OpenAI vá lỗ hổng nén hội thoại làm lộ suy luận ẩn của mô hình

Công ty an ninh mạng Xint đã trình diễn một phương pháp trích xuất suy luận ẩn từ mô hình gpt-5.6-sol của OpenAI bằng cách khai thác tính năng nén hội thoại trên nền tảng này. Kỹ thuật này đã vượt qua các biện pháp bảo vệ được triển khai vào tháng 8, cho phép các nhà nghiên cứu xem các quá trình tư duy nội bộ được mã hóa dưới dạng văn bản thuần túy. OpenAI xác nhận lỗ hổng và đã triển khai bản vá vào ngày 23 tháng 10.

Chuyện gì đã xảy ra

Các mô hình suy luận của OpenAI tạo ra một chuỗi suy nghĩ chi tiết trước khi đưa ra câu trả lời cuối cùng. Để bảo vệ sở hữu trí tuệ và ngăn chặn việc chưng cất (distillation), dịch vụ trả về suy luận thô này dưới dạng một đối tượng được mã hóa mà người dùng không thể đọc trực tiếp. Tuy nhiên, các nhà nghiên cứu của Xint đã chỉ ra rằng tính năng nén, được thiết kế để thu gọn các cuộc hội thoại dài nhằm tăng hiệu quả, có thể bị thao túng để xuất dữ liệu ẩn này ở định dạng dễ đọc. Phương pháp này đã trích xuất thành công suy luận từ các bài toán và câu đố thuật toán do chính các nhà nghiên cứu tạo ra.

Quá trình trích xuất không liên quan đến việc truy cập dữ liệu của những người dùng khác, và Xint không tuyên bố có khả năng đánh cắp suy luận từ các phiên làm việc không liên quan. Mặc dù văn bản trích xuất khớp với các yêu cầu đầu vào, Xint lưu ý rằng họ không thể xác minh liệu đầu ra có giống từng chữ với suy luận nội bộ ban đầu hay không, vì họ chưa bao giờ có quyền truy cập vào nguồn gốc chưa được mã hóa. Vẫn còn khả năng là quá trình nén có thể đã diễn đạt lại nội dung một chút trong quá trình trích xuất.

Lỗ hổng này đã vô hiệu hóa một bản cập nhật bảo mật trước đó. Vào tháng 8, một bài báo có tiêu đề "Stolen Thoughts" (Suy nghĩ bị đánh cắp) đã tiết lộ rằng suy luận được mã hóa từ một mô hình mạnh mẽ có thể được phát lại vào một mô hình yếu hơn từ cùng một nhà cung cấp, sau đó mô hình yếu hơn sẽ xuất văn bản dưới dạng ngôn ngữ thông thường. OpenAI đã chặn cuộc tấn công phát lại giữa các mô hình này ngay sau khi nó được phát hiện. Phương pháp mới của Xint tránh được sự chặn này vì bước nén diễn ra bên trong cùng một mô hình đã tạo ra suy luận, do đó không kích hoạt các kiểm tra bảo mật giữa các mô hình.

Cách thức hoạt động

Nén (Compaction) là một tính năng của OpenAI sử dụng một mô hình để nén lịch sử hội thoại dài thành một mục nhỏ hơn, được mã hóa, nhằm bảo toàn ngữ cảnh cho các lượt tương tác trong tương lai. Xint đã tận dụng cơ chế này bằng cách gửi một nhiệm vụ tới gpt-5.6-sol và giữ lại suy luận được mã hóa kết quả. Sau đó, họ gọi bước nén trên cùng một mô hình, hướng dẫn nó sao chép nguyên văn suy luận vào mục đã nén. Để lách các bộ lọc chính sách sử dụng, các nhà nghiên cứu đã thay thế mọi khoảng trắng trong văn bản bằng ký tự tab.

Sau khi suy luận được nhúng vào mục đã nén, Xint chuyển nó sang các mô hình rẻ hơn, cụ thể là gpt-4.1 và gpt-4o. Các mô hình này được yêu cầu lặp lại chính xác đầu vào của chúng. Cả hai mô hình đều tuân thủ, xuất suy luận ẩn dưới dạng văn bản thuần túy. Cách tiếp cận này dựa trên nghiên cứu trước đó của Xint, được biết đến với tên GhostCompact, vốn đã chứng minh rằng bước nén có thể bị ép buộc thực hiện các nhiệm vụ do kẻ tấn công chọn chứ không chỉ tóm tắt ngữ cảnh.

Chi tiết chính

• Lỗ hổng ảnh hưởng đến gpt-5.6-sol, một trong các mô hình suy luận của OpenAI, nhưng GPT-6 Astra chưa được thử nghiệm.
• OpenAI đã triển khai một bản vá không được công bố chi tiết cho vấn đề này vào ngày 23 tháng 10 năm 2026.
• Xint đã nhận được phần thưởng lỗi (bug bounty) trị giá 6.000 USD từ OpenAI vì báo cáo lỗ hổng.
• Phương pháp này vượt qua các biện pháp bảo vệ hồi tháng 8 bằng cách giữ quy trình nén bên trong cùng một phiên bản mô hình.
• Các nhà nghiên cứu đã thay thế khoảng trắng bằng ký tự tab trong tải trọng (payload) để lách các bộ lọc chính sách sử dụng.
• Xint đã công bố mã demo trong kho lưu trữ GitHub của mình.

Tại sao điều này quan trọng

Đối với các nhà phát triển xây dựng ứng dụng trên nền tảng các mô hình ngôn ngữ lớn, sự cố này nhấn mạnh độ phức tạp trong việc bảo vệ các đường ống suy luận phía máy chủ. Mặc dù bản vá cụ thể này đã được xử lý hoàn toàn bởi OpenAI và không đòi hỏi bất kỳ thay đổi nào từ phía người dùng API, nó vẫn khẳng định rằng suy luận ẩn là một mục tiêu có giá trị cao. Các đối thủ tìm kiếm những quá trình tư duy nội bộ này vì chúng cung cấp dữ liệu huấn luyện chất lượng tốt hơn cho việc chưng cất so với chỉ riêng các câu trả lời cuối cùng. Việc hiểu cách các mô hình giải quyết vấn đề cho phép các đối thủ huấn luyện những mô hình rẻ hơn, hiệu quả hơn mà bắt chước được khả năng suy luận của các hệ thống lớn hơn.

Ý nghĩa rộng hơn là bất kỳ thao tác phía máy chủ nào giải mã và xử lý suy luận ẩn đều mang rủi ro rò rỉ tiềm tàng. Xint lập luận rằng việc vá một vector duy nhất này có thể không đủ, vì bất kỳ bước nào đọc suy luận đã giải mã và tuân theo hướng dẫn của người dùng đều có thể bị khai thác. Điều này phù hợp với các báo cáo gần đây từ Anthropic và các khuyến nghị của chính phủ Hoa Kỳ về việc các phòng thí nghiệm tại Trung Quốc nhắm mục tiêu vào suy luận ẩn của các mô hình AI Mỹ. Mặc dù demo cụ thể này không liên quan đến những nỗ lực do nhà nước tài trợ, nó xác nhận tính khả thi về mặt kỹ thuật của các cuộc tấn công như vậy.

Bạn có thể làm gì

• Theo dõi ghi chú phát hành của OpenAI để cập nhật các thông tin về bảo mật mô hình suy luận và tính năng nén.
• Xem xét mức độ phụ thuộc của ứng dụng vào các đầu ra suy luận ẩn nếu bạn đang sử dụng các phiên bản API cũ.
• Giả định rằng bất kỳ quá trình xử lý phía máy chủ nào đối với nội bộ mô hình được mã hóa đều có thể có rủi ro kênh bên (side-channel).
• Cập nhật thông tin về các mối đe dọa chưng cất và cân nhắc cách đầu ra của mô hình của bạn có thể bị sử dụng để huấn luyện đối thủ.
• Theo dõi nghiên cứu bảo mật từ các công ty như Xint để hiểu các vector mới nổi trong hạ tầng LLM.
• Đảm bảo chính sách sử dụng của bạn tính đến các kỹ thuật lách mới, chẳng hạn như thay thế ký tự trong prompt.