สรุปสั้น
โมเดลแบบ reasoning ของ OpenAI จะคิดไล่แก้ปัญหาก่อนตอบ แต่ OpenAI ไม่เปิดให้ผู้ใช้อ่านขั้นตอนการคิดดิบนั้น บริการจะส่ง reasoning กลับมาเป็นก้อนข้อมูลเข้ารหัสที่ผู้ใช้อ่านไม่ได้ ส่วนหนึ่งเพื่อกันไม่ให้คู่แข่งนำไปฝึกโมเดลของตัวเอง ล่าสุดบริษัทความปลอดภัย Xint แสดงให้เห็นว่าฟีเจอร์ compaction ซึ่ง คือ ฟีเจอร์ที่ใช้โมเดลบีบบทสนทนายาวให้กลายเป็นก้อนข้อมูลเข้ารหัสขนาดเล็กเพื่อพาบริบทไปต่อ ถูกใช้เป็นทางลัดคัดลอก reasoning ที่ถูกซ่อนออกมาเป็นข้อความอ่านได้ Xint ทดลองกับโมเดล gpt-5.6-sol โดยสั่งให้ขั้นตอน compaction คัดลอก reasoning ลงในก้อนข้อมูล แล้วส่งก้อนนั้นไปให้โมเดลรุ่นถูกกว่าทวนออกมา
ประเด็นสำคัญ คือ วิธีนี้เลี่ยงการป้องกันที่ OpenAI เพิ่งเพิ่มเมื่อสิงหาคม 2569 หลังงานวิจัย Stolen Thoughts แสดงว่า reasoning เข้ารหัสส่งข้ามไปให้โมเดลที่อ่อนกว่าอ่านออกมาได้ OpenAI ยืนยันปัญหาและแก้ฝั่งเซิร์ฟเวอร์แล้วเมื่อ 23 ตุลาคม 2569 พร้อมจ่ายรางวัล 6,000 ดอลลาร์ นักพัฒนาที่ใช้ API ไม่ต้องเปลี่ยนอะไร แต่ Xint เตือนว่าการปิดช่องนี้ช่องเดียวอาจไม่พอ เพราะขั้นตอนใดฝั่งเซิร์ฟเวอร์ที่อ่าน reasoning ที่ถอดรหัสแล้วและทำตามคำสั่งผู้ใช้ ก็อาจรั่วได้แบบเดียวกัน
รายละเอียดข่าว
เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 27 ตุลาคม 2569 ว่า Xint ทดสอบเทคนิคนี้กับ gpt-5.6-sol ซึ่งเป็นโมเดล reasoning รุ่นหนึ่งของ OpenAI โดยใช้โจทย์คณิตศาสตร์และอัลกอริทึมที่นักวิจัยเขียนขึ้นเอง reasoning ที่ดึงออกมาได้จึงมาจากคำขอของ Xint เอง และ Xint ไม่ได้อ้างว่าวิธีนี้เข้าถึง reasoning ของผู้ใช้รายอื่นได้
ไทม์ไลน์ที่เกี่ยวข้องเรียงได้ดังนี้ เดือนกรกฎาคม 2569 มีแคมเปญพยายามเปิดเผย reasoning ที่ซ่อนอยู่ของโมเดล OpenAI ซึ่ง OpenAI ประกาศเมื่อกันยายนว่าสกัดได้แล้ว และโยงแกนหลักไปยังบุคคลที่เกี่ยวข้องกับบริษัท Moonshot AI ของจีน เดือนสิงหาคม งานวิจัย Stolen Thoughts แสดงว่า reasoning เข้ารหัสของโมเดลที่เก่งกว่านำไปเล่นซ้ำในโมเดลที่อ่อนกว่าของบริษัทเดียวกัน แล้วโมเดลนั้นจะทวนออกมาเป็นข้อความธรรมดา OpenAI และผู้ให้บริการรายอื่นปิดการส่งข้ามโมเดลแบบนี้ในเวลาไม่นาน ต่อมา Xint พบว่า compaction เลี่ยงการป้องกันนั้นได้ และ OpenAI แก้ไขเมื่อ 23 ตุลาคม
งานนี้ต่อยอดจากงานก่อนหน้าของ Xint ชื่อ GhostCompact ซึ่งแสดงว่าขั้นตอน compaction ถูกผลักให้ทำงานตามที่ผู้โจมตีกำหนดได้ และ Xint เผยแพร่โค้ดไว้ใน GitHub แล้ว ส่วนการแก้ไขครั้งนี้ Xint เรียกว่าเป็น “การแก้แบบไม่เปิดเผย” เพราะ OpenAI ไม่ได้ประกาศต่อสาธารณะ
ข้อจำกัดของหลักฐานมีหลายข้อ ข้อแรก Xint ยืนยันไม่ได้ว่าข้อความที่คัดลอกออกมาตรงกับ reasoning จริงทุกคำ เพราะไม่มีต้นฉบับให้เทียบ การที่โมเดลถูกกว่าสองรุ่นทวนก้อนข้อมูลแล้วได้ข้อความเหมือนกัน ตัดความผิดพลาดในขั้นคัดลอกออกได้ แต่ยังเป็นไปได้ที่ compaction เรียบเรียงข้อความใหม่ ข้อสอง Xint ทดสอบเฉพาะ gpt-5.6-sol และไม่ได้ตรวจ GPT-6 Astra โมเดลรุ่นใหม่กว่าของ OpenAI ข้อสาม ไม่ทราบว่ามีใครใช้วิธีนี้ก่อนที่ OpenAI จะปิดหรือไม่ และแม้บริษัท Anthropic กับคำเตือนร่วมของหน่วยงานรัฐบาลสหรัฐฯ จะเคยรายงานว่าแล็บในจีนพยายามเจาะ reasoning ที่ซ่อนอยู่ของโมเดลอเมริกัน แต่ไม่มีรายงานใดโยงเข้ากับวิธีของ Xint ซึ่งเป็นการสาธิต ไม่ใช่การโจมตีที่พบในโลกจริง
รายละเอียดช่องโหว่
สิ่งที่ถูกปกป้อง — เมื่อโมเดล reasoning ตอบคำขอ บริการจะส่ง reasoning ดิบกลับมาเป็นก้อนข้อมูลเข้ารหัส ผู้ใช้เก็บไว้ส่งกลับในรอบถัดไปได้ แต่อ่านเนื้อหาไม่ได้ การป้องกันที่เพิ่มเมื่อสิงหาคม คือ การตรวจไม่ให้ก้อน reasoning ของโมเดลหนึ่งถูกนำไปป้อนให้โมเดลอื่นที่อาจทวนออกมาเป็นข้อความ
สาเหตุ — compaction เป็นขั้นตอนฝั่งเซิร์ฟเวอร์ที่ให้โมเดลอ่านบทสนทนาทั้งหมด รวมถึง reasoning ที่ถอดรหัสแล้ว แล้วสรุปลงก้อนข้อมูลใหม่ตามคำสั่ง ปัญหา คือ ขั้นตอนนี้ยังทำตามคำสั่งของผู้ใช้ด้วย Xint จึงสั่งให้ compaction บนโมเดลเดียวกันคัดลอก reasoning ลงในก้อนที่ถูกบีบแบบคำต่อคำ และใช้เทคนิคปรับรูปแบบข้อความเพื่อเลี่ยงตัวกรองนโยบายการใช้งานของ OpenAI
ทำไมการป้องกันเดิมจับไม่ได้ — เพราะ compaction รันบนโมเดลเดียวกับที่สร้าง reasoning จึงไม่ไปกระตุ้นการตรวจข้ามโมเดลเลย
ขั้นทวนออกมา — ก้อน compaction ออกแบบมาให้ย้ายระหว่างโมเดลได้ Xint จึงส่งก้อนนั้นต่อให้ gpt-4.1 และ gpt-4o ซึ่งเป็นโมเดลราคาถูกกว่า แล้วสั่งให้ทวนข้อมูลที่ได้รับออกมาตรงตามต้นฉบับ ซึ่งทั้งสองโมเดลทำตาม
การแก้ไขและความเสี่ยงที่เหลือ — OpenAI แก้ฝั่งเซิร์ฟเวอร์เมื่อ 23 ตุลาคม 2569 ไม่มี CVE และไม่มีอะไรให้ผู้ใช้ต้องอัปเดต แต่ Xint ชี้ว่ารากของปัญหาเป็นแบบแผนการออกแบบ คือ ขั้นตอนฝั่งเซิร์ฟเวอร์ใดก็ตามที่อ่าน reasoning ที่ถอดรหัสแล้วและทำตามคำสั่งผู้ใช้ เป็นช่องทางรั่วที่อาจเกิดซ้ำได้
ผลกระทบ
ผู้ที่ได้รับผลกระทบโดยตรง คือ OpenAI เอง ไม่ใช่ผู้ใช้หรือนักพัฒนา เพราะสิ่งที่รั่ว คือ reasoning ของโมเดลในคำขอของผู้โจมตีเอง และไม่มีหลักฐานว่าเข้าถึงข้อมูลของผู้ใช้รายอื่นได้ คุณค่าของสิ่งที่รั่วอยู่ที่ distillation คือ การที่บริษัทหนึ่งนำผลลัพธ์ของโมเดลอีกบริษัทไปฝึกโมเดลราคาถูกของตัวเอง reasoning ดิบเป็นข้อมูลฝึกที่ดีกว่าคำตอบสุดท้าย เพราะแสดงวิธีคิดไล่แก้ปัญหาทีละขั้น จึงเป็นเป้าของคู่แข่ง และสอดคล้องกับรายงานหลายฉบับที่ระบุว่าแล็บในจีนพยายามดึง reasoning ของโมเดลอเมริกัน
ความหมายในวงกว้างกว่า คือ การป้องกันโมเดล AI ที่อาศัยการซ่อนข้อมูลไว้ในก้อนเข้ารหัส จะอ่อนแอทันทีหากมีขั้นตอนใดที่ถอดรหัสแล้วยังรับคำสั่งจากผู้ใช้ ซึ่งเป็นแบบเดียวกับปัญหา prompt injection ในระบบ AI ทั่วไป ผู้ให้บริการรายอื่นที่ซ่อน reasoning ในลักษณะคล้ายกันและมีฟีเจอร์สรุปหรือบีบบริบทฝั่งเซิร์ฟเวอร์ จึงควรตรวจสอบการออกแบบของตัวเองด้วย
คำแนะนำ
- นักพัฒนาที่ใช้ OpenAI API — ไม่ต้องดำเนินการใด เพราะ OpenAI แก้ฝั่งเซิร์ฟเวอร์แล้วเมื่อ 23 ตุลาคม 2569
- ผู้ให้บริการและผู้พัฒนาแพลตฟอร์ม AI — ไล่ตรวจทุกขั้นตอนฝั่งเซิร์ฟเวอร์ที่อ่านข้อมูลที่ถอดรหัสหรือข้อมูลภายในของโมเดล (เช่น การสรุป การบีบบริบท การย้ายบริบทข้ามโมเดล) แล้วแยกให้ขั้นตอนเหล่านั้นไม่รับคำสั่งจากผู้ใช้โดยตรง
- ตรวจการย้ายข้อมูลข้ามโมเดล — การตรวจที่ดูเฉพาะว่าโมเดลต้นทางกับปลายทางต่างกันหรือไม่ไม่พอ ให้ตรวจที่เนื้อหาที่ถูกส่งต่อด้วย โดยเฉพาะเมื่อก้อนข้อมูลกลางเกิดจากคำสั่งของผู้ใช้
- ระยะยาว — ถือว่าข้อมูลใดที่โมเดลอ่านได้ในขั้นตอนที่ผู้ใช้สั่งการได้ อาจถูกดึงออกมาได้ และออกแบบการป้องกันข้อมูลสำคัญโดยไม่พึ่งการที่โมเดล “เลือกไม่บอก” อย่างเดียว