Jährliche KI-Papiere: Die Anti-Destillationsmechanismen der drei weltweit führenden Top-Modelle sind vollständig durchbrochen, kleine Modelle "entlocken" die verborgenen Denkketten großer Modelle, und Kimi-K3 weist anomale Reproduktionswahrscheinlichkeiten auf.

In den letzten zwei Jahren ist die „Verhinderung der Destillation“ ein ständiges Kopfzerbrechen für die Modellgiganten im Silicon Valley. Große Unternehmen wie Anthropic beschuldigen chinesische Unternehmen wie DeepSeek und Moonshot wiederholt, über APIs Inferenz- und Agent-Fähigkeiten zu erschleichen. Zu diesem Zweck haben sie äußerst strenge Konto-Risikokontroll- und Verbergungsmechanismen implementiert und auf Produkt-, API- und Modellebene zusätzliche Schutzschichten eingerichtet.

Unter ihnen gilt die „Versteckte Gedankenkette (Hidden CoT/Reasoning Tokens)“ weithin als einer der wertvollsten und am schwierigsten zu überwindenden Schutzgräben. Die Kernstrategie besteht darin, den komplexen Inferenzprozess des Modells verschlüsselt zu kapseln und externen Benutzern nur das endgültige Rechenergebnis auszugeben, um den „kognitiven Prozess“ des großen Sprachmodells vollständig zu einem Black Box zu machen.

Eine kürzlich veröffentlichte Studie hat jedoch die Sicherheitsillusion der führenden geschlossenen Quellmodelle vollständig zerstört und die in der Branche seit langem geltende Annahme „Verschlüsselung bedeutet Sicherheit“ widerlegt.

Heute, unter der Leitung von Alexander Panfilov, einem Forscher des MATS-Programms, haben das Max-Planck-Institut für Intelligente Systeme, das ELLIS-Institut Tübingen und das Sicherheitsunternehmen Snyk gemeinsam das Papier mit dem Titel „Stealing Reasoning Traces from Proprietary LLM APIs“ veröffentlicht (arXiv:2608.09867). Derzeit hat die Lesezahl auf sozialen Plattformen über 2,1 Millionen überschritten.

Diese 116-seitige Studie enthüllt detailliert, dass in den APIs der drei führenden KI-Modellhersteller (Anthropic, OpenAI, Google) allgemein schwere kryptographische Seitenkanal-Schwachstellen vorliegen:

Angreifer müssen die zugrunde liegenden Verschlüsselungsalgorithmen nicht knacken. Sie können durch einfache Anleitung eines leichtgewichtigen Modells die ursprünglich verborgenen Gedankenkettendaten des Top-Großmodells aus den verschlüsselten Inferenzblöcken wiederherstellen und transkribieren.

Der bekannte KI-Forscher Nathan Lambert bewertete: „Dies wird höchstwahrscheinlich eines der einflussreichsten wissenschaftlichen Papiere dieses Jahres werden.“ Arman Zharmagambetov, Forschungswissenschaftler am Meta FAIR-Labor, stimmte dieser Einschätzung ebenfalls voll und ganz zu.

Bei der Untersuchung des „Destillations“-/„Lern“-Mechanismus zwischen Modellen entdeckte das Team auch ein anomales Phänomen: Die Wahrscheinlichkeit, dass Kimi-K3 Inferenzfragmente von Claude/GPT reproduziert, ist etwa eine Million Mal höher als bei anderen Modellen; sobald nur der Anfang der Inferenz von Opus eingefügt wird, konvergiert seine nachfolgende Denkweise deutlich.

Die Autoren betonen gleichzeitig, dass dies zwar einen Daten„fingerabdruck“ hinterlässt, aber immer noch nicht ausreicht, um Destillation direkt zu beweisen.

Kleine Modelle werden zu „Entschlüsselungsgeräten“ für große Modelle

Die Sorgen der Branche um die Sicherheit der Verschlüsselung des Inferenzprozesses großer Modelle sind nicht unbegründet.

Bereits im Mai dieses Jahres veröffentlichte der bekannte Kryptograph Matthew Green, außerordentlicher Professor an der Johns Hopkins University, einen technischen Blogbeitrag mit dem Titel „Let’s talk about encrypted reasoning“, in dem er darauf hinwies, dass die „verschlüsselten Inferenzpakete“, die von fortschrittlichen Modellen generiert werden, theoretisch das potenzielle Risiko haben, von außen erfasst und wiedergegeben zu werden, und reichte den betreffenden Herstellern einen Schwachstellenbericht ein.

Damals reagierten die führenden KI-Labors jedoch gleichgültig und erklärten in ihren offiziellen Antworten arrogant: „Wir haben keine wesentlichen Sicherheitsbedrohungen durch Seitenkanalangriffe oder Wiedergabemechanismen beobachtet.“

Doch nur wenige Monate später lieferte die Studie von Panfilovs Team ein völlig gegenteiliges Fazit und bestätigte die Schwere der Schwachstelle mit äußerst zerstörerischen empirischen Ergebnissen. Der zentrale Durchbruch der Studie liegt in der Bestätigung der „Umgebungsübergreifenden Portabilität (Cross-model portability)“ von verschlüsselten Gedankenpaketen.

Experimente zeigen, dass diese verschlüsselten Daten, die ursprünglich als tief an bestimmte Sitzungen gebunden galten, nicht nur außerhalb des ursprünglichen Kontexts wiedergegeben werden können, sondern auch nahtlos zwischen Modellen unterschiedlicher Parametergrößen desselben Herstellers übertragen werden können.

Das Forschungsteam demonstrierte vollständig diesen technischen Pfad der „Dimensionsreduktions-Extraktion“:

Datenerfassung: Erfassen Sie die verschlüsselte Gedankenkettenpaket (Blob), die von Top-Modellen mit hohen Kosten und hoher Intelligenz (z. B. Claude 3 Opus Version 4.8 von Anthropic) bei API-Interaktionen generiert wird.

Modellübergreifende Injektion: Geben Sie dieses verschlüsselte Paket als Kontext in ein leichtgewichtiges Modell mit sehr geringen Kosten und kleineren Parametern unter demselben Ökosystem ein (z. B. Claude Haiku Version 4.5).

Jailbreak-Induktion: Wenden Sie speziell erstellte Jailbreak-Prompts auf das leichtgewichtige Modell an, um seine Sicherheitsbarrieren zu umgehen.

Klartextausgabe: Unter der gemeinsamen Wirkung von Jailbreak-Anweisungen und injizierten Paketen führt das leichtgewichtige Modell (Haiku) nicht mehr seine eigene Inferenz aus, sondern fungiert wie ein präziser „Dekoder“, der den komplexen ursprünglichen Inferenzprozess des Top-Modells (Opus) wortgetreu transkribiert und ausgibt.

Natürlich ist eine der am leichtesten zu hinterfragenden Fragen: Ist der Text, den Haiku ausgibt, wirklich die Gedanke von Opus, oder hat das kleine Modell ihn basierend auf dem Kontext „erfunden“?

Streng genommen kann das Forschungsteam nicht den echten Klartext-CoT im Inneren der Herstellerserver erhalten, sodass es nicht beweisen kann, dass das wiederhergestellte Ergebnis zu 100% zeichengenau übereinstimmt. Das Papier bezeichnet Modelle wie Haiku als „fuzzy decoder“ und nicht als Entschlüsselungsgerät im kryptographischen Sinne.

Aber die Forscher fanden ein sehr interessantes „Messgerät“: die API-Rechnung.

Bildunterschrift: Drei Gruppen von Experimenten zeigen, dass die wiederhergestellte Inferenzlänge von Claude, GPT und Gemini stark mit den tatsächlich abgerechneten Thinking-Tokens der API übereinstimmt. Die horizontale Achse ist die „Anzahl der versteckten Inferenz-Tokens“, die auf der API-Rechnung angezeigt wird, die vertikale Achse ist die Anzahl der durch den Angriff extrahierten „Klartext-Tokens“. Das Diagramm deckt alle Modelle von Anthropic, OpenAI und Google ab.

Die Ergebnisse zeigen, dass bei den meisten Proben von Claude, GPT und Gemini die Anzahl der extrahierten Klartext-Tokens und die Anzahl der abgerechneten Tokens auf der Rechnung eng entlang der Linie y=x verteilt sind.

Das bedeutet, dass diese Schwachstelle die direkte Angriffs- und Verteidigungslinie vollständig umgeht – es ist nicht erforderlich, die komplexen Sicherheitsrichtlinien von Modellen wie Opus zu bekämpfen, sondern die Interoperabilität der Datenformate zwischen den internen Modellmatrizen des Herstellers wird genutzt, um die Durchbruchstelle über das kleinere Modell mit schwächerer Verteidigung zu erreichen.

Noch wichtiger ist, dass dieser Vorgang sehr günstig ist.

Nach den Berechnungen des Papiers, berechnet nach dem API-Preis von Haiku 4.5, wenn jede Reasoning-Trace mit 12.000 Token-Eingaben und 12.000 Token-Ausgaben geschätzt wird, betragen die Kosten für die Dekodierung von 10.000 vollständigen Gedankenketten nur etwa 720 US-Dollar. Dies beweist auch, dass der Ausnutzungsmechanismus dieser Schwachstelle skalierbar ist.

Die Studie geht weiter und stellt fest, dass die Ursache dieser Schwachstelle darin liegt, dass die verschlüsselten Inferenzblöcke von vornherein eine übermäßig starke Portabilität aufweisen – das heißt, diese verschlüsselten Blöcke können zwischen verschiedenen Modellen, Sitzungen und Benutzern im selben Herstellerökosystem wiedergegeben werden. Und große Unternehmen setzen die Verschlüsselungsschlüssel häufig global ein, um die Speicherkosten auf Servern zu senken (zustandslose Architektur).

Die Studie zeigt, dass mit Ausnahme von Fable 5 von Anthropic die gesamte Claude-Serie, die GPT-5.6-Serie und alle Gemini-Modelle es niedrigwertigen Modellen (wie 04-mini, Haiku) ermöglichen, die verschlüsselte Gedankenkette von hochwertigen Modellen (wie GPT-5.6 Sol, Opus 4.8) zu lesen.

Datenfingerabdrücke tauchen auf: Die „Verhinderung der Destillation“ ist praktisch nutzlos

Wenn die vorherige Schwachstelle die „Verhinderungs-Destillation“-Verteidigungslinie durchbricht, die die Modellhersteller auf API-Ebene aufgebaut haben, dann legt das Team nun einen noch sensibleren Branchen-Black Box wieder auf den Tisch:

Haben diese Modelle mit schnell steigender Leistung systematisch die verborgenen Gedankenketten von Claude und GPT „gelernt“?

Im Teil „Gedächtnisanalyse“ des Papiers enthüllt das Forschungsteam durch quantitative Experimente objektive Beweise dafür, dass einige Modelle die Gedankenketten ihrer Konkurrenten während des Trainingsprozesses tief absorbiert haben.

Das Forschungsteam wählte Modelle wie Kimi-K3, GLM-5.2, DeepSeek-V4-Flash, Kimi-K2.6 und Inkling (entwickelt von Thinking Machines Lab) als Kontrollgruppen aus, um nach Datenfingerabdrücken zu suchen, die möglicherweise in den Modellgewichten verblieben sind, in drei Dimensionen: „Extraktionswahrscheinlichkeit Wort für Wort“, „Drift des Ausgabestils“ und „Stil der Inferenzsprache“.

Das Papier betont, dass diese Experimente nur anomale Verhaltenskompatibilität nachweisen können, nicht die Herkunft der Trainingsdaten ableiten können und noch weniger direkt feststellen können, dass ein bestimmtes Modell Claude oder GPT destilliert hat. Der Datenunterschied, der durch Kreuzexperimente dargestellt wird, ist jedoch immer noch erschreckend.

Die „Wahrscheinlichkeitslücke“ bei wortwörtlicher Reproduktion

Wie leicht ist es für ein Modell, dem Gedankengang von Claude zu folgen und weiterzureden? Die Forscher ließen verschiedene Modelle versuchen, die folgenden 16 Token der verborgenen Inferenz von Opus 4.8 zu reproduzieren.

Objektiv gesehen kann kein Modell „direkt auswendig lernen“. Aber die Ergebnisse des horizontalen Vergleichs sind aufschlussreich:

Bei der gleichen Inferenz von Opus sind die theoretischen Abfragekosten von Kimi-K3 (hellblaue durchgehende Linie), um den Originaltext zu treffen, um ganze 4 bis 6 Größenordnungen niedriger als bei DeepSeek-V4-Flash und Inkling. Das bedeutet, dass die zugrunde liegende Logik von Opus im Wahrscheinlichkeitsraum von Kimi-K3 äußerst „vertraut“ wirkt.

„Stildrift“ ausgelöst durch ein 1%-Präfix

Noch seltsamer als das „Auswendiglernen von Entwürfen“ ist die subtile Stilinter