آسیب‌پذیری رابط برنامه‌نویسی اوپن‌ای‌آی، آنتروپیک و گوگل امکان استخراج استدلال مدل‌های قدرتمندتر توسط مدل‌های ضعیف‌تر را فراهم کرد

استخراج استدلال بدون کلید رمزنگاری

پژوهشگران تأکید می‌کنند که این حمله بدون رمزگشایی سازوکار رمزنگاری و بدون دسترسی به کلید رمزنگاری  انجام شد. در واقع، این حمله از نحوه پردازش این داده‌ها سوءاستفاده می‌کرد؛ به این معنا که سرویس می‌توانست بلوک‌های رمزنگاری‌شده را بدون نمایش محتوای اصلی آن‌ها دریافت و پردازش کند. در چنین شرایطی، این آسیب‌پذیری رابط برنامه‌نویسی امکان استفاده مجدد از بلوک‌ها و استخراج محتوای پنهان آن‌ها را فراهم می‌کرد.

آزمایش‌های پژوهشگران نشان داد که این Objectهای استدلال میان نشست‌ها، کاربران و مدل‌های مختلف قابل استفاده هستند. پژوهشگران با بهره‌گیری از همین قابلیت، یک مدل ضعیف‌تر اما سازگار را به‌عنوان دیکدر فازی (Fuzzy Decoder) به کار گرفتند تا محتوای استدلال تولیدشده توسط مدل قدرتمندتر را بازسازی کند.

پژوهشگران برای این منظور از مدل‌های زیر استفاده کردند:

• Claude Haiku 4.5 برای بازسازی ردپاهای استدلال کلود
• GPT-5.6 Luna برای بازسازی ردپاهای استدلال جی‌پی‌تی
• Gemini Robotics ER-1.6 برای بازسازی ردپاهای استدلال جمینای

سپس از مدل دیکدر خواسته شد محتوای استدلال مدل قدرتمندتر را از روی این بلوک استخراج کرده  و به متن تبدیل کند.

امکان استفاده از این بلوک‌ها در حساب‌های کاربری مختلف، لاگ‌های عمومی عامل‌های هوش مصنوعی را به یکی از نقاط مهم ریسک برای افشای اطلاعات تبدیل می‌کند. پژوهشگران پس از حذف منابع بنچمارک، 704 مورد اطلاعات حساس را از میان داده‌های بررسی‌شده استخراج کردند. از این میان، 64 مورد فقط در بخش پنهان استدلال وجود داشت و در بخش قابل مشاهده لاگ اثری از آن‌ها دیده نمی‌شد.

در نتیجه، پاک‌سازی متن قابل مشاهده یک گفت‌وگو لزوماً به معنای حذف تمام اطلاعات حساس نیست. اطلاعات محرمانه ممکن است همچنان در یک بلوک حاوی محتوای پنهان باقی بماند و حساب کاربری دیگری بتواند همان بلوک را در یک درخواست جدید دوباره استفاده کند (Replay) و محتوای پنهان آن را استخراج نماید.

تزریق پرامپت پنهان در بلوک‌های استدلال

قابلیت استفاده از این بلوک‌ها در موقعیت‌های مختلف، یک پیامد امنیتی مهم دیگر نیز داشت. پژوهشگران برای نشان دادن این موضوع، یک نمونه اثبات مفهوم (PoC) از تزریق پرامپت پنهان طراحی کردند.

آن‌ها یک بلوک استدلال حاوی پرامپت مخرب ساختند و سپس آن را در یک تسک (Task) کاملاً متفاوت به کار گرفتند. مدل دریافت‌کننده بدون اینکه پرامپت مخرب را در متن قابل مشاهده ببیند، در جریان اجرای تسک، یک عملیات آپلود  را که مهاجم تعیین کرده بود به آن اضافه کرد.

این آزمایش نشان داد آسیب‌پذیری رابط برنامه‌نویسی فقط به افشای اطلاعات حساس محدود نمی‌شود؛ بلکه می‌تواند بدون آنکه پرامپت مخرب در بخش قابل مشاهده ورودی یا خروجی قرار داشته باشد، نحوه اجرای تسک‌ها توسط مدل را نیز تحت تأثیر قرار دهد.

پژوهشگران تأکید کرده‌اند که به متن اصلی استدلال اختصاصی مدل  دسترسی نداشته‌اند. به همین دلیل، نمی‌توانند با اطمینان بگویند تمام ردپاهای بازسازی‌شده دقیقاً با استدلال اصلی یکسان هستند.

برای ارزیابی میزان دقت بازسازی، پژوهشگران دو معیار را بررسی کردند:

• تعداد توکن‌های استدلال
• مقایسه‌های کیفی میان استدلال‌های بازسازی‌شده و داده‌های موجود

همچنین، در بیشتر موارد، حجم محتوای استخراج‌شده با تعداد توکن‌های استدلال اعلام‌شده توسط شرکت‌ها مطابقت داشت. این تطابق نشان می‌داد که میزان محتوای بازسازی‌شده با حجم استدلالی که مدل‌ها گزارش کرده بودند، همخوانی دارد؛ با این حال، پژوهشگران نمی‌توانستند تأیید کنند که تمام بخش‌های بازسازی‌شده دقیقاً با استدلال اصلی یکسان هستند.

تغییر نحوه مدیریت استدلال رمزنگاری‌شده

بررسی مستندات فعلی این شرکت‌ها نشان می‌دهد استدلال رمزنگاری‌شده همچنان در APIهای آن‌ها وجود دارد، اما سازوکار مدیریت آن نسبت به گذشته تغییر کرده است.

• اوپن‌ای‌آی همچنان به توسعه‌دهندگان توصیه می‌کند هنگام مدیریت دستی تاریخچه در حالت بدون وضعیت (Stateless)، آیتم‌های استدلال رمزنگاری‌شده را در درخواست‌های بعدی دوباره ارسال کنند.
• گوگل: اعلام کرده است که بک‌اند (Backend) این شرکت هنگام تغییر مدل در یک نشست، سازگاری استدلال را مدیریت می‌کند.
• آنتروپیک اعلام کرده است که بلوک‌های استدلال فقط با همان مدلی که آن‌ها را تولید کرده سازگار هستند. بنابراین، هنگام تغییر مدل باید این بلوک‌ها حذف شوند؛ زیرا مدل‌های دیگر آن‌ها را نادیده می‌گیرند.

با وجود این تغییرات، هنوز چند پرسش مهم درباره این آسیب‌پذیری رابط برنامه‌نویسی بی‌پاسخ مانده است. تاکنون هیچ‌یک از سه شرکت اوپن‌ای‌آی، آنتروپیک و گوگل به‌طور رسمی درباره این آسیب‌پذیری اظهار نظر نکرده‌اند و مستندات فعلی آن‌ها نیز ارتباط مستقیمی با این پژوهش ندارد. بنابراین، ادعای برطرف‌شدن حملات آزمایش‌شده فعلاً بر بیانیه قابلیت بازتولید پژوهشگران استوار است و نه تأیید رسمی شرکت‌ها.

از سوی دیگر، پژوهشگران توانستند صدها هزار بلوک استدلال را که پیش‌تر در مخازن عمومی منتشر شده بودند، استخراج و بازسازی کنند. با این حال، هنوز مشخص نیست آیا این بلوک‌های قدیمی همچنان قابلیت استخراج دارند یا خیر. متوقف‌شدن حملات جدید لزوماً به این معنا نیست که داده‌های منتشرشده قبلی دیگر قابل سوءاستفاده نیستند و وضعیت این داده‌ها باید به‌طور جداگانه بررسی شود.

از استفاده مجدد از بلوک‌های استدلال تا استخراج اطلاعات محرمانه

این پژوهش بر پایه تحقیقاتی است که متیو گرین (Matthew Green)، متخصص رمزنگاری در دانشگاه جانز هاپکینز (Johns Hopkins)، در ماه می انجام داده بود. گرین پیش‌تر نشان داده بود که بلوک‌های استدلال رمزنگاری‌شده می‌توانند در نشست‌ها و حساب‌های کاربری مختلف دوباره مورد استفاده قرار گیرند اما در آن زمان نتوانسته بود از این قابلیت برای استخراج قابل‌اعتماد اطلاعات محرمانه استفاده کند.

گرین این موضوع را از طریق برنامه‌های باگ‌بانتی (Bug Bounty) به اوپن‌ای‌آی و آنتروپیک گزارش کرده است. به گفته او، اوپن‌ای‌آی این گزارش را قابل بازتولید ندانست و آنتروپیک نیز اعلام کرد که در استفاده مجدد از بلوک‌ها یا کانال جانبی (Side Channel) مرتبط با آن، پیامد امنیتی مشخصی مشاهده نکرده است.

پژوهش جدید نشان داد همین قابلیت استفاده مجدد از بلوک‌ها می‌تواند به روشی گسترده‌تر برای استخراج اطلاعات تبدیل شود و پیامدهای آن برای حریم خصوصی کاربران در مقیاس وسیع‌تر نمایان گردد. این یافته‌ها نشان می‌دهد که حتی داده‌های پنهان از دید کاربر نیز در صورت وجود ضعف در نحوه انتقال و پردازش، می‌توانند از طریق آسیب‌پذیری رابط برنامه‌نویسی استخراج و افشا شوند.

منابع