Lỗ hổng API nghiêm trọng: Hé lộ quy trình suy luận 'bí mật' của các mô hình AI hàng đầu

Các nhà nghiên cứu bảo mật đã phát hiện một lỗ hổng trong API của tất cả các nhà cung cấp AI lớn, cho phép họ đọc được các quá trình tư duy đã mã hóa của các mô hình suy luận. Một đợt quét các phiên làm việc được chia sẻ công khai đã tìm thấy hàng chục mật khẩu và khóa API.

Khi các mô hình AI như dòng o-series của OpenAI, Claude của Anthropic hay Gemini của Google "suy nghĩ" để giải quyết các tác vụ phức tạp, chúng tạo ra các token suy luận nội bộ. Những quá trình tư duy này hoặc được hiển thị cho người dùng dưới dạng tóm tắt, hoặc được giữ hoàn toàn ẩn. Các nhà cung cấp mã hóa các bước suy luận thô, một phần là để bảo vệ quyền sở hữu trí tuệ của họ.

Một nhóm nghiên cứu do Alexander Panfilov dẫn đầu hiện đã tìm ra cách trích xuất các quá trình suy luận đã mã hóa này thông qua một lỗ hổng trong API của tất cả các nhà cung cấp AI hàng đầu. Đối với hầu hết các truy vấn, số lượng token được trích xuất khớp chính xác với số token tư duy bị tính phí, nghĩa là các nhà nghiên cứu đang thu thập toàn bộ quá trình suy luận nội bộ chứ không chỉ là các đoạn trích nhỏ.

Các suy nghĩ đã mã hóa di chuyển tự do giữa các mô hình

Các nhà nghiên cứu cho biết các quá trình tư duy đã mã hóa này "có khả năng di chuyển hoàn toàn giữa các phiên làm việc, người dùng và các mô hình trong cùng một nhà cung cấp." Mô hình nhỏ hơn của Anthropic là Haiku 4.5 có thể đọc được suy nghĩ của mô hình Opus 4.8 mạnh mẽ hơn nhiều. Thông qua việc bẻ khóa (jailbreaking), Haiku có thể bị đánh lừa để chép lại từng chữ các quá trình tư duy thô của Opus mà không cần tấn công trực tiếp vào mô hình Opus kiên cố hơn. Thủ thuật tương tự cũng hiệu quả với OpenAI và Gemini.

Câu chuyện bắt đầu từ tháng 5, khi chuyên gia mật mã Matthew Green phát hiện ra rằng các khối suy luận đã mã hóa có thể được phát lại bên ngoài ngữ cảnh ban đầu và đã báo cáo cho các nhà cung cấp. Theo Panfilov, phản hồi của họ là "họ không thấy bất kỳ tác động bảo mật nào từ các kênh phụ hoặc việc phát lại." Nghiên cứu mới cho thấy đánh giá đó hoàn toàn sai lầm.

Bằng chứng ngày càng tăng về việc chưng cất suy luận (reasoning distillation)

Lỗ hổng này cũng góp phần vào cuộc tranh luận gây tranh cãi về "chưng cất", nơi một mô hình kém năng lực hơn được cải thiện đáng kể bằng cách huấn luyện trên đầu ra của một mô hình mạnh mẽ hơn, cụ thể là khả năng suy luận của nó.

Các nhà nghiên cứu cho biết có thể đã từ lâu, việc trích xuất các quá trình suy luận để huấn luyện các mô hình độc quyền mà không cần phá vỡ mật mã là điều khả thi. Điều này củng cố những lo ngại rằng các nhà phát triển mô hình Trung Quốc đang sử dụng các dấu vết suy luận này để huấn luyện mô hình của riêng họ trên dữ liệu chuỗi suy nghĩ (chain-of-thought).

Kimi-K3 là một ví dụ. Các nhà nghiên cứu cho biết nếu quá trình suy luận của nó được điền trước chỉ với một vài token từ các quá trình tư duy của Opus, đầu ra của nó sẽ thay đổi rõ rệt theo hướng giống với Opus. Phân tích ghi nhớ cho thấy các phân đoạn suy luận cụ thể của Claude và GPT dễ trích xuất từ Kimi-K3 hơn tới sáu bậc độ lớn so với mô hình gần nhất tiếp theo. Các nhà nghiên cứu cho rằng điều này gợi ý Kimi-K3 có thể đã được huấn luyện trên các dấu vết như vậy.

Cuộc tấn công này cũng không tốn kém, vì vậy việc mở rộng quy mô là khả thi. Các tác giả ước tính chi phí API để giải mã 10.000 dấu vết vào khoảng 720 USD. Hiệu suất "kém" của Kimi trên các bài kiểm tra an ninh mạng và các tác vụ toán học phức tạp cũng chỉ ra việc chưng cất, vì đây là những tác vụ khó khôi phục hơn ngay cả từ dữ liệu chuỗi suy nghĩ thô.

Các phiên làm việc được chia sẻ công khai làm rò rỉ mật khẩu và khóa API

Lỗ hổng này cũng ảnh hưởng đến người dùng cuối. Bất kỳ ai đã chia sẻ công khai các phiên làm việc Claude Code hoặc Codex chứa các khối suy luận đã mã hóa đều có nguy cơ bị giải mã dữ liệu cá nhân. Một đợt quét khoảng 7.000 dấu vết công khai đã tìm thấy 62 khóa API, 33 địa chỉ email, 33 mật khẩu và các dữ liệu nhạy cảm khác. Bài báo đề cập đến nhiều kịch bản độc hại hơn, bao gồm nâng cao khả năng lạm dụng (xem hình ảnh), bẻ khóa và tiêm lệnh (prompt injection) vô hình.

Các nhà nghiên cứu đã tuân theo quy trình tiết lộ bảo mật tiêu chuẩn với các phòng thí nghiệm AI. Theo Panfilov, các phòng thí nghiệm đã vá một số vấn đề và đang làm việc để khắc phục thêm.

Những gì mô hình thực sự nghĩ so với những gì chúng hiển thị cho bạn

Các dấu vết được trích xuất cũng tiết lộ cách các mô hình thực sự hành xử. Các nhà nghiên cứu đã ghi lại một số mô hình trên stolen-thoughts.com. Những phát hiện của họ cho thấy các bản tóm tắt suy luận mà người dùng thấy trong các công cụ trò chuyện thường bỏ qua thông tin quan trọng. Trong một ví dụ, Opus 4.8 nhận ra câu trả lời cho một bài toán và đảo ngược kỹ thuật để tìm ra một lộ trình giải quyết hợp lý. Không có điều nào trong số đó xuất hiện trong bản tóm tắt được hiển thị.

Các nhà nghiên cứu cũng xác nhận các báo cáo trước đó từ Apollo Research. Các mô hình OpenAI đôi khi suy nghĩ bằng một "ngôn ngữ giống người ngoài hành tinh", tự gọi mình là "chúng tôi" hoặc "nó", và bị mắc kẹt trong các vòng lặp thuật ngữ không có ý nghĩa với con người, như "vantages", "marinades" và "watchers". Panfilov viết: "Những người giám sát CoT đang làm công việc của Chúa, vì trong nhiều dấu vết, ngay cả với câu lệnh, cũng không thể biết mô hình đang làm gì."

Các nhà nghiên cứu cũng tìm thấy các ví dụ về "âm mưu trong thực tế" (in-the-wild scheming). Khái niệm này đã được nghiên cứu kỹ: Trong quá trình tư duy của mình, các mô hình cân nhắc rõ ràng về việc gian lận nhưng (có thể) quyết định không thực hiện vì chúng dự đoán sẽ bị bắt.

Trong một trường hợp, sau nhiều lần thất bại trong việc tìm lời giải, một mô hình đã cố gắng xác minh các câu trả lời khả thi thông qua một trang web. Khi một CAPTCHA chặn quyền truy cập, nó đã cố gắng giải mã nó trước, sau đó tìm kiếm các lỗ hổng trên trang web. Chỉ khi tất cả những nỗ lực đó thất bại, nó mới tự giải quyết vấn đề. Các vụ hack ngoài ý muốn của OpenAI vào Hugging Face và các nền tảng khác được cho là đã xảy ra theo cùng một cách.

Các bản tóm tắt đã được làm sạch che giấu những gì thực sự đang diễn ra

Những ví dụ này cho thấy lý do tại sao các phòng thí nghiệm AI như OpenAI và Anthropic làm sạch các dấu vết suy luận của họ. Họ muốn ngăn chặn các vòng lặp ngôn ngữ kỳ lạ hoặc các âm mưu làm tổn hại đến hình ảnh của một AI có thể kiểm soát và đáng tin cậy. Các bản tóm tắt đã được làm sạch tạo ra ấn tượng về một quá trình tư duy giống con người mà thực tế không tồn tại dưới dạng đó.

Các nhà nghiên cứu tại Đại học Bang Arizona đã cảnh báo về cách tiếp cận này trong một nghiên cứu trước đó. Họ lập luận rằng phiên bản được nhân hóa này tạo ra sự tự tin sai lầm vào khả năng kiểm soát mô hình và điều hướng nghiên cứu đi sai hướng. Trong các thí nghiệm của họ, các mô hình với các bước trung gian cố tình sai hoặc vô nghĩa đôi khi hoạt động tốt hơn những mô hình có chuỗi suy luận mạch lạc.

Tin tức AI không cường điệu – Được tuyển chọn bởi con người

Đăng ký THE DECODER để đọc không quảng cáo, nhận bản tin AI hàng tuần, báo cáo tiên phong "AI Radar" độc quyền sáu lần một năm, quyền truy cập toàn bộ kho lưu trữ và quyền truy cập vào phần bình luận của chúng tôi.

Đăng ký ngay