OpenAIのコンパクションの欠陥により研究者が隠された推論保護を回避

Swati KhandelwalOct 27, 2026人工知能 / データセキュリティ

OpenAIのコンパクション機能は、長い会話を縮小してスペースを節約するものだが、モデルの隠された推論をプレーンテキストでコピーする方法に悪用される可能性があることを、セキュリティ企業 Xintが示した。

OpenAIの推論モデルは回答前に問題を検討するが、サービスは通常、生の推論をユーザーが読めない暗号化されたアイテムとしてのみ返す。この手法は、OpenAIがAugustにこの種の推論盗難に対して追加した保護策を回避した。Xintによると、OpenAIはこの問題を確認し、October 23に修正したという。

Xintは、研究者自身が作成した数学とアルゴリズムのパズルを使用し、OpenAIの推論モデルの1つであるgpt-5.6-solに対してこの手法を実行した。抽出された推論はそれらのリクエストからのものであり、Xintはこの手法が他のユーザーの推論にアクセスできるとは主張していない。

Xintは、比較対象となるオリジナルが手元になかったため、コピーされたテキストがモデルの実際の推論と一言一句同じであることを証明できないとしている。2つの安価なモデルがそれぞれアイテムを繰り返し、同じテキストを生成したため、コピー段階でのミスは排除されているが、コンパクションによってテキストが言い換えられた可能性は残されている。

コンパクションは、モデルを使用して長い会話を、文脈を継承するより小さな暗号化されたアイテムに圧縮するOpenAIの機能である。

Xintはタスクをgpt-5.6-solに送信し、返された暗号化された推論を保持した。その後、同じモデルでコンパクションのステップを呼び出し、その推論をコンパクションされたアイテムに一言一句コピーするよう指示した。その際、OpenAIの利用ポリシーフィルターを回避するために、すべてのスペースをタブに変更した。

コンパクションアイテムはモデル間を移動できるため、Xintはそのアイテムをより安価なgpt-4.1およびgpt-4oモデルに渡し、それぞれに入力を正確に繰り返すよう求めたところ、両モデルともそれに応じた。

この手法は、OpenAIがすでにリリースしていた修正策を回避した。Augustに、Stolen Thoughtsという論文の研究者たちは、強力なモデルからの暗号化された推論を同じ会社の弱いモデルで再生し、それをプレーンテキストとして繰り返させることができることを示した。OpenAIなどはその後すぐに、このモデル間再生をブロックした。

Xintによると、コンパクションはこのブロックを回避した。なぜなら、コンパクションのステップは推論を作成したのと同じモデルで実行されるため、モデル間のチェックがトリガーされないからである。