OpenAI 披露并阻断针对受保护推理的协同模型蒸馏

这件事意味着什么

【要点】

2026 年 9 月 30 日，OpenAI 发文称，已识别并阻断一场旨在提取其模型「受保护推理」（protected reasoning）的协同活动。最早观察到的活动在 7 月第一周；文中写活动始于 7 月 1 日，到 7 月 28 日已被完全阻断。

【可核验】

OpenAI 将此称为对抗性蒸馏（adversarial distillation）：未经授权、系统地用一个模型的输出或推理，去帮助训练、复现或改进另一个模型。受保护推理是模型完成任务时的内部记录；提取它可能露出最终答案里被扣下的信息，并帮助别人复现模型能力。

文中写，操作者没有破解加密、没有入侵数据库，也没有直接读取已存储的用户对话。他们操纵模型交互，让受保护推理以请求者可见的形式被复现，而且是协同、成规模、违反服务条款的。文中举的一种做法：把一段对话中的加密推理复制出来，再让另一个对话里的模型解密并转写被隐藏的推理。

页面把 “Independent security researchers” 链到 https://arxiv.org/abs/2608.09867 。OpenAI 称这些研究者经负责任披露报告了相关的跨模型与对话压缩（conversation-compaction）问题，并称已核实这些攻击路径是真的。

7 月 24 日和 25 日出现高峰：来自超过 4,000 名用户、使用相关提取模式的 16,000 次请求。脚注写明，这些数字描述的是尝试，不一定是成功的提取。进一步调查发现，相关提示模式活动分布在一个超过 15,000 名用户的集群上。

归因上，OpenAI 称还不清楚这一时段里看到的全部操作者是否出自同一主体，但把其中一个核心集群归因于与 Moonshot AI（Kimi 的开发者）有关联的个人。

处置包括：封禁或限制欺诈账号，加强注册和基础设施控制，扩大对相关网络的监测；加强用户、工作区、组织和模型系列上的隐藏推理保护；关掉一条已持有他人加密推理者可重放并恢复内容的路径；增加检查，以便发现并暂扣可能暴露推理的流式输出。活动若经过第三方服务，则与这些服务商一起识别并阻断相关账号。相关发现通过 Frontier Model Forum，以及适当的政府信息共享渠道，分享给其他前沿模型开发者和公共部门伙伴。

文中同时写，缓解和调查还在继续；合作方托管的部署需要与第一方服务同样的保护，针对工具输出的攻击也不能只检查普通可见文本。

【我们的判断】

这件事说明的是：OpenAI 把一次成规模、违反服务条款的推理提取，说成已经阻断的安全事件，同时写明它不是加密被攻破，也不是数据库或已存对话被直接读取。能核对的规模是请求次数和一个用户集群；脚注把所引数字限制在尝试，而不是已被证实的成功提取。归因停在核心集群、与 Moonshot AI 有关联的个人，并且写明不能确定全部操作者属于同一主体。安全和国家安全方面的风险，是 OpenAI 在这篇里自己给出的理由，不是这篇之外另有的结论。