OpenAI не показывает «сырые» рассуждения reasoning-моделей: API возвращает их как зашифрованный элемент, который пользователь прочитать не может. Одна из причин — защита от дистилляции, когда конкуренты обучают свои модели на чужих цепочках рассуждений.
Что нашли
Компания Xint, развивая свою прошлую работу GhostCompact, атаковала компакцию — функцию, которая с помощью модели сжимает длинный диалог в компактный зашифрованный элемент для продолжения контекста.
В августе OpenAI закрыла межмодельный «реплей»: зашифрованный reasoning сильной модели больше нельзя было подсунуть слабой, чтобы та пересказала его открытым текстом. Но компакция выполняется той же моделью, которая породила рассуждения, поэтому межмодельная проверка не срабатывала.
Схема:
- Отправить задачу в
gpt-5.6-solи сохранить зашифрованный reasoning. - Запустить компакцию на той же модели с инструкцией скопировать рассуждения дословно, заменив пробелы табуляцией, чтобы обойти фильтры.
- Передать компактный элемент в
gpt-4.1илиgpt-4o, которые просто повторяли вход.
Ограничения
- Проверялась только
gpt-5.6-sol, GPT-6 Astra — нет. - Нельзя утверждать, что текст совпадает с оригиналом дословно: компакция могла его перефразировать.
- Доступа к рассуждениям других пользователей не было — только к своим запросам.
Реакция OpenAI
OpenAI подтвердила проблему и исправила её на стороне сервера 23 октября; разработчикам API ничего менять не нужно. Xint получила $6000 и замечает, что любой серверный шаг, который читает расшифрованный reasoning и следует инструкциям пользователя, потенциально может стать новым каналом утечки.
OpenAI does not expose the raw reasoning of its reasoning models: the API returns it as an encrypted item the user cannot read. One reason is protection against distillation, where competitors train their models on someone else’s reasoning traces.
What was found
Building on its earlier GhostCompact work, security firm Xint went after compaction, a feature that uses a model to shrink a long conversation into a compact encrypted item that carries context forward.
In August OpenAI blocked cross-model replay, in which encrypted reasoning from a strong model was fed to a weaker one that repeated it in plain text. But compaction runs on the same model that produced the reasoning, so the cross-model check never fired.
The method:
- Send a task to
gpt-5.6-soland keep the encrypted reasoning. - Run compaction on the same model, telling it to copy the reasoning word for word with spaces swapped for tabs to slip past filters.
- Pass the compacted item to
gpt-4.1orgpt-4o, which simply repeated their input.
Limits
- Only
gpt-5.6-solwas tested, not GPT-6 Astra. - There is no proof the output matches the original verbatim; compaction may have reworded it.
- There was no access to other users’ reasoning, only to the researchers’ own requests.
OpenAI’s response
OpenAI confirmed the issue and fixed it server-side on October 23; API developers need not change anything. Xint received $6,000 and notes that any server-side step that reads decrypted reasoning and follows user instructions could become a new leak path.