OpenAI a remediat o metodă prin care urmele de raționament ale modelelor sale puteau fi extrase și reproduse cu ajutorul altor modele, într-un atac care ar putea facilita construirea unor rivali mai ieftini. Cercetătorul Xint a raportat vulnerabilitatea, numită „Compaction Smuggling”, iar compania i-a acordat o recompensă de 6.000 de dolari la 23 octombrie 2026.
Miza nu este doar divulgarea unor informații care apar în conversațiile cu un chatbot. Potrivit analizei publicate de SecurityWeek, accesul la raționamentul unui model performant poate sprijini distilarea: folosirea răspunsurilor și a proceselor interne ale unui model avansat pentru a antrena ori îmbunătăți unul mai ieftin.
O funcție de continuitate a conversației a devenit canal de extracție
Modelele de frontieră, precum GPT, Claude, Gemini și Grok, sunt oferite dezvoltatorilor prin interfețe de programare a aplicațiilor, sau API-uri. O aplicație trimite o solicitare, iar modelul returnează un răspuns; în unele fluxuri, sistemul păstrează și informații despre raționament pentru a menține continuitatea la solicitările următoare.
Pentru a evita depășirea ferestrei de context, furnizorii comprimă istoricul conversației, apelurile către instrumente și starea spațiului de lucru într-un rezumat. Procesul, numit compactare a contextului, permite modelului să continue o sarcină fără să reîncarce de fiecare dată întreaga interacțiune.
Această comprimare a devenit punctul de sprijin al atacului. În august 2026, cercetarea „Stealing Reasoning Traces from Proprietary LLM APIs” a arătat că informații de identificare personală (PII) puteau fi extrase prin intermediul procesului de raționament, potrivit relatării lui Xint.
„Lucrarea a arătat că raționamentul criptat al unui model de frontieră poate fi reintrodus într-un model mai slab de la același furnizor, care poate fi apoi determinat să îl transcrie”, a explicat cercetătorul în noul raport. Descoperirea inițială a declanșat ciclul obișnuit de întărire a produsului și verificare de către cercetători: OpenAI a introdus rapid măsuri de atenuare, iar Xint a căutat dacă acestea puteau fi ocolite.
Trei pași au transportat urmele între modele
Metoda descrisă de Xint pornea de la un model, de exemplu gpt-5.6-sol, căruia i se cerea să execute o sarcină și să genereze raționamentul asociat. Apoi, cercetătorul intervenea asupra rezumatului de compactare, astfel încât acesta să păstreze informația care urma să fie transmisă mai departe.
În al treilea pas, rezultatul era trimis unui alt model — Xint a indicat gpt-4.1 și gpt-4o — împreună cu instrucțiunea de a reda intrarea exact așa cum a fost primită. Potrivit cercetătorului, modelele au urmat solicitarea și au reprodus conținutul transmis prin rezumat.
Atacul exploata diferența dintre protecția aplicată solicitărilor obișnuite și funcționarea compactării. Xint a spus că măsurile introduse în august blocau reintroducerea directă a raționamentului într-un alt model, dar apelul de compactare era executat de modelul care produsese inițial acel raționament.
„Compaction Smuggling” ar fi funcționat la toate nivelurile de efort de raționament testate de Xint. Asta nu înseamnă că orice utilizator putea extrage automat orice informație din orice conversație: raportul descrie un flux specific, dependent de API și de felul în care sunt procesate compactarea și solicitările ulterioare.
OpenAI a confirmat problema, a remediat-o și a plătit recompensa de 6.000 de dolari la 23 octombrie 2026. Materialul disponibil nu precizează detalii despre implementarea corecției, versiuni afectate ori indicatori tehnici de compromitere; nu există, așadar, un set de IoC-uri publicat care să permită identificarea retroactivă a exploatării în infrastructurile clienților.
Distilarea poate transforma accesul într-un avantaj strategic
Distilarea este o tehnică prin care un model mai mic învață din rezultatele unui model mai puternic. Folosită legitim, poate reduce costurile de inferență și poate produce sisteme specializate; dacă datele și raționamentul sunt obținute fără autorizare, aceeași tehnică poate transfera capacități și optimizări fără investiția necesară dezvoltării lor de la zero.
Xint avertizează că metoda putea permite distilarea la scară largă a modelelor OpenAI de frontieră. Riscul depășește reproducerea unui răspuns izolat: extrase repetate, colectate din numeroase schimburi, pot ajuta la reconstruirea unor comportamente, optimizări specializate sau competențe pe domenii, deși articolul nu afirmă că un model rival anume a fost construit prin această vulnerabilitate.
Contextul geopolitic este important, dar trebuie delimitat de ceea ce demonstrează cazul. La începutul lunii septembrie, CISA a avertizat că, probabil cu cunoștința guvernului chinez, DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun și Z.AI au extras miliarde de tokenuri din milioane de schimburi cu modele americane de frontieră, inclusiv variante Claude, GPT, Gemini și Grok, cel puțin din finalul lui 2024.
Avertismentul CISA a indicat că DeepSeek desfășurase campanii organizate cel puțin din 2024, vizând capabilități de raționament, optimizări specializate și funcții specifice unor domenii, pentru antrenarea modelelor R1 și V3. Aceste afirmații sunt atribuite agenției americane; ele nu dovedesc că „Compaction Smuggling” a fost folosit de companiile menționate sau că vulnerabilitatea a fost exploatată de un actor statal.
Totuși, suprapunerea dintre o metodă de extracție și avertismente despre colectarea masivă de date face problema relevantă pentru securitatea economică și competiția tehnologică. Ironia semnalată în materialul-sursă este că unele capabilități prezentate drept amenințări la adresa intereselor occidentale ar putea fi, în parte, derivate din modele occidentale prin distilare; aceasta rămâne o evaluare de risc, nu o concluzie demonstrată pentru fiecare sistem.
Ce ar trebui să facă organizațiile din România și UE
Pentru companiile și instituțiile românești care folosesc API-uri AI, lecția imediată este să trateze fiecare integrare ca pe o suprafață de atac, nu ca pe o simplă funcție software. Datele trimise către furnizori trebuie minimizate, iar informațiile personale, secretele comerciale, codul nepublic și datele operaționale sensibile nu ar trebui incluse decât dacă există o necesitate clară și controale aprobate.
Echipele tehnice ar trebui să inventarieze modelele, endpointurile și aplicațiile care le accesează, să limiteze permisiunile și să separe mediile de testare de cele de producție. În plus, este prudent să verifice ce date păstrează furnizorul, cum gestionează istoricul și rezumatele de context, ce opțiuni există pentru dezactivarea stocării și cum sunt comunicate vulnerabilitățile și remedierile.
Monitorizarea trebuie să urmărească utilizarea neobișnuită a API-urilor: volume de solicitări disproporționate, extrageri repetitive, solicitări de reproducere literală și fluxuri care transferă rezultate între modele diferite. Aceste semnale nu demonstrează singure un atac, dar pot ajuta echipele de securitate să investigheze abuzul; jurnalele trebuie păstrate cu grijă, fără a crea o nouă colecție excesivă de date sensibile.
În Uniunea Europeană, evaluarea furnizorilor ar trebui legată de cerințele de protecție a datelor, de confidențialitate și de gestionare a riscurilor din lanțul de aprovizionare. Organizațiile trebuie să stabilească responsabilități contractuale clare pentru notificarea incidentelor, retenția datelor și utilizarea lor, fără să presupună că o certificare sau o clauză contractuală elimină riscul tehnic.
Utilizatorii individuali au un rol mai limitat, dar pot evita introducerea parolelor, cheilor API, documentelor confidențiale ori datelor personale ale altora în servicii AI neaprobate. Pentru organizații, măsurile de prevenție trebuie completate de proceduri de răspuns: suspendarea accesului suspect, verificarea jurnalelor disponibile și contactarea furnizorului, fără a presupune că un model poate dezvălui doar informațiile vizibile în răspunsul final.
Cazul nu arată că modelele AI sunt, prin definiție, compromise, nici că orice rezumat de context expune automat secrete. Arată însă că funcții proiectate pentru eficiență și continuitate pot crea căi neașteptate de transfer al informației, iar protecțiile trebuie testate nu doar pentru solicitări directe, ci și pentru procesele interne care mută date între apeluri și modele.
