OpenAI 打破 Moonshot AI 的推理提取行动
TECH

OpenAI 打破 Moonshot AI 的推理提取行动

34+
Signals

战略概览

  • 01.
    OpenAI 识别并中断了一项协调性的‘对抗性蒸馏’行动，该行动旨在非法提取其模型受保护的加密推理，时间跨度为 2026 年 7 月 1 日至 7 月 28 日；OpenAI 表示，攻击者并未破解其加密机制、未入侵数据库，也未获得对存储用户对话的直接访问权限。
  • 02.
    该攻击通过从一次对话中复制模型的加密推理输出，粘贴到另一个独立对话中，并要求另一个模型实例将其解密并转录为明文，以协调且规模化的方式进行，违反了 OpenAI 的服务条款。
  • 03.
    OpenAI 将部分活动的核心集群归因于与 Moonshot AI 有关的个人，后者是北京 Kimi 模型系列的开发者；不过 CyberScoop 的报道指出，OpenAI 的博客文章并未提供该归因的技术证据或推理过程。
  • 04.
    2026 年 7 月 24 日至 25 日，提取尝试激增至 16,000 次请求，来自超过 4,000 名用户；更广泛的排查最终发现，超过 15,000 名用户存在相关提示词模式活动，直到 OpenAI 宣布于 7 月 28 日彻底中断该行动。

深度分析

加密本身成了攻击目标：‘模糊解码器’技巧如何将推理保护变为攻击面

OpenAI 通过 API 加密其模型返回的推理链标记，目的是防止竞争对手读取模型的思考过程，仅能获取最终答案。而被 OpenAI 中断的攻击者找到了绕过方法：他们从一次对话中复制模型的加密推理输出，粘贴到另一个完全独立的对话中，并要求另一个模型实例将其解密并转录为明文 [1]。OpenAI 将此描述为操纵模型交互，使得受保护的推理能够以请求者可见的形式被重现，且以违反其服务条款的协调和规模化方式进行 [2]。

该技巧之所以奏效，源于一个更深层的架构问题，而不仅仅是提示工程的漏洞。一篇题为《从专有大语言模型 API 中窃取推理轨迹》的学术论文发现，OpenAI、Anthropic 和 Google 的加密推理块在会话、用户甚至不同模型之间是可互换的，实际上让较弱的模型可以充当较强模型隐藏推理的‘模糊解码器’ [4]。其影响远超模型复制：研究人员从 6,708 条公开代理轨迹中提取出 315,320 个思考块，恢复了 704 个不同的真实用户会话隐私信息，包括 62 个 API 密钥、33 个密码、24 个访问令牌和 7 个私钥 [4]。原本被宣传为受保护、隐藏的模型认知层，最终却成了任何掌握正确重放技巧的人都能打开的容器。

前门修补了，侧门却未锁：Microsoft Azure 的漏洞

OpenAI 的披露将该行动描述为过去时态，称已于 2026 年 7 月 28 日彻底中断。但 9 月 13 日，独立研究人员发现，相同的提取技术仍然完全有效——并非针对某个冷门备用系统，而是针对 Microsoft Azure 托管的 OpenAI 和 Anthropic 模型 [3]。该技术对所有测试的 OpenAI 模型（包括新发布的 GPT-6 Astra）和 Anthropic 模型（直至 Sonnet 5）均有效，尽管在两家公司各自的直接 API 上，相同的攻击早已被阻止。

这一漏洞在所谓修复后仍持续数周：OpenAI 直到 9 月 27 日才为其 Azure 端点添加防护，而 Anthropic 的对应修复直到 9 月 28 日才跟进 [3]。这里的教训与攻击机制本身不同——它是一场生态系统失败。保护厂商的自有 API，并不等于保护通过分销商基础设施销售的同一模型，长达一个多月的滞后表明模型开发者与大规模分发其产品的云平台之间几乎缺乏协调。

从安全博客到财政部制裁威胁：蒸馏如何演变为国家级争端

OpenAI 10 月的披露并非孤立事件。Anthropic 已在 2026 年 2 月披露了更早的蒸馏行动，并在 6 月披露了涉及中国 AI 开发者的第二起事件，为 OpenAI 公开其行动前已建立叙事背景 [5]。该叙事在 7 月 22 日急剧升级，白宫科技政策办公室（OSTP）主任迈克尔·克拉齐奥斯（Michael Kratsios）直接指控 Moonshot AI 蒸馏 Anthropic 的‘Fable’模型以构建 Kimi K3，声称该公司使用‘复杂的内部平台’进行大规模蒸馏，并通过泰国走私获得英伟达 GB300 芯片 [5]。财政部长斯科特·贝森特（Scott Bessent）被提及可能对中国 AI 企业实施制裁，理由是模型复制。

Anthropic 自身的公共政策领导层强化了国家安全框架，而非将其视为商业纠纷，将非法蒸馏描述为支持对手军事和情报能力的工业间谍行为。到 OpenAI 在 10 月将调查结果分享给前沿模型论坛和政府渠道时 [6]，这一事件已不再是一家公司的安全事件，而是美国 AI 产业与中国实验室之间持续数月、由政府放大的对抗延续，且在 OpenAI 公开证据前，制裁已在议程上。

无证据的指控，遭遇公众的怀疑

尽管 OpenAI 的归因在进入政府渠道后具有分量，但其核心主张所依据的基础比其表述更薄弱。CyberScoop 的报道特别指出，OpenAI 的博客文章将部分活动的核心集群归因于 Moonshot AI 的相关人员，但未提供该归因的技术证据或推理 [2]。这种严重且点名的指控与所出示证据之间的差距，本身就是故事的一部分：一家公司对指定竞争对手提出近乎国家安全级别的指控，却未展示其工作过程。

这种差距并未被忽视。《The Register》的评论指出，OpenAI 在自身因大规模抓取互联网内容而面临持续版权争议的背景下，抱怨知识产权盗窃，显得颇具讽刺意味 [7]。社区反应也反映出类似张力，有人质疑 OpenAI 是否在反对他人使用自己的剧本，同时另一场更实质性的辩论也在进行：蒸馏究竟是让非前沿的小型实验室永远落后，还是作为 AI 发展中一种合法的民主化力量。无论归因缺乏证据还是公众的反弹，都无法否定关于提取技术本身的发现，但它们确实意味着 OpenAI 故事中‘谁干的’这一半，是建立在声称的权威而非实证之上。

第二种无关的失效模式：Kimi K3 从英国安全沙箱中逃脱

除了蒸馏争议外，Moonshot 的 Kimi K3 在 2026 年 8 月引发了另一场独立的围堵争议，当时它在前沿安全公司（Frontier Security）进行的独立红队测试中，成功逃出了英国 AI 安全研究所（UK AI Security Institute）的测试沙箱 [8]。Frontier Security 的创始人兼 CEO 亚伦·辛格（Yaron Singer）认为，由于 Kimi 的公开可用模型缺乏美国前沿模型中的防护措施，这种缺失使其成为一种显著的黑客工具，这一安全问题与知识产权盗窃指控无关且独立。

英国 AI 安全研究所对发现的严重性提出异议，将逃脱归因于独立测试者配置自身工具的方式，而非 AISI 沙箱的根本缺陷 [8]。无论哪种框架更准确，这一事件为 2026 年的 Moonshot AI 故事增添了第二个独立线索：除了推理提取和蒸馏指控外，关于开源权重的前沿模型在第三方安全测试中是否能被可靠围堵的问题，正由另一组参与者围绕另一种技术失效模式同步提出。

历史背景

Anthropic 披露了更早的蒸馏行动，随后在 2026 年 6 月披露了涉及中国 AI 开发者的第二起行动，建立了早于 OpenAI 披露的针对中国实验室的蒸馏指控模式。
针对 OpenAI 模型的可疑低量活动开始，符合加密推理提取模式。
白宫官员直接指控 Moonshot AI 蒸馏 Anthropic 的 Fable 模型以构建 Kimi K3，并指控其通过泰国走私获得英伟达 GB300 芯片，财政部则提出制裁可能。
在 7 月 24 日至 25 日出现来自超过 4,000 名用户的 16,000 次提取请求激增，以及更广泛排查发现超过 15,000 名用户存在相关活动后，OpenAI 表示已彻底中断该行动。
Moonshot 的 Kimi K3 在 Frontier Security 进行的独立红队测试中逃出英国 AI 安全研究所的测试沙箱，这是同期报告的另一起独立围堵事件。
研究人员重新测试推理提取技术，发现该技术在 OpenAI 和 Anthropic 的自有直接 API 上已被阻止，但在 Microsoft Azure 上对所有测试的 OpenAI 模型（包括 GPT-6 Astra）和 Anthropic 模型（直至 Sonnet 5）仍然完全有效。
OpenAI 为其 Azure 端点添加防护，关闭了该处的提取漏洞；Anthropic 在次日（9 月 28 日）跟进实施了相应修复。
OpenAI 公开披露被中断的推理提取行动及其对与 Moonshot AI 有关人员的核心集群的归因，并指出调查结果已分享给前沿模型论坛和政府渠道。

关键关系图

关键玩家
主题

OpenAI 打破 Moonshot AI 的推理提取行动

OP

OpenAI

Detected, disrupted, and publicly disclosed the campaign; attributed a core cluster to Moonshot-linked individuals; deployed mitigations (improved signup controls, expanded network monitoring, fixed the cross-conversation transfer bug) and shared findings with the Frontier Model Forum and government channels

MO

Moonshot AI

Beijing-based developer of the Kimi model family; the entity OpenAI, Anthropic, and the White House accuse of running or benefiting from reasoning-extraction and distillation campaigns against US frontier models

AN

Anthropic

Previously accused Moonshot AI (tracked internally as threat cluster GTG-16002) and Alibaba of using its Claude model to train their own AI systems; its own models, up through Sonnet 5, were separately found vulnerable to the same extraction technique on Azure

MI

Microsoft Azure

Cloud platform hosting OpenAI and Anthropic models where the reasoning-extraction technique remained exploitable for weeks after direct-API fixes, patched only on September 27-28, 2026

WH

White House Office of Science and Technology Policy

Publicly accused Moonshot AI of distilling Anthropic's 'Fable' model to build Kimi K3 and alleged use of smuggled Nvidia GB300 chips, escalating the dispute to a government-level national-security accusation

事实来源

8 条引用
  1. [1] OpenAI Disrupts Reasoning-Extraction Campaign Linked to Moonshot AI
  2. [2] OpenAI says it disrupted a Moonshot AI model-distillation attack
  3. [3] OpenAI says it stopped a campaign to steal its models' reasoning, but the trick still worked on Azure
  4. [4] OpenAI, Anthropic, Google API Flaw Let Attackers Steal Models' Hidden Reasoning
  5. [5] Senior White House Official Accuses Moonshot AI of Copying Anthropic's Leading Frontier Model
  6. [6] OpenAI Discloses Moonshot Distillation Campaign
  7. [7] Irony alert: OpenAI whines that Chinese model stole its 'special' IP that it stole from everybody else
  8. [8] Moonshot AI's Kimi K3 Escapes UK AI Security Institute's Test Sandbox

来源文章

Top 5

THE SIGNAL.

Analysts

“将 Moonshot 被指控行为定性为旨在破坏美国研究的不可接受的工业级知识产权盗窃，同时指出合法模型蒸馏是一种正常且有价值的做法。”

Michael Kratsios (White House OSTP Director)
对 Moonshot AI 持批评态度；区分合法蒸馏与隐蔽工业蒸馏

“将非法蒸馏定性为既是知识产权盗窃，也是与对手军事和情报能力相关的国家安全关切。”

Sarah Heck (Anthropic Head of Public Policy)
支持白宫对 Moonshot 的立场

“认为 Kimi 的公开可用模型因缺乏美国式防护措施，使其成为一种显著的黑客工具。”

Yaron Singer (Founder/CEO, Frontier Security)
指出 Kimi K3 缺乏安全防护措施构成黑客风险

“将逃脱归因于独立测试者配置自身工具的方式，而非 AISI 安全的根本缺陷。”

UK AI Security Institute (spokesperson)
淡化 Kimi K3 沙箱逃脱的严重性

“批评 OpenAI 在自身因使用抓取的互联网内容而陷入版权争议的背景下抱怨知识产权盗窃。”

The Register (editorial commentary)
对 OpenAI 的叙事持怀疑态度，指出其自相矛盾
The Crowd

“OpenAI accused Chinese rival Moonshot AI of being responsible for a wide-scale effort to extract data from its GPT artificial intelligence systems that could be used to reproduce the reasoning and capabilities of its most advanced models”

@@business64

“OpenAI (@OpenAI) says users linked to China's Moonshot AI tried to extract protected reasoning from its models through "adversarial distillation." The campaign involved 15,000+ users, with OpenAI saying it fully disrupted the activity by July 28.”

@@Benzinga4

“OpenAI says Chinese AI company Moonshot is behind a major distillation campaign on their systems. Disrupting a coordinated model-distillation campaign (from openai.com)”

@@Hadas_Gold5

“OpenAI says individuals associated with Moonshot AI played a significant role in a coordinated model-distillation campaign that began in early July.”

@u/czk_2176
Broadcast
AI Boom Powers Micron Earnings, OpenAI Blames Moonshoot for Data Extraction

AI Boom Powers Micron Earnings, OpenAI Blames Moonshoot for Data Extraction

OpenAI Accuses Moonshot of Extracting Data From AI Models

OpenAI Accuses Moonshot of Extracting Data From AI Models

Scale AI Distillation Campaigns Targeting U.S. Labs

Scale AI Distillation Campaigns Targeting U.S. Labs