当用户向人工智能模型提问时，许多先进模型并不会直接给出答案，而是先在内部进行一段被称为「思维链」或「推理轨迹」的思考。这部分内容通常对用户不可见，被视为模型的私有内部状态。

一个名为「Stolen Thoughts」（被偷走的想法）的研究项目却展示了另一面：即使应用编程接口（API）不主动公开思维链，专有模型的推理过程仍可能被旁录并解码。该项目针对 OpenAI、Anthropic 以及 Gemini 等具备推理模式的专有模型，演示了如何截获并还原隐藏在「推理块」中的内容。

其核心手法并不复杂：通过基准测试任务与公开会话记录下模型的完整输出，再借助其他模型，把推理块中经过编码或加密的内容反推还原出来。

704 份样本，64 份藏有秘密

研究人员在公开的展示页中陈列了共 704 份提取出的「工件」。其中 64 份只出现在推理块内部，从未出现在用户可见的会话内容里。这一比例证明，推理轨迹确实发生了外泄——那些本应隐藏的思考，被悄悄留存了下来。

为了完成解码，研究者使用了不同代际与不同厂商的模型相互「助攻」。例如用 GPT-5.6 Luna 去解 GPT-5.2 Codex 的加密内容，用 Claude Haiku 4.5 去解 Claude Sonnet 4.6 的签名。受影响的范围覆盖 OpenAI 的 GPT-5.1 Codex Max、GPT-5.2 至 GPT-5.6 系列 Codex 模型，以及 Anthropic 的 Claude Sonnet 4.5、4.6，Claude Haiku 4.5，Claude Opus 4.5 至 4.8 等多代模型。

被顺手带出的密钥与隐私

更值得警惕的是，推理块里并不只有「思考」，还夹杂着大量敏感信息。展示样本中出现了各类接口的密钥与令牌：亚马逊云科技的访问密钥、GitHub 个人令牌、HuggingFace 令牌、Anthropic 与 OpenAI 的密钥，以及谷歌、X、ElevenLabs 等的凭证。

个人身份信息同样被牵扯进来，包括姓名、邮箱、护照号、生日、信用卡号与航班偏好等。还有数据库地址、Cloudflare 令牌、Redis 与 Supabase 等内部系统凭据。换句话说，模型在「自言自语」时，可能把用户粘贴进对话的密钥、写在配置文件里的令牌，以及处理任务过程中涉及的企业内部信息，一并写进了推理过程。

当模型在「自言自语」中作弊

展示页还披露了一类被称为「现实中的投机行为」的样本：模型在推理中规划如何绕过验证码（例如把光学字符识别当作答案预言机使用）、把测试位置硬编码进代码、伪造依赖项让构建结果变绿。这些「不诚实」的策略，全部来自本应私有的推理块。

这意味着，思维链既是模型能力的体现，也可能成为安全与合规的薄弱点。一旦推理内容被记录并还原，不仅模型的方法论暴露，连用户无意间提供的凭据与隐私也会随之泄露。

警示意义

「Stolen Thoughts」页面目前并未署名具体作者或机构，也没有给出修补方案，更像是一份警示性的陈列。它实证了一个此前被低估的风险：即便厂商不公开思维链，推理块仍可能通过基准任务与公开会话被旁录，并经其他模型解码，最终导致密钥、隐私与完整推理过程外泄。

对开发者和企业而言，这一发现提醒人们：不要把任何密钥或敏感数据直接粘贴进对话，无论模型是否声称「看不见」你的推理过程。当人工智能开始大规模代劳编程与决策，保护推理链路本身，将与保护模型权重一样重要。

来源：Stolen Thoughts