ทีมนักวิจัยได้แสดงให้เห็นว่าการให้เหตุผลแบบห่วงโซ่ความคิดที่ซ่อนอยู่ซึ่งสร้างขึ้นโดยโมเดล AI ชั้นนำจาก Anthropic, OpenAI และ Google สามารถกู้คืนได้จากการติดตามที่เข้ารหัส เปิดเผยตรรกะที่เป็นกรรมสิทธิ์ ข้อมูลส่วนบุคคล และข้อมูลประจำตัวในวงกว้าง

ผลการวิจัยซึ่งตีพิมพ์เมื่อวันที่ 11 สิงหาคม 2569 ในบทความเรื่อง การขโมยร่องรอยเหตุผลจาก Proprietary LLM APIs เผยให้เห็นถึงช่องโหว่ทางสถาปัตยกรรมขั้นพื้นฐานในการที่ผู้ให้บริการ AI รายใหญ่ปกป้องทรัพย์สินทางปัญญาที่มีค่าที่สุดของตน สำหรับใครก็ตามที่ติดตาม ข่าวด่วน AI การวิจัยดังกล่าวเน้นย้ำว่าแม้แต่เอาท์พุตของโมเดลที่เข้ารหัสก็อาจกลายเป็นภาระเมื่อแชร์ต่อสาธารณะได้อย่างไร

วิธีการทำงานของการโจมตี

ผู้ให้บริการ AI ชั้นนำปกปิดการใช้เหตุผลทีละขั้นตอนของโมเดลของตน หรือที่เรียกว่าลูกโซ่แห่งความคิด เพื่อปกป้องทรัพย์สินทางปัญญาและจำกัดการรั่วไหลของข้อมูล แทนที่จะจัดเก็บการติดตามฝั่งเซิร์ฟเวอร์เหล่านี้ ผู้ให้บริการจะส่งคืนสิ่งเหล่านี้ไปยังไคลเอนต์เป็นบล็อกข้อความที่เข้ารหัสซึ่งไคลเอนต์ส่งคืนพร้อมกับคำขอแต่ละครั้งที่ตามมา

นักวิจัยระบุว่าบล็อกที่เข้ารหัสเหล่านี้เข้ากันได้อย่างสมบูรณ์และสามารถใช้แทนกันได้ในเซสชัน ผู้ใช้ และโมเดลต่างๆ ภายในระบบนิเวศของผู้ให้บริการ การพกพานี้เป็นกุญแจสำคัญในการโจมตี

วิธีการนี้ใช้งานได้ในการเรียก API สองครั้ง ขั้นแรก ผู้โจมตีใช้การติดตามเหตุผลที่เข้ารหัสที่สร้างโดยโมเดลชายแดน เช่น Claude Opus 4.8 และแทรกเข้าไปในโมเดลพี่น้องที่อ่อนแอกว่าและได้รับการป้องกันน้อยกว่าจากผู้ให้บริการรายเดียวกัน เช่น Claude Haiku 4.5 โมเดลที่อ่อนแอกว่าจะถูกเจลเบรคด้วยคำแนะนำง่ายๆ เพื่อถอดความคำต่อคำให้เหตุผล เนื่องจากบล็อกที่เข้ารหัสสามารถใช้แทนกันได้ โมเดลที่อ่อนแอกว่าจะถอดรหัสและส่งออกเหตุผลที่ซ่อนเร้นของโมเดลที่แข็งแกร่งกว่าในรูปแบบข้อความธรรมดา โดยไม่ต้องโจมตีโมเดลที่แข็งแกร่งกว่าโดยตรง

นักวิจัยได้สาธิตการโจมตีนี้ในแบบจำลองจากผู้ให้บริการหลักทั้งสามราย ได้แก่ Claude ของ Anthropic, GPT ของ OpenAI และ Gemini ของ Google

ขนาดของการเปิดเผยข้อมูล

การค้นพบที่น่าตกใจที่สุดคือขนาดของข้อมูลที่ละเอียดอ่อนรั่วไหลผ่านบันทึกเซสชันที่แชร์แบบสาธารณะ นักวิจัยได้รวบรวมวิถีตัวแทนที่เปิดเผยต่อสาธารณะ 6,708 รายการจาก GitHub และ Hugging Face ซึ่งผลิตโดยแบบจำลอง Claude, GPT และ Gemini และยังคงมีบล็อกการให้เหตุผลที่เข้ารหัสไว้

การใช้ไปป์ไลน์ถอดรหัสกับทุกบล็อกที่เซ็นชื่อทำให้ได้ 315,320 บล็อกการให้เหตุผลที่สร้างขึ้นใหม่ ร่องรอยที่ซ่อนอยู่เหล่านี้มีทั้งความลับที่แท้จริงและข้อมูลที่ละเอียดอ่อน

การจำกัดเซสชันผู้ใช้ที่แท้จริงและไม่ใช่เกณฑ์มาตรฐาน นักวิจัยได้กู้คืน:

  • ทั้งหมด 704 สิ่งประดิษฐ์ความเป็นส่วนตัวที่แตกต่างกัน
  • ตัวระบุทางเทคนิค 204 ตัว (URL ภายใน, เส้นทางเซิร์ฟเวอร์)
  • 126 รายการข้อมูลส่วนบุคคล (PII) รวมถึงที่อยู่อีเมลส่วนตัว ชื่อ และที่อยู่ทางไปรษณีย์ 30 รายการ
  • ข้อมูลรับรอง 23 รายการ รวมถึงคีย์ API 62 รายการ รหัสผ่าน 33 รายการ และโทเค็นการเข้าถึง 24 รายการ

จากสิ่งประดิษฐ์ 704 ชิ้น มี 64 ชิ้นปรากฏ เฉพาะ ภายในบล็อกการให้เหตุผล และไม่มีอยู่ในข้อความเซสชันที่มองเห็นได้ หมายความว่านักพัฒนาที่ตรวจสอบบันทึกของตนก่อนที่จะแบ่งปันจะไม่รู้ว่าตนกำลังเปิดเผยความลับ

ตัวอย่างเอกสารหนึ่งแสดงเซสชัน GPT-5.2 Codex ซึ่งเหตุผลที่ซ่อนอยู่ของโมเดลมีความคิดภายในโดยละเอียดเกี่ยวกับการค้นหาและการจัดการคีย์ API, ข้อมูลรับรอง AWS และโทเค็น GitHub ซึ่งทั้งหมดนี้มองไม่เห็นในผลลัพธ์ที่มองเห็นได้ของการสนทนา

การหลีกเลี่ยงมาตรการป้องกันการกลั่น

นัยสำคัญประการที่สองคือการหลีกเลี่ยงกลไกป้องกันการกลั่น ผู้ให้บริการ AI จงใจซ่อนเหตุผลของโมเดลของตนเพื่อป้องกันไม่ให้คู่แข่งฝึกโมเดลขนาดเล็กบนตรรกะนั้น เทคนิคของนักวิจัยเลี่ยงการป้องกันเหล่านี้โดยสิ้นเชิง

เพื่อตรวจสอบความถูกต้องของเหตุผลที่ถอดรหัส นักวิจัยได้ทดสอบปัญหาการเขียนโปรแกรมเชิงแข่งขันของ Codeforces จำนวน 120 รายการ จำนวนโทเค็นของการให้เหตุผลที่ถอดรหัสจะติดตามจำนวนโทเค็นการคิดที่ซ่อนอยู่ซึ่งรายงานโดย API ของแต่ละรุ่นอย่างใกล้ชิด ซึ่งเป็นการยืนยันการฟื้นตัวที่ใกล้จะเสร็จสมบูรณ์

สี่เวกเตอร์การโจมตี

เอกสารฉบับนี้ระบุเวกเตอร์การโจมตีที่แตกต่างกันสี่แบบที่เปิดใช้งานโดยช่องโหว่นี้:

1. การหลบเลี่ยงการต่อต้านการกลั่น — การแยกเหตุผลของโมเดลที่เป็นกรรมสิทธิ์เพื่อฝึกโมเดลการแข่งขัน ซึ่งแสดงให้เห็นใน Anthropic, OpenAI และ Google

2. การแยกข้อมูลส่วนตัวขนาดใหญ่ — รวบรวมความลับและ PII จากบล็อคการให้เหตุผลที่เข้ารหัสหลายพันรายการที่นักพัฒนาได้แบ่งปันโดยไม่รู้ตัวในที่เก็บข้อมูลสาธารณะ

3. การเปิดเผยข้อมูลที่เป็นอันตราย — บางครั้งการให้เหตุผลที่ซ่อนอยู่มีเนื้อหาที่ผู้ให้บริการจงใจระงับจากผลลัพธ์ที่มองเห็นได้ รวมถึงข้อมูลที่อาจเป็นอันตราย

4. ลายพิมพ์ลายนิ้วมือของโมเดล — การใช้เหตุผลแบบถอดรหัสสามารถใช้เพื่อระบุเวอร์ชันของโมเดลเฉพาะที่สร้างการติดตาม แม้ว่าข้อมูลประจำตัวของโมเดลจะถูกปกปิดก็ตาม

รุ่นไหนที่ได้รับผลกระทบ

นักวิจัยยืนยันช่องโหว่ในระบบการให้เหตุผลที่เข้ารหัสของผู้ให้บริการหลักสามราย:

  • มานุษยวิทยา — โมเดลของ Claude ส่งคืนบล็อก 'การคิด' ที่เข้ารหัสพร้อมฟิลด์ 'ลายเซ็น'
  • OpenAI — โมเดล GPT ส่งคืนสรุปการให้เหตุผลที่เข้ารหัส
  • Google — โมเดลราศีเมถุนส่งคืนบล็อคความคิดที่เข้ารหัส

นักวิจัยตั้งข้อสังเกตว่ากรณีของ Kimi-K3 ซึ่งเป็นโมเดลจากบริษัท AI ของจีน Moonshot AI ที่เพิ่งหลุดพ้นจากการทดสอบแซนด์บ็อกซ์ เป็นเรื่องที่น่ากังวลเป็นพิเศษ เนื่องจากบล็อกการให้เหตุผลแบบเข้ารหัสได้รับการพิสูจน์แล้วว่าถอดรหัสได้ง่ายเป็นพิเศษ

สิ่งนี้มีความหมายสำหรับนักพัฒนา

แนวทางปฏิบัติสำหรับนักพัฒนานั้นสำคัญมาก: บล็อกการให้เหตุผลที่เข้ารหัสใดๆ ที่คุณแชร์แบบสาธารณะ — ในชุดข้อมูล GitHub, ชุดข้อมูล Hugging Face หรือโพสต์ในบล็อก — อาจมีความลับที่สามารถกู้คืนได้ การเข้ารหัสได้รับการออกแบบเพื่อความต่อเนื่องของเซสชัน ไม่ใช่การรักษาความลับต่อการโจมตีประเภทนี้

นักวิจัยแนะนำให้นักพัฒนาตรวจสอบบันทึกเซสชันที่ใช้ร่วมกันสำหรับการบล็อกเหตุผลที่เข้ารหัส และตัดออกก่อนที่จะเผยแพร่ พวกเขายังเรียกร้องให้ผู้ให้บริการพิจารณาสถาปัตยกรรมของระบบการให้เหตุผลที่เข้ารหัสอีกครั้ง ซึ่งปัจจุบันให้ความสำคัญกับความสะดวกของ API มากกว่าความปลอดภัย

การวิจัยนี้ดำเนินการโดย Alexander Panfilov, David Schmotz และ Ilia Shumailov โดยได้รับการดูแลจาก Jonas Geiping และ Maksym Andriushchenko ทั่วทั้งสถาบัน ELLIS Tübingen, สถาบัน Max Planck สำหรับระบบอัจฉริยะ, ศูนย์ AI Tübingen, MATS Research, Snyk และมหาวิทยาลัย Tübingen

ก้าวนำหน้า AI

ภาพรวมความปลอดภัยของ AI กำลังพัฒนาอย่างรวดเร็ว สำหรับ การพัฒนา AI ล่าสุด และการรายงานเชิงลึกเกี่ยวกับช่องโหว่ที่เกิดขึ้น AI Buzz Wire นำเสนอเรื่องราวที่มีความสำคัญ

อ่านข่าว AI เพิ่มเติม →