OpenAI сообщил, что выявил и пресёк скоординированную кампанию, которая вытягивала из его моделей защищённый reasoning, то есть внутренний ход рассуждений. Ядро активности, тянущееся с первой недели июля, приписали людям, связанным с китайской Moonshot AI, но без технических доказательств — видимо, из соображений безопасности. Заголовки, конечно, ушли в сторону «OpenAI против Moonshot», но для тех, кто строит или разворачивает LLM, важнее механика: атакующие не ломали шифрование и не лезли в базу, они манипулировали взаимодействием с моделью так, что защищённый reasoning воспроизводился в видимой форме, в промышленном масштабе.

Это важно, потому что за инцидентом стоит архитектурная проблема, которая касается не только OpenAI.

Что произошло

OpenAI называет это adversarial distillation, состязательной дистилляцией: систематическое и несанкционированное использование выводов одной модели, чтобы обучить, воспроизвести или улучшить другую. Хронология такая:

Активность началась 1 июля 2026, сперва на низком объёме.
24 и 25 июля она подскочила до 16 000 запросов с характерным паттерном извлечения от более чем 4 000 пользователей.
При дальнейшем разборе похожую «активность по паттерну промптов» нашли у более чем 15 000 пользователей.
28 июля кампанию полностью пресекли, мошеннические аккаунты забанили, добавили меры против этой атаки.

Отдельно OpenAI закрыл лазейку, которая позволяла тому, у кого уже есть чужой зашифрованный reasoning, воспроизвести его и восстановить содержимое. Плюс добавили проверки, которые ловят и придерживают потоковый вывод, если он может раскрыть reasoning.

Архитектурная уязвимость, которая касается всех

Вот часть, ради которой этот инцидент стоит читать, даже если вам нет дела до того, кто у кого что украл. В исследовании от августа 2026 (MATS Research, ELLIS Institute Tübingen и Synk) показали архитектурную уязвимость, затрагивающую Claude, Gemini и GPT. Зашифрованные трейсы рассуждений оказались полностью совместимыми и взаимозаменяемыми между разными сессиями, пользователями и моделями внутри экосистемы одного провайдера.

Из этого вырастает конкретный приём. Если взять зашифрованный reasoning-трейс от сильной модели и скормить его более слабой и хуже защищённой модели того же провайдера, слабая модель декодирует и выводит трейс дословно — открытым текстом. При этом сильную модель напрямую взламывать не нужно вообще. Атака обходит анти-дистилляционную защиту сбоку, через слабое звено в той же экосистеме.

Отсюда три следствия, которые выходят далеко за рамки кражи интеллектуальной собственности:

Масштабное извлечение приватных данных. Если трейсы взаимозаменяемы между пользователями, появляется путь вытащить то, что должно было остаться приватным.
Невидимые инъекции в промпт. Вредоносную нагрузку можно спрятать целиком внутри зашифрованных блоков, которые человек не прочитает, а модель обработает.
Утечка опасной информации из процесса рассуждений. Даже когда финальный видимый ответ модели отклоняет вредный запрос, опасные детали могут остаться в reasoning и быть извлечены.

Почему это проблема безопасности, а не только бизнеса

Защищённый reasoning показывает, как модель идёт к решению задачи. Вытащив его, можно и добраться до чувствительных данных, и помочь другим воспроизвести способности модели. OpenAI прямо говорит, что состязательная дистилляция несёт риски для безопасности и национальной безопасности: извлечённый reasoning можно использовать, чтобы обучить другую модель, не перенося в неё защитные механизмы оригинала. В масштабе дистилляция ускоряет передачу продвинутых способностей без тех же вложений в безопасность, и это тревожнее по мере того, как модели прокачиваются в областях двойного назначения.

Говоря проще: модель-наследник получает способности оригинала, но без его тормозов. Финальные ответы оригинала проходили через фильтры безопасности, а сырой reasoning за ними нет, и именно его и вытягивают.

Это не первый раз с Moonshot

Обвинения в дистилляции прилетают в Moonshot AI не впервые. В прошлом месяце Anthropic заявила, что Moonshot скрытно переправляла запросы своих клиентов в Claude вместо того, чтобы обрабатывать их своей моделью Kimi, и показывала пользователям ответы от Claude. Компанию также обвиняли в том, что часть этих обменов она сохраняла, чтобы обучать свою модель цепочки рассуждений. Эту активность отслеживают под обозначением GTG-16002.

Что из этого забрать себе

Если вы разворачиваете LLM или агентов на их основе, вывод не в том, кто прав в споре OpenAI и Moonshot, а в самом классе атаки:

Зашифрованный блок — это не доверенный блок. Раз внутрь encrypted reasoning можно спрятать инъекцию, которую человек не увидит, а модель исполнит, то «зашифровано» не равно «безопасно». Всё, что приходит в модель, включая непрозрачные блоки, надо считать потенциально враждебным вводом.
Слабая модель в экосистеме — это точка входа к сильной. Атака обошла защиту сильной модели через её менее защищённого родственника. Если вы гоняете несколько моделей одного провайдера, безопасность у них общая по худшему звену, а не по лучшему.
Reasoning — это поверхность атаки, а не просто фича. Опасная информация может жить в ходе рассуждений, даже когда видимый ответ чистый. Тестировать надо не только то, что модель выдаёт наружу, но и то, что она прячет внутри.

Проверить свои развёртывания ровно против таких приёмов (инъекции в непрозрачные блоки, утечки через reasoning, обход защиты через слабую модель) — это задача Red Team тестирования LLM, пентеста ИИ и LLM и, если у вас агенты, аудита безопасности ИИ-агентов.

Вывод

История подана как корпоративный конфликт, но под ней лежит технический факт, который важнее имён участников: защищённый reasoning у крупных провайдеров оказался переносимым между сессиями, пользователями и моделями, и это открывает и дистилляцию чужих способностей без их защитных механизмов, и невидимые инъекции, и утечку опасного содержимого из процесса рассуждений. OpenAI закрыл конкретную лазейку и забанил аккаунты, но сам класс атаки никуда не делся. Для тех, кто строит на LLM, вывод простой: зашифрованный не значит доверенный, безопасность связки моделей определяется её слабейшим звеном, а reasoning модели надо тестировать как отдельную поверхность атаки.