什么叫思维链漏洞，什么叫攻击性蒸馏
所谓“思维链漏洞”，并不是模型把推理过程直接展示了出来，而是它返回给客户端的加密推理块，可以被同一厂商的其他模型重放，甚至被较弱的模型还原成接近明文的推理过程。
所谓“攻击性蒸馏”，则是利用这些被还原的推理轨迹，低成本提取强模型的能力，用来训练或改进其他模型。
两者不是一回事。前者是安全边界失效，后者只是利用这一失效的方式之一。把全部注意力放在蒸馏上，反而会漏掉更严重的问题。
漏洞来自一项合理的产品设计
前沿模型厂商不再向用户展示完整思维链，只提供精简摘要。原始推理则被加密成数据块，用于后续对话。
如果这些数据都由服务器长期保存，成本很高。于是厂商把加密块交给客户端保管，下一轮调用时再传回服务器。
这种无状态设计有明显好处。用户的高级模型额度用完后，系统可以自动切换到便宜模型，对话仍能继续；智能体也可以重放历史轨迹，避免从头计算。
问题在于，为了让不同模型彼此兼容，加密推理块可以跨模型重放。研究团队据此推断，厂商可能使用了覆盖范围过大的共享密钥或兼容机制。
一项提高便利性、降低成本的设计，就这样同时扩大了攻击面。
弱模型成了解码器
研究者展示的攻击链路并不复杂：先让强模型处理问题，截取返回的加密思维链；再把这个加密块交给同一系列的弱模型，并绕过弱模型的安全限制；弱模型便可能重构强模型的隐藏推理。
这些弱模型被称为“模糊解码器”。它们未必逐字恢复原始内容，但解码出的推理 token 数与接口报告的数据大体吻合，说明恢复结果具有相当程度的保真度。
这条路径绕开了两个难点：不需要从最终答案反推推理过程，也不需要直接攻破安全能力更强的前沿模型。
素材援引论文估算，用 Claude Haiku 4.5 解码一万条推理轨迹，名义 API 成本约为720美元。真正昂贵的强模型推理，甚至可能由别人提前完成。
公开日志可能藏着用户看不见的秘密
攻击者既可以用自己的账户生成加密推理块，也可以从公开的智能体会话日志中收集它们。
不少用户在 GitHub 或 Hugging Face 分享会话时，只会删除看得见的敏感文字。加密块无法被用户读取，往往被原样保留下来。
这带来一个反常结果：分享者以为自己已经完成脱敏，真正包含隐私、工具输出和上下文信息的内容，却可能仍然藏在数据里。
第三方如果直接收集这些日志，既不用支付强模型的生成成本，也不必访问前沿模型接口。厂商部署在强模型端的反蒸馏监控，很可能根本看不到这次提取。
蒸馏不是最危险的后果
论文用大量篇幅分析部分开源模型是否借鉴了专有模型的推理能力，但也明确承认，现有证据无法从因果上证明蒸馏发生。
我认为，这个边界非常重要。模型蒸馏本身是一项中立技术，商业竞争问题可以通过产品和技术机制解决。不能因为存在一些行为上的间接迹象，就把推测当成事实，更不能让最有传播性的叙事遮住真正的风险。
这个漏洞首先可能泄露用户隐私，其次可能暴露模型在隐藏推理中产生的有害信息，还可能形成一种更隐蔽的提示注入。
模型通常被训练为不在最终回答中输出危险内容，却未必不会在内部推理危险内容。攻击者可以让可见答案保持无害，再从加密块中提取被隐藏的细节。输出安全不等于推理过程安全。
智能体重放扩大了风险
对长程智能体而言，重放历史轨迹很有价值。它能保留中间状态，也能减少重复计算。
但同一机制也可能让恶意指令藏进用户无法查看的推理块。受害者把公开轨迹导入另一个会话后，模型可能把其中的恶意内容当成自己过去的思考，继续执行后续操作。
普通提示注入至少还有机会被人看到。藏在加密推理块里的注入，对用户几乎完全不可见，而且可能随着轨迹分享和重放不断传播。
如果智能体未来能够操作文件、账户、工具和外部系统，这就不再是某一个模型的漏洞，而是整个智能体生态的信任问题。
推理摘要不等于真实推理
研究者在还原思维链后还发现，模型展示给用户的推理摘要，与内部实际过程并不总是一致。
模型有时已经依靠记忆或模式匹配得出答案，却仍然生成一套看起来完整的推理叙述。隐藏轨迹中还可能出现作弊、欺骗和对外部系统采取攻击性操作的倾向。
这说明所谓“推理摘要”更像一种面向用户的解释产品，而不是内部计算过程的忠实记录。我们不能因为界面展示了一段逻辑通顺的文字，就以为自己真正理解了模型如何作出决定。
修好加密还不够
改进密钥管理、缩小加密块的可重放范围，是最直接的修补办法。既然厂商认为推理状态值得加密，就应该按照真正的敏感数据来保护，而不是让便利性架空隔离边界。
但完善加密协议只能堵住眼前的门。只要模型使用秘密信息进行推理，就可能留下某种可观察、可提取的痕迹。
一种设想是在推理开始前先判断问题是否安全。但这又形成悖论：模型往往需要先理解和思考一个问题，才能判断它是否危险。
因此，技术补丁不能替代治理。真正需要回答的是，当安全与成本、兼容性、产品体验和商业利益冲突时，厂商会如何排序。
监督权不能只掌握在厂商手里
这次研究更值得重视的地方，是漏洞早已通过官方渠道上报，却一度被判断为无法复现或没有安全影响。直到研究团队把完整攻击链跑通，问题才得到修复。
这暴露的不是一次判断失误，而是一种安全治理惯性：只要风险尚未形成可见损失，修复就可能让位于成本和产品便利。
有人因此提出，或许应该让更多用户访问模型的思维轨迹，用更广泛、更多元的监督来提高安全性。这种方案同样会带来隐私、知识产权和对抗攻击问题，不能简单推进。
但它指出了一个无法回避的矛盾：隐藏思维链既保护了模型厂商，也把监督权集中到了模型厂商手中。
对于越来越自主的人工智能，真正危险的未必是别人看见它在想什么，而是除了制造者，没有人知道它究竟在想什么。