В OpenAI заявляют, что прервали кампанию по дистилляции, связанную с Moonshot AI

Представители OpenAI сообщили, что заблокировали масштабную кампанию по дистилляции, участники которой пытались извлекать защищенные рассуждения ИИ-моделей. Основной кластер этой активности в компании связывают с людьми, имеющими отношение к разработчику Kimi — китайской компании Moonshot AI.

По данным OpenAI, кампания началась 1 июля 2026 года с небольшого числа запросов, но уже по состоянию на 24 и 25 июля активность резко возросла. За эти два дня системы компании зафиксировали более 16 000 запросов с характерным паттерном извлечения данных, поступивших более чем от 4000 пользователей. Дальнейшее расследование выявило схожую активность, исходившую от аккаунтов 15 000 пользователей. Полностью остановить кампанию удалось 28 июля.

В отчете подчеркивается, что атакующие не взламывали шифрование, базы данных и не получили доступ к историям пользовательских диалогов. Вместо этого они взаимодействовали с моделями особым образом, вынуждая их воспроизводить внутренние рассуждения в доступном пользователю виде.

В OpenAI называют произошедшее термином «adversarial distillation», то есть «враждебной дистилляцией». Такие атаки применяются для массового сбора ответов и рассуждений мощных моделей, а затем эти данные используются для обучения или улучшения других LLM. Какие именно модели OpenAI стали целью атак, в компании не сообщили. Также в OpenAI признают, что не все замеченные операторы этой кампании могли быть связаны с Moonshot AI.

Сообщается, что после расследования инженеры OpenAI заблокировали задействованные в кампании аккаунты, ужесточили регистрацию и инфраструктурные проверки, а также расширили мониторинг. Кроме того, специалисты подчеркивают, что закрыли возможность повторной передачи модели зашифрованных блоков с внутренними рассуждениями, полученных из чужих диалогов, что ранее позволяло восстановить их содержимое.

Следует отметить, что описанная проблема перекликается с исследованием, опубликованным в августе 2026 года. Тогда специалисты MATS Research, Института ELLIS в Тюбингене (ELLIS Institute Tübingen) и Snyk обнаружили, что зашифрованные блоки с внутренними рассуждениями модели можно повторно использовать в других сессиях, с другими аккаунтами и даже с другими моделями того же провайдера. То есть если передать такой блок более слабой и менее защищенной модели того же провайдера, ее можно вынудить расшифровать содержимое и воспроизвести его открытым текстом.

Исследователи предупреждали, что подобный прием позволяет масштабировать джейлбрейк, обойти защиту от дистилляции, извлечь приватные данные и даже скрывать промпт-инжекты внутри зашифрованных блоков.

Кроме того, в OpenAI полагают, что массовая дистилляция создает не только коммерческие риски, но также риски для ИБ и национальной безопасности: похищенные рассуждения позволяют обучать другие модели, однако защитные механизмы оригинала не сохраняются, а перенос продвинутых возможностей осуществляется без сопоставимых затрат на безопасность.

Напомним, что это не первые подобные обвинения в адрес Moonshot AI: в сентябре 2026 года представители Anthropic заявляли, что модель Kimi тайно пересылала часть клиентских запросов в Claude, а полученные ответы показывала пользователям и выдавала за собственные. В результате пользователи считали, что общаются с Kimi, хотя взаимодействовали с Claude. По версии Anthropic, часть этих диалогов в Moonshot AI сохраняли и использовали для обучения собственной модели, работающей с цепочками рассуждений.