一項由 X 使用者 @kotekjedi_ml 公佈的最新實驗顯示，Claude、GPT 和 Gemini 等主流 AI 模型的 API 中，本應加密隱藏的推理過程（reasoning）可被研究人員成功恢復為可讀文本。這一發現打破了“隱藏推理不可見”的常規認知，並可能對 AI 安全、資料隱私及模型競爭格局產生深遠影響。
按正常設計，推理模型在完成內部推理後，API 會將這部分內容加密成一段不透明的資料塊（opaque block）返回給客戶端。使用者雖能獲取該資料，但無法直接讀取或修改，只能在下一輪呼叫時原樣交回伺服器，以便模型延續之前的推理狀態。然而，研究人員發現，這些加密推理塊並未始終與原始模型和會話嚴格繫結。
具體而言，一段由強模型（如 Claude Opus）生成的隱藏推理，在某些情況下可被同一廠商的另一模型（如 Haiku）繼續讀取。研究人員不再嘗試讓強模型直接輸出其思維鏈（Chain-of-Thought），而是將加密推理塊交給一個更易被繞過的相容模型，由後者將已載入的內容轉錄出來。整個過程未獲取服務端金鑰，也未破解加密，而是利用了推理塊使用範圍的許可權漏洞——系統能確認資料未被篡改，卻未在所有場景下驗證當前模型和會話是否有資格使用它。
這一漏洞的根源在於，隱藏推理為何會離開模型內部。在長任務和 Agent 場景中，模型需要保留中間狀態以繼續推理。若服務端為每個會話長期儲存完整推理，會增加狀態儲存和上下文管理的複雜度。因此，部分 API 選擇將內部推理封裝成客戶端不可讀的資料，交由客戶端儲存，後續呼叫時再驗證使用。這雖解決了工程問題，卻也帶來了許可權管理的新挑戰：加密和簽名只能證明資料本身可信，無法證明其當前使用場景的合法性。
研究人員進一步測試發現，這些推理塊不僅可跨會話使用，甚至可跨賬號提交，且部分能被同一廠商的其他模型讀取。以 Claude 為例，Opus 生成的隱藏推理塊可被 Haiku 正常載入，攻擊目標隨之改變——無需突破 Opus 的限制，只需讓 Haiku 輸出已讀到的內容。由於不同型號在對齊強度和越獄抵抗能力上存在差異，原本守在強模型上的限制可能被旁路。這意味著，一段高階模型推理的安全性不僅取決於生成它的模型，還取決於同一體系中其他型號的安全能力。
為驗證恢復內容的真實性，研究人員採用了多重訊號。他們讓源模型處理 120 道 Codeforces 問題，記錄 API 報告的隱藏思考 token 數，再對比恢復文本的長度。結果顯示，Anthropic、OpenAI 和 Google 多組模型的恢復長度與 API 記錄的 token 數高度對應，表明恢復文本與原始隱藏計算在長度結構上存在強關聯。更有說服力的證據來自真實 Agent 軌跡：研究人員收集了 GitHub 和 Hugging Face 上 6708 條公開 Agent 執行記錄，處理出 315320 個推理塊，恢復後發現了 API 金鑰、密碼、訪問令牌、私鑰、郵箱及內部技術資訊，其中部分內容從未出現在公開對話歷史中。這證明恢復並非基於可見聊天內容的重新推理，而是確實還原了隱藏狀態。
該發現還暴露了 Agent 日誌的隱患：使用者從聊天記錄或程式碼倉庫中刪除憑據，並不代表舊推理塊中的相同資訊已消失。Agent 在操作中可能讀取過這些內容，一旦進入推理，便會留在舊狀態中。此外，恢復的推理內容還可能影響模型蒸餾。完整推理不僅提供結果監督，還記錄了問題拆解、中間判斷、錯誤修正等過程，對學生模型極具訓練價值。過去獲取此類資料需呼叫昂貴的閉源模型，而現在公開 Agent 日誌中已存在大量加密推理，提取方只需找到相容模型即可恢復高質量推理，將推理生成與提取拆分為不同端點，可能繞過高階模型側的大規模蒸餾監控。
實驗還展示了推理的執行時影響：研究人員擷取 Opus 推理開頭約 1% 的 token 放入 Kimi K3 的推理上下文，Kimi K3 的回答明顯向 Opus 的輸出方向移動。這雖不能證明 Kimi K3 使用過 Claude 推理訓練，但表明一小段高質量推理足以改變模型後續的解題路徑。在 Agent 場景中，推理塊不僅承載歷史資訊，還包含模型已形成的行動傾向。實驗演示了一種不可見的提示注入：惡意內容先進入隱藏推理，新 Agent 載入該狀態後，在使用者可見輸入中無對應指令的情況下，模型仍會受其影響並執行額外動作。這使推理塊在 Agent 中具備了執行上下文的性質，安全系統需檢查狀態來源的合法性，而不僅僅是使用者輸入和工具輸出。
此次事件的核心問題在於，推理已從一次呼叫的中間過程，演變為會被儲存、遷移並持續影響後續任務的狀態。未來需補強的不僅是越獄防護，更是推理本身的許可權邊界——誰能讀取、能帶到哪裡、何時失效，都需明確限制。Agent 安全正從管理模型輸出，轉向管理模型攜帶的狀態繼續執行。