从 LLM API 窃取推理轨迹：攻击如何运作、该审计什么

📋 概述

ELLIS 图宾根研究所、马普智能系统研究所与 Snyk 的研究论文指出：Anthropic、OpenAI、Google 返回给 API 客户端的加密推理块并非看起来那么安全。作者把前沿模型产出的推理块重放给同厂商更弱的模型、破解弱模型，再用两次 API 调用即可明文恢复强模型的隐藏推理。根因在于设计：提供商不把思维链存服务器端，而是作为加密文本块返回给客户端、随下次请求再传回，且该块在同一厂商生态内跨会话、跨模型、跨用户完全可交换。论文在 120 道 Codeforces 题上验证了提取保真度，解码推理与厂商报告的隐藏思考 token 数在 y=x 对角线上高度吻合。