主流专有LLM API以“加密文本块”形式把隐藏的逐步推理(chain-of-thought)返回给客户端,但这些加密块在同一提供商的会话、用户和模型之间兼容且可互换;攻击者可利用这一架构漏洞,把加密推理块注入同一生态内防护较弱的模型,强迫其输出明文推理,从而绕过反蒸馏、泄露隐私、暴露危险推理,并实现不可见提示注入。
值得关注:直接挑战了“隐藏思维链”作为保护专有模型推理的主流做法:如果加密块被放在客户端且可互换,攻击者相当于拿到了一个“解密预言机”。 隐私泄露维度:公开的会话日志本身看似无害,但其密文推理块可被批量解码,导致 PII 和凭据…