub 仓库里。现在，任何人都可以解密它们，获取藏在里面的隐私数据、密码和 API 密钥。

科技巨头花费数十亿美元建造黑箱来保护他们最有价值的秘密，但他们给每扇门都用了同一把锁。如果你现在正在开发基于 AI 的产品，要默认所有隐藏思考都是公开的。因为 AI 没法对自己保守秘密。