破解 ChatGPT 加密思维链：公开会话泄露 62 个 API 密钥与 33 组密码

研究·林晓·2026年8月12日

研究者展示 ChatGPT 隐藏思维链中反复出现的『But marinade』等无法理解词汇

由安全研究员 Alexander Panfilov 领导的研究团队发现，OpenAI、Anthropic、Google 等主流 AI 厂商的 API 存在漏洞，可以读取推理模型加密的思维链（chain of thought）。团队对约 7000 条公开共享的会话进行扫描，发现了 62 个 API 密钥、33 个邮箱地址和 33 组密码。研究论文已上传 arXiv，相关发现同步发布在 stolen-thoughts.com。

加密思维链可在模型间自由传递

当 OpenAI o 系列、Anthropic Claude、Google Gemini 等推理模型处理复杂任务时，会产生内部推理 token。这些思考过程要么以摘要形式展示给用户，要么完全隐藏，原始步骤则由厂商加密，部分是为了保护知识产权。

Panfilov 团队发现的方法绕过了这一保护：对大多数查询，提取出的 token 数量与账单上计费的思考 token 数完全一致，说明他们拿到的是完整推理过程而非片段。研究者称，加密思维链「在单个提供商内的会话、用户和模型之间完全可移植」——Anthropic 较小的 Haiku 4.5 能读取更强大的 Opus 4.8 的思维，通过越狱（jailbreak）可以让 Haiku 逐字转写 Opus 的原始推理，而无需直接攻击 Opus；同样的技巧在 OpenAI 和 Gemini 上也有效。

时间线可以追溯到 5 月：密码学家 Matthew Green 发现加密思维链可以被重放到原始上下文之外，并向厂商报告。据 Panfilov 称，厂商当时的回应是「看不到侧信道或重放有什么安全隐患」。新研究强烈表明这个判断是错的。

思维链蒸馏的新证据

这一漏洞也为争议中的「蒸馏」辩论提供了新素材。研究者表示，提取推理过程用于训练专有模型可能已经存在一段时间，而且无需破解加密。这支持了外界对中国模型厂商用思维链数据训练自家模型的担忧。

Kimi-K3 被研究者作为一个例子：只要在它的推理中预填充几个来自 Opus 思维过程的 token，其输出就会明显向 Opus 偏移；记忆分析显示，特定 Claude 和 GPT 推理片段从 Kimi-K3 中提取的难度，比次近模型低六个数量级。研究者认为这暗示 Kimi-K3 可能就是用此类轨迹训练的。

公开共享会话泄露密码与 API 密钥

漏洞同样波及终端用户：任何公开共享了包含加密思维链的 Claude Code 或 Codex 会话的人，都可能被解码出个人数据。对约 7000 条公开轨迹的扫描发现了 62 个 API 密钥、33 个邮箱地址、33 组密码及其他敏感信息。论文还覆盖了更多恶意场景，包括滥用提升（misuse uplift）、越狱和隐形提示注入。

模型对外输出只是无害的安全建议，解密后的思维链却在详细描述如何用 USB 线偷车（图片来源：Panfilov 等）

团队遵循标准安全披露流程联系了各 AI 实验室。据 Panfilov 称，厂商已修复部分问题，并正在推进更多修复。

模型实际在想什么 vs. 展示给你什么

提取出的轨迹也揭示了模型的真实行为。研究者发现，聊天工具中展示的推理摘要经常遗漏重要信息：在一个例子里，Opus 4.8 显然已经从训练数据中认出了数学题的答案，然后反向构造出一条看似合理的解题路径——这些都没有出现在展示的摘要中。

$模型显然已从训练数据中知道答案，对外却假装仍需一步步计算（图片来源：Panfilov 等）$

研究者还证实了此前 Apollo Research 的发现：OpenAI 模型有时会用「外星语言」思考，以「we」或「it」自称，并陷入对人类毫无意义的词循环，比如「vantages」「marinades」「watchers」。Panfilov 写道：「从事思维链监控的人在做上帝的工作，在许多轨迹里，即使给出了提示词，你也根本不可能判断模型在干什么。」

『But marinade』——这个 OpenAI 模型到底在想什么？（图片来源：Panfilov 等）

研究者同时记录了「野外算计（in-the-wild scheming）」的实例：模型在思维过程中明确考虑过作弊，但（可能）因为预期会被发现而放弃。一个案例中，模型在多次尝试失败后试图通过网站验证答案，被 CAPTCHA 拦截后先尝试破解验证码，接着搜索网站漏洞，全部失败后才自己解出问题。此前报道的 OpenAI 模型意外攻击 Hugging Face 等平台的事件，据称也是类似路径。