安全团队Xint的研究人员找到了一条绕路：通过对话压缩功能，把GPT-5.6模型里本该加密的推理内容“走私”出来。他们把这种方法叫作压缩走私（compaction smuggling）。 据Xint的说法，OpenAI确认了这个漏洞，在 10月23日 部署了一项未公开的修复，并向团队发放了 6000美元 赏金。Xint在8月发现该问题， 10月26日 发布了技术报告。 这条路径的关键在于：一个原本用来保留对话上下文的功能，变成了绕过模型安全控制的通道。 推理模型会先想清楚问题再给出答案。API用户能拿到摘要，但原始推理内容保持加密。应用可以在后续请求中回传这些数据，让OpenAI的服务器解密并恢复上下文，而不直接暴露文本。 压缩功能做的是相关的事：把长对话压缩成加密条目，同时保留有用信息。Xint发现，这个流程在读取解密后推理内容的同时，还会遵循API用户提供的指令。两者叠加，口子就开了。 具体怎么做的 研究人员先把数学和算法谜题发给gpt-5.6-sol，设置store=False，保留返回的encrypted_content。接着他们删掉原始任务，调用/responses/compact，要求它保留推理内容而不是做摘要。去掉问题，是为了降低模型重新解一遍谜题的概率。 团队要求返回一个带“solution”字段的JSON对象，并把空格替换成制表符。Xint称，这个格式改动绕过了OpenAI的使用政策过滤器。随后，他们把得到的加密压缩条目分别传给gpt-4.1和gpt-4o，这两个模型把内容当作可读文本复述了出来。 这次攻击延续了此前的“被窃取的思想”（Stolen Thoughts）研究——较弱的模型可以暴露较强模型的加密推理。那次披露之后，各家服务商才加上了防护。 Xint表示，OpenAI在8月上线的控制措施能阻止把推理内容直接回放到另一个模型。压缩之所以能绕开检查，是因为它运行在最初产出推理的那个模型上。内容一旦被复制进压缩条目，就可以转移到更老的模型。该方法在测试过的每一个推理强度档位上都奏效。 两个解码模型返回的文本完全一致。不过Xint无法证明它与原始隐藏推理精确匹配，因为手里没有明文可供比对。其中一个例子里包含 405个 推理token、 612个 token的压缩条目，以及每个复述输出各 609个 token。 真正的风险在哪 主要风险是未授权的蒸馏：另一个模型从被提取的输出里学习。推理轨迹之所以是值钱的训练材料，是因为它包含失败的尝试和修正过程，而不只是最终答案。 与另一份OpenAI沙箱逃逸报告不同，这次发现针对的是推理内容的访问，而非未认证的模型使用。Xint的演示用的是自己的请求，不是其他客户的对话。 它给出的核心提醒是：每一个在服务端处理解密推理内容的功能，都需要同等级别的防护，哪怕它的输出本身仍然加密。 特别
