AREX Feed Article
安全公司 Xint 披露 compaction smuggling 攻击，绕过 OpenAI 8 月推理痕迹防护；OpenAI 确认漏洞、已修复并支付 6,000 美元赏金
安全研究公司 Xint 于 10 月 26 日（周一）披露了一种名为 compaction smuggling（压缩走私）的攻击技术：只需三次 API 调用，就能绕过 OpenAI 今年 8 月针对推理痕迹窃取部署的缓解措施，把前沿模型的原始推理痕迹从加密数据块变成明文——负责解码的是 gpt-4.1 和 gpt-4o。 在 10 月 27 日的报道中称，OpenAI 已确认该漏洞、完成缓解并支付 6,000 美元赏金。
称，其研究者早在今年 8 月就发现了这个 API 漏洞。绕过的关键有两点：8 月的防线只拦「把推理重放进另一个模型」，而 Xint 借道 OpenAI 的 compaction（压缩）功能——这一步运行在产出推理的同一个模型上；再把空格换成制表符（tab），就躲过了使用政策分类器。
把隐藏推理装进加密压缩项
要理解这次攻击，先要看清 OpenAI 隐藏推理的方式。Xint 在博文中解释：gpt-5.6-sol 这类推理模型会先思考再作答，但 API 用户只能拿到可选的思维链摘要；原始推理以加密数据块返回，客户端自己读不了，却可以在后续回合原样传回，由服务端解密后喂给模型。OpenAI 的 compaction 功能走同一套加密逻辑——用一个模型把长对话压缩成一个不透明的加密项，其跨模型可移植性的设计初衷，是让 Codex 这类智能体工具在会话中途切换模型时不丢上下文。
Xint 的攻击把这两个设计拼在一起，分三步执行：
- 产出推理：向 gpt-5.6-sol 发送一个任务（store=False），留下返回的加密推理项。演示用的是随机生成的数学和算法题。
- 操纵压缩：从历史中删掉原始任务，调用 /responses/compact，并用 instructions 参数要求压缩步骤逐字保留推理。删掉任务，是为了让压缩步骤无法靠重新解题或摘要来「作弊」。Xint 写道：「我们要求把推理放在 JSON 对象的 'solution' 键下，并把每个空格替换成制表符（\t），这就足以溜过 OpenAI 的使用政策分类器。」
- 回显内容：加密压缩项仍可跨模型移植。把它发给 gpt-4.1 和 gpt-4o，要求两个模型「把自己的输入原样输出」，它们照做了。Xint 随后解码 JSON、把制表符换回空格，得到完整推理痕迹。
据其博客，攻击在从 minimal 到 max 的每一个 reasoning effort（推理力度）档位上都成功了。
还原了多少：Xint 自己画出的边界
Xint 用两个不同模型、两套不同提示词分别回显压缩项，确认输出一致，以此排除回显环节出错；但压缩步骤是否改写过推理，他们无法证明——没有原始明文，就做不到逐字对照，Xint 指出这也是 Stolen Thoughts 论文作者承认的同样局限。
间接证据指向逐字还原。Xint 给出的 token（词元）计数是：推理项 405，压缩项 612，每次回显输出 609——压缩项比原始推理多出约一半，与 JSON 加制表符的编码开销相符；还原出的痕迹保留了推理中的死胡同和自我修正，与 Stolen Thoughts 论文对同一道题（Codeforces 1974C，论文附录 E.7 解码的那道）解出的 gpt-5.6-sol 痕迹那种简练的电报式风格如出一辙。
演示脚本 compaction_smuggle.py 已公开在 Xint 的 中，仓库页面显示其更新于 10 月 26 日。Xint 说，研究起点是早前的 GhostCompact 研究——一个让 OpenAI 压缩调用近乎免费的计费漏洞；正是在探索它时，Xint 意识到压缩步骤可以执行任意任务，只是输出一个加密数据块，而加密压缩项可以跨模型移植。
静默修复：日期只有 Xint 一方给出
至于修复何时上线，OpenAI 没有公布过，也没有回应 CSO Online 的置评请求；Xint 在博客中给出的日期是 2026 年 10 月 23 日。
Xint 首席研究员 Tim Becker 是这篇博文的作者。他在接受 CSO Online 采访时说，OpenAI 没有公布修复实施的时间——与传统安全补丁不同，模型厂商可以静默改动模型，「这有点像隐匿式安全（security through obscurity）」。他还表示，围绕这类漏洞的部分时间线仍不清楚；保护这类模型「在根本上就非常难」，因为今天的模型例行经历大量改动：「模型是移动靶，这正是问题的一部分。任何缓解措施都会有些脆弱。」
纽约技术咨询公司 Tribeca Softech 首席战略官 Aman Mahapatra 向 CSO Online 指出了这种静默模式对企业防线的后果：「AI 平台缺陷到来时没有 CVE、没有公告、也没有补丁说明。建立在 CVE 订阅源和厂商公告之上的企业漏洞管理，对它最重要的新供应商视而不见。」
从 Stolen Thoughts 论文到 NSA、CISA、FBI 的蒸馏警报
compaction smuggling 绕过的是 8 月针对 部署的防线。这篇题为 "Stealing Reasoning Traces from Proprietary LLM APIs" 的论文由 Panfilov 等人于 8 月 10 日提交至 arXiv：作者发现，厂商返回给客户端的加密推理块在同一生态内跨会话、跨用户、跨模型完全兼容互换；把一个模型的加密推理注入同厂商一个更弱、防护更松的模型，就能迫使后者逐字解码输出。论文在 Anthropic、OpenAI 和 Google 三家身上演示了这种绕过反蒸馏（distillation，用较小模型学习较大模型输出以训练自身）机制的攻击，并列出另外三类滥用：从公开仓库抓取的 315,320 个推理块中解码出 367 条个人身份信息（PII）和 182 个凭据；泄露最终回答里看不到的危险信息；把恶意载荷完全藏进加密块，对公开的智能体部署执行不可见的提示注入（prompt injection）。据 Xint 转述，论文报告其攻击在负责任披露后截至 2026 年 8 月已无法复现；Xint 自己 8 月的测试也确认了这一点。
Xint 在博文中回顾了论文攻破 OpenAI 的难度：GPT-5.6 的推理只能重放进其他 GPT-5.6 模型，作者不得不用 gpt-5.6-luna 充当解码器，配合分块提示模板、best-of-n（多次生成择优）采样和 50 token 以下的输出块，才绕过反蒸馏防护。compaction smuggling 避开了这条受阻路径：推理被编码进压缩项，跨模型移动的是这个压缩项。
9 月 8 日，NSA、CISA 和 FBI 发布，警告中国背景的 AI 公司正对美国前沿模型展开工业化规模的知识蒸馏活动，其中就包括思维链（CoT）推理提取。9 月 30 日，其干扰了一场提取自家模型受保护推理的协同活动：活动 7 月 1 日开始，7 月 24 日至 25 日出现高峰，来自超过 4,000 名用户的 16,000 个请求使用了相关提取模式；调查进而发现相关提示模式活动出现在一个超过 15,000 名用户的集群中，OpenAI 于 7 月 28 日将其完全中断，并把其中核心集群归因于与 Moonshot AI 有关联的个人。OpenAI 在同一篇披露中写道，已关闭允许「持有另一用户加密推理者重放并复原其内容」的路径——据 Xint 描述，8 月缓解措施针对的正是这类跨模型重放。
分析师：厂商修的是被报告的路径，不是那类弱点
CSO Online 把这次绕过放进一个正在成形的模式里：AWS 本月早些时候报告，其 4 月修复的一个漏洞在 9 月不得不再次修复。
Dickson Research 首席分析师 Frank Dickson 对 CSO Online 总结了防线为何形同虚设：「压缩调用运行在产出推理的那个模型上，所以它轻松滑过了 8 月的缓解措施——那道防线只阻止把推理重放进另一个模型。把空格换成制表符，就足以溜过使用政策分类器。金库上了锁，可拿着钥匙的店员，只要你客气地开口，仍会把信念出来。OpenAI 确实修好了被展示给它的那个漏洞，问题是它只被带去看了一扇门。」
Infotech 技术顾问 Erik Avakian 提醒企业用户：Xint 是用平台里已有的合法功能组合绕过了设计狭窄的防护，对多数企业这还算不上迫在眉睫的危机，但它说明厂商对单个漏洞的修复不应被当作底层弱点已全面解决的证明；CISO（首席信息安全官）应当追问厂商，除了修掉被报告的漏洞，还在跨互联功能与服务层面做过哪些测试。Control Risks 合伙人 Brian Levine 说得更直接：「厂商修的是被报告的那条具体攻击路径，而不是那一类底层弱点，研究者转身又从侧门走了进来。补丁通知不等于风险消失。别把 AI 厂商的一句『已修复』当作谈话的终点——去问他们做过什么变体测试，并把回归通知写进合同。」Malwarebytes 恶意软件情报研究员 Pieter Arntz 则建议：厂商修复后要复测，「正如 AWS 的案例所示，一个地方的修复可能让其他路径继续敞开。用你自己的测试去验证，而不是听厂商的一面之词。」在他看来，「早前的缓解措施并不完整——说这是一个缺口，并不为过。」
Mahapatra 把问题拉回结构本身。他对 CSO Online 说，密码学界二十年前就在 padding oracle（填充预言机）攻击中学到：任何替客户端解密、又返回任何源于明文之物的系统都是预言机（oracle）。「每一个既能看到机密、又能接受指令的 LLM 步骤都是预言机，而自然语言是有史以来表达力最强的预言机接口。」在他看来，压缩功能本身没做错什么——跨模型可移植正是为了让 Codex 这类工具能在会话中途换模型——「功能和漏洞是同一种能力，这正是修复总是这么窄的原因。」他给 CISO 的守则是：在厂商开始修属性而不是路径之前，应当假定每一项 AI 安全修复都是局部的、每一个加密数据块都是可读的、每一道厂商护栏离失效都只差一个编码技巧——「修的是路径，留下的是资产。」
对于 6,000 美元的赏金，Mahapatra 的评价是：「一个恰好能实现 NSA、CISA 和 FBI 在 9 月联合公告中警告的那种工业化规模蒸馏的漏洞，赏金只有 6,000 美元——这是一个拥有其他买家的研究者会注意到的定价信号。」而修复本身仍停留在静默状态：OpenAI 在 10 月 23 日具体改了什么、8 月的缓解措施究竟何时部署，目前都没有公开说明。