美国媒体对“中国窃取AI”叙事的过度渲染与蒸馏技术的误解

近期，美国主流媒体构建了一种关于中国AI实验室通过“窃取”和“蒸馏”技术获取西方核心算法的叙事框架。这种说法甚至引发了美国国会的关注，促使他们考虑限制开源权重（Open Weights）大语言模型。为了应对这种不断升级的舆论压力，英伟达CEO黄仁勋甚至亲自创建X账号来强调开源权重的重要性，并澄清“蒸馏”这一常见研究技术并非某种偷偷吸走美国顶级AI实验室秘密的黑暗科技。

然而，抛开这种政治化的叙事不谈，一个更根本的技术问题是：如果缺乏高质量的数据，蒸馏技术本身就无法正常工作。因此，单纯指责“窃取”在技术上并不完全成立。但在最新的AI安全新闻中，出现了一些令人震惊的漏洞突破（Joe breaks），揭示了攻击者实际上可以提取出AI实验室极力隐藏的推理痕迹（Reasoning Traces）。尽管该漏洞在论文发表前已被修复，但其背后的技术原理及其对蒸馏之外更广泛问题的潜在威胁仍极具研究价值。

代码审查瓶颈与Code Rabbit赞助介绍

在深入技术细节之前，当前AI编程工具面临着一个普遍痛点：编写代码的速度越来越快，但审查这些由AI生成的庞大PR（Pull Request）却成为了新的瓶颈。面对令人疲惫的代码审查工作，赞助商Code Rabbit提供了一种解决方案。作为一个AI代码审查代理（Agent），它不仅能理解整个代码库并分析PR，还能在合并前提供上下文感知的反馈（Context-aware feedback）。

Code Rabbit的优势在于其具体性和学习能力。它不会留下模糊的评论，而是能够总结PR、捕捉问题、运行安全扫描器并建议测试用例。对于许多评论，它甚至能提供一键应用的现成修复方案（Ready-to-commit fixes）。更重要的是，Code Rabbit具备持续学习能力，它通过监控团队对反馈的接受或拒绝行为，使未来的审查结果更贴合团队的实际标准。此外，其“Change Stack”功能将大型PR重组为逻辑层级（如先展示数据形状等基础变更），并支持生成内联图表，极大地提升了大型代码变动的可读性。

推理链泄露的新路径：从近似还原到加密状态复用

隐藏思维链（Chain of Thought, CoT）远比简单地不显示它要困难得多。最新的研究论文《How to Steal Reasoning Without Reasoning Traces》提出了一种名为“轨迹反转（Trace Inversion）”的技术。该方法利用输入、结果和推理摘要来训练一个模型，以预测原始的思维链。

“It sounds pretty doable, as they used Deep CR1 to train this inversion model, and were able to recover about 89% of the original reasoning.”

研究人员使用Deep CR1训练该反转模型，成功恢复了约89%的原始推理内容。然而，这仍然是对思维过程的近似还原，而非直接读取模型的内部思考过程。真正的突破在于API服务层的架构缺陷。许多AI提供商为了应对无状态API（Stateless APIs）的局限性，将用户的对话历史存储在客户端。当模型生成数千个token的内部推理用于后续对话时，这些内容需要被保留以便继续上下文交互。

由于不能以明文形式将思维链交给用户，提供商采用了一种看似聪明的方案：对推理痕迹进行加密。客户端持有这个加密块（Encrypted blob），并在下一次API调用时将其传回。提供商负责认证和解密，而用户只能看到一串不可读的字符串。

加密块的跨模型复用漏洞与基础设施惰性

然而，这种加密方案存在致命的逻辑缺陷。虽然加密保证了内容的机密性和完整性（防止篡改），但由于客户端持有该数据块，攻击者可以对其进行移动和重放。5月份，研究人员Matthew Green在测试中发现，尽管无法解密这些块，但可以将旧的加密推理块重放（Replay）到不同的对话中。更令人震惊的是，在OpenAI的实验中，某些加密块甚至可以在不同的模型之间跨账户复用。>

“The answer is actually because of a very lazy infrastructure problem, which is the stateless APIs.”

这一漏洞的根本原因在于基础设施的惰性。理想情况下，用户A在对话A中使用模型A生成的加密思维块，应仅在该特定上下文中有效。但在现实中，这些块的便携性（Portability）过高。这种设计缺陷意味着攻击者无需破解加密算法，只需利用API状态管理的逻辑漏洞，即可复用其他会话甚至其他模型的推理过程，从而间接获取敏感的思维链信息。这揭示了在追求无状态架构时，数据隔离与上下文绑定机制的严重缺失。

加密思维链的跨会话泄露风险

在大型语言模型（LLM）的使用场景中，用户可能会中途切换模型、提供商自动路由请求或截断对话历史。为了保持推理状态的连续性，加密的思维链（Reasoning State）被设计为能够跨越这些变化存活下来。然而，这种机制在安全性上引发了一个令人不安的问题：如果将一段来自一个会话的加密思维块复制到另一个完全不同的会话中，接收该请求的新模型是否会读取并处理这些内容？研究人员在博客《Let's Talk About Encrypted Reasoning》中记录了一项实验，证明部分重放的思维块在语义上是活跃的。在一个具体案例中，涉及社会安全号码的推理区块被移动到了另一个账户上的全新会话中，原本隐藏在加密思维中的信息竟然在新会话中出现。这意味着，如果用户不小心将API密钥或信用卡号码放入此类思维块中，虽然加密本身是完美的，但一旦转移到其他会话，“嘴巴可能会失守”，导致隐私泄露。目前这主要被视为第三方攻击带来的隐私相关问题，而非思维链本身的直接窃取。

Kimi K3 复现推理痕迹的概率争议

研究人员发现，Kimi K3 模型在生成内容时， unusually likely to continue those proprietary reasoning traces （异常倾向于延续专有推理痕迹）。具体数据显示，对于 Claude 的推理片段，Kimi K3 ** was 10,000 to 1 million times more likely to reproduce the next 16 tokens （复现接下来16个token的可能性比 Deep Sea V4 Flash 或 Inkling 等模型高出1万到100倍）。然而，这一数据存在巨大的前提条件： Even for Kimi K3, the absolute probability of reproducing the trace was still ridiculously low **（即使对于 Kimi K3，复现整个推理痕迹的绝对概率仍然低得离谱）。

在针对某些人类考试示例的实验中发现， matching just the next 16 tokens of Claude's reasoning would still take around 10 billion queries on average （仅匹配 Claude 推理的接下来16个token，平均仍需约100亿次查询）。因此，这 is not evidence that you can just prompt Kimi and suddenly make it spit out Claude's hidden chain of thought （并非证据表明只需提示 Kimi 就能使其吐出 Claude 的隐藏思维链）。该结果仅证明 Kimi K3 ** was much more likely than the other models tested to continue those reasoning traces （比测试中的其他模型更有可能延续这些推理痕迹），但 do not establish verbatim memorization **（并未确立逐字记忆）。

数据泄露与蒸馏的替代解释

这一现象 did not prove Moonshot secretly distill Claude or ChatGPT's reasoning either （也没有证明月之暗面秘密蒸馏了 Claude 或 ChatGPT 的推理过程）。研究指出存在多种 plausible confounders （合理的混淆因素）可能导致相似性：包括共享数据集、相似的训练后配方、模型架构的共性，或是推理服务层面的差异。此外， reasoning models just converge towards similar ways of solving the same problem （推理模型可能只是收敛于解决同一问题的相似方式）。

即便 perplexity analysis ** is still a very rough measurement to be treated as confirmation of model similarity **（困惑度分析仍是一种粗略测量，不足以作为模型相似性的确证），人们依然对此保持警惕。这种统计上的相关性容易引发关于数据提取和模型蒸馏的担忧，但目前的证据链尚不足以支持这些指控。

思维注入攻击与隐藏内容提取风险

除了数据相似性，实验还揭示了更令人担忧的安全漏洞： a reasoning model can internally think through a harmful request, work out specific details, realize what the user is asking for, and only at the very end decide not to answer （推理模型可以在内部思考有害请求，推导出具体细节，意识到用户的要求，仅在最后决定不回答）。

研究人员以 Claude Opus 4.8 为例，输入关于 stealing cars （偷车）的有害提示。模型在内部推理中处理了细节，但最终可见回复拒绝了回答。 Then they take the encrypted reasoning block and replay it into Haiku 4.5 （随后，他们将加密的推理块重放进入 Haiku 4.5），结果 the harmful details that never appeared in Opus's visible response become recoverable from the hidden reasoning （那些从未出现在 Opus 可见回复中的有害细节，可以从隐藏推理中被恢复）。

这种能力使得模型容易受到 thought injection attack （思维注入攻击）。第三方 API 提供商可以注入伪造的推理痕迹，从而 extract sensitive information （提取敏感信息）。虽然这类似于典型的提示注入攻击，但利用内部推理机制进行窃取的手段更为隐蔽和深层。

修复方案与行业回应

针对这一漏洞，大多数前沿模型提供商已采取措施。 after informing all of them this exploit is no longer reproducible （在告知所有相关方后，该漏洞已无法复现）。行业似乎倾向于通过 patch where the water is leaking （修补漏水处）的方式解决，可能采用了 encryption binding approach （加密绑定方法），确保只有同一模型、同一用户和同一次对话才能使用特定的推理痕迹。

这一事件表明，随着 LLM 功能性和便利性的增加， the more functionality and convenience you build the more vulnerabilities you potentially introduce （你构建的功能和便利性越多，潜在引入的漏洞就越多）。

结论

视频论证表明，所谓“中国窃取AI”的叙事缺乏技术确证。虽然Kimi K3复现Claude推理片段概率较高，但绝对发生几率极低且未证实逐字记忆或秘密蒸馏。真正的安全威胁在于API架构缺陷：加密思维链因跨会话复用漏洞导致隐私泄露，甚至被用于提取模型内部拒绝回答的有害细节。该漏洞源于基础设施对无状态API处理的惰性，而非加密算法本身失效。

目前所有前沿提供商已修复此漏洞。这揭示了在追求功能便利性时，数据隔离与上下文绑定机制缺失带来的风险。结论是：单纯指责技术窃取不成立，但API状态管理的逻辑漏洞确实构成了实质性的隐私与安全威胁。