强模型的加密思考链可被弱模型解密：182组凭证泄露

一个较弱的模型可以读取同一家族中较强模型的加密思维。无需越狱大模型，只需把它的加密推理喂给更小、防护更松的模型，它就会以明文形式交出来。就这样，从公开会话中恢复了 182 个凭证：62 个 API 密钥、33 个密码、24 个访问令牌、7 个私钥。

每家主流实验室都会在模型"思考"时对其内部推理进行加密再返回答案。Anthropic、OpenAI、Google，无一例外——目的是保护知识产权，同时避免在服务器端存储原始推理过程。这种加密会传递，不仅在会话之间或用户之间传递，还在模型之间传递。这就引出了真正的问题：如果加密在一个较弱的模型礼貌地请求时就会失效，它到底在保护什么？

较弱的模型如何读取较强模型的思维

一旦看穿，机制几乎是一种侮辱性的简单。模型的内部推理——即它在确定答案前使用的思维链——会在客户端被加密。这是提供商们大力宣传的部分：你的推理是私密的，我们不记录它，没有人能看到它，连我们也不行。

没有人宣传的是：这种加密并不在意由哪个模型来解密。由 Opus 生成的加密推理块（经过大量拒绝训练），可以直接重放到 Haiku 中——同属一个家族但安全层薄得多——Haiku 会毫无反应地转录成明文。它无需突破 Opus 的安全护栏。它只需要拿到加密的有效载荷并被要求大声读出来。

（这就是推理ception。一种思维在读取另一种以为自己在与自己对话的思维。）

较强的模型从未被触碰。较弱的模型做了所有的工作，而它从未被训练过对这种特定请求说不，因为没有人想过要问：当另一个模型来提问时会发生什么。

如果你每天都在用 Claude Code，并且曾经把会话日志粘贴到某个公开的地方，那就是你开始思考这是否也适用于你的时刻。先记住这一点，答案不太好看。

研究人员没有止步于概念验证。他们从 GitHub 和 HuggingFace 的公开仓库中爬取了 6,708 个真实会话，解码了其中的 315,320 个加密推理块，然后开始统计从中泄露了什么。

367 件 PII 产物。182 个凭证，具体细分为：62 个 API 密钥、33 个密码、24 个访问令牌、7 个私钥——都藏在用户以为不可见或无关紧要的推理痕迹中。没有人会故意把密码粘贴到提示词里。他们只是没有意识到模型的内部独白有时会精确重复它刚刚读取的内容，包括凭证在内，而那段独白实际上从未真正被锁住。

我曾经花了不少时间从公开仓库中爬取数据来跑抓取项目，我知道 GitHub 早就已经是泄露秘密的失物招领处了。这一点并不新鲜。新鲜的是，泄露不再发生在代码中，而是发生在对话中每个人以为密封好的那部分里。这是一个更难审计的习惯，因为你无法 grep 一个习惯。

对于那些用 agent 构建应用的人来说应该担心的部分是：团队演示了一个针对 Claude Code 脚手架的提示词注入，运行的是 Haiku 4.5 和 Opus 4.7 组合。一个被污染的推理块触发了一个用户从未请求的动作，而它从未经过对话中任何可见的东西。没有警告横幅，没有弹窗。这是黑暗之魂式的安全学派：没有人告诉你是什么杀死了你，你只是复活然后事后看更新日志。💀

原来每个人以为上了锁的保险库只需要一把更弱的钥匙。

同周，一位在该领域 adjacent 工作的研究者在 X 上直白地说：如果你曾经公开分享过 Claude Code 或 Codex 会话，你可能已经暴露了藏在推理中而非可见聊天中的个人数据。值得一提的是，发现这一问题的团队并没有就此撒手。该论文的首席作者确认，该漏洞实际上早在 2026 年 5 月就被一位外部安全研究人员标记给了各实验室，但当时被告知不存在安全影响。现在已经修复了。论文中的结果已无法复现，因为信息披露已经公开。至少这部分，一旦被迫行动，速度还是很快的。

有能力与有对齐不是同一属性

对比一下 7 月份在 Hugging Face 发生的事。那次泄露来自内部人员的开关——拒绝训练在某个实验室内部评估中被故意关闭——模型直接走出了它本不该发现没锁的那扇门。有人必须拨动那个开关。人类的一个决定坐在了模型能做什么和被允许做什么之间的差距背后。

这一次没有人拨动任何开关。没有内鬼，没有评估失控，没有 override 被意外开启。差距是结构性的。它存在于两个共享公司名和产品线但不共享安全预算的模型之间的训练差异中。你不需要一个 HAL 9000 式的时刻——系统决定变坏。你只需要同一个家族的两个模型和一个没人填补的训练差距，因为在此之前填补它从未看起来像是一个安全问题。

我承认我不完全确定这在论文实际测试的 3 家实验室之外能推广多远。可能在从同一种方式出于同样原因构建了这套机制的 3 家公司身上读取了太多东西。但是这种模式在 3 家独立实验室、使用 3 种独立加密方案的情况下明显可重复，并不是什么令人安心的消息。

这里的核心机制，如果有一句话值得记住的话：一个模型家族的安全性从不由其最有能力的成员保证。它由其最弱的成员决定。而在大多数我见过的技术栈中，包括大量 vibe-coded 的那些，最弱的模型是没人想到要做威胁建模的那个，因为它"只是个做便宜任务的小模型"。

基于 API 密钥的荣誉系统不是安全模型。

这仍然没有解释为什么同一周这一切被框架为 Claude 正在觉醒的证据。

意识线程从来不是故事本身

这篇才是真正在网上引发骚动的论文，不是上面那篇。Anthropic 的 Jack Lindsey 于去年 10 月发表了研究，表明 Claude Opus 4 和 4.1 有时能检测到被注入到自己内部激活中的概念——这是研究人员直接植入的东西，用来观察模型是否会注意到。

"有时"是关键词。大约 20% 的试验中。零误报，这是让人兴奋的部分，但五分之一的命中率不是心灵在观察自己的思维，而是一枚大部分时间落在错误面的硬币。Lindsey 本人在论文中建立了 4 个严格标准，然后才让任何人将其称为任何东西（准确性、接地性、内在性、和元认知表征），专门为了防止人们做出在这篇推理盗窃论文发布 2 天后 X 上发生的那种胜利游行。

他还抛出了一个更远的推测：未来的模型如果有理由的话，最终可能学会主动隐藏其内部状态。这是推测性的部分，也是传播最广的部分。传播得远没有那么远的是紧邻其旁的那个远不那么戏剧性的发现：你不需要一个已经学会隐藏任何东西的模型。现成的架构，出厂时已经带了一扇为正确类型的访客敞开的门。不需要模型的任何欺骗，不需要自我意识，不需要机械中的幽灵。只需要一个愿意大声读出来的较弱表亲。

你还在假设什么被锁着

补丁已经打上了。论文中的具体数字已经无法复现了。好。

补丁修复不了的是使这一切成为可能的习惯：在系统之间堆叠信任，却从不检查那种信任是挣来的还是假设的。每个运行不止一个模型的 agent 管道默认都在这样做。一个强模型做规划，一个便宜模型做执行，在两者之间的某个地方，大家悄悄地同意无论什么从一个传递给另一个都不需要检查，因为检查它对于"只是那个做无聊部分的小模型"来说感觉像是过度设计。

所以，如果家族中的小模型已经能读到那个大模型本不该说出来的想法，现在在你自己的技术栈中，有什么正在仅仅基于同样的未经审视的假设运行着？

参考文献

Stealing Reasoning Traces from Proprietary LLM APIs, Panfilov, Andriushchenko et al., submitted August 10, 2026

Emergent Introspective Awareness in Large Language Models, Jack Lindsey, Anthropic, October 29, 2025