OpenAI keskeyttää koordinoidun mallin päättelyn poimintakampanjan

OpenAI sanoi turvallisuusjulkaisussa, joka julkaistiin 30. syyskuuta 2026, että se on tunnistanut ja keskeyttänyt koordinoidun kampanjan, jonka tarkoituksena oli poimia suojattua päättelyä sen malleista, ja se liitti toiminnan ydinryhmän Kimin kehittäjään Moonshot AI:hin yhteydessä oleviin henkilöihin. Varhaisin havaittu toiminta tapahtui heinäkuun ensimmäisellä viikolla 2026.

Mitä OpenAI havaitsi

OpenAI kuvasi toiminnan vastaavan adversaarista tislausta, jonka se määritteli järjestelmälliseksi ja luvattomaksi yhden mallin tulosten tai päättelyn käyttämiseksi toisen mallin kouluttamiseen, toistamiseen tai parantamiseen. Suojattu päättely, yhtiön mukaan, on mallin sisäinen tallenne tehtävän läpikäymisestä; sen poiminta voi paljastaa lopullisesta vastauksesta pidätetyt tiedot ja auttaa muita toistamaan mallin kyvyt.

OpenAI kertoi, että toimijat eivät murtaneet sen salausta, vaarantaneet tietokantaa eivätkä saaneet suoraa pääsyä tallennettuihin käyttäjien keskusteluihin. Toimijat manipuloivat mallien vuorovaikutuksia siten, että suojattua päättelyä voitiin toistaa pyynnön tekijälle näkyvissä muodoissa koordinoidusti ja mittakaavassa, mikä rikkoi yhtiön käyttöehtoja. Yksi OpenAI:n havaitsemista tekniikoista sisälsi salatun päättelyn kopioimisen yhdestä keskustelusta ja toisessa keskustelussa olevan mallin pyytämisen purkamaan salauksen ja litteroimaan piilotetun päättelyn sisällön. Yhtiö totesi, että manipulointi ei ole vain sen malleille ominainen haavoittuvuus, ja että se jakoi tietoa siitä teollisuuden kumppaneiden kanssa Frontier Model Forum -foorumin kautta vahvistaakseen yhteisiä puolustuksia.

Toiminta alkoi 1. heinäkuuta 2026, aluksi pienellä volyymilla, kunnes OpenAI havaitsi suuria volyymipiikkejä 24. ja 25. heinäkuuta 2026, jotka koostuivat 16 000 pyynnöstä käyttäen asiaankuuluvaa poimintamallia yli 4 000 käyttäjältä. Julkaisun alaviitteessä todetaan, että luvut kuvaavat yrityksiä, eivät välttämättä onnistuneita poimintoja. OpenAI kertoi, että lisätutkinta tunnisti samankaltaista kehotemallia koskevaa toimintaa yli 15 000 käyttäjän klusterissa, jonka se katkaisi kokonaan 28. heinäkuuta 2026 mennessä. Toiminta kehittyi ajan myötä, mikä yhtiön mukaan vahvistaa, että adversaarinen tislaus on laajempi turvallisuushaaste, joka vaatii kerroksellisia, mukautuvia puolustuksia.

OpenAI totesi, että adversaarinen tislaus aiheuttaa turvallisuus- ja kansallisen turvallisuuden riskejä: poimittua päättelyä voitaisiin käyttää toisen mallin kouluttamiseen ilman, että alkuperäisen mallin käyttäjälle näkyviin tuleviin tuloksiin sovelletut suojatoimet säilyvät, ja laajamittainen tislaus voi nopeuttaa kehittyneiden kykyjen siirtymistä ilman samanlaista turvallisuusinvestointia, mikä yhtiön mukaan korostuu, kun mallit saavat kykyjä kaksikäyttöisillä aloilla. OpenAI kertoi, että ennen julkaisua se tutki kampanjan laajuutta ja mahdollisia vaikutuksia, otti käyttöön omia lieventämistoimia, jakoi tietoa ja sai palautetta tutkijoilta sekä teollisuuden kumppaneilta, ja että lisälieventämis- ja tutkimustyö jatkuu.

Toiminnan tekijöiden arviointi

OpenAI kertoi, että on epäselvää, olivatko kaikki tarkastellut toimijat kyseisenä ajanjaksona peräisin yhdeltä toimijalta, ja että se liittää toiminnan ydinryhmän Kimin kehittäjään Moonshot AI:hin yhteydessä oleviin henkilöihin.

8. syyskuuta 2026 National Security Agency, Cybersecurity and Infrastructure Security Agency ja Federal Bureau of Investigation julkaisivat yhteisen kyberturvallisuustiedotteen, jossa todettiin, että Moonshot AI on toteuttanut laajamittaisen tislauskampanjan Yhdysvaltain frontier AI -yrityksiä vastaan ainakin vuoden 2025 puolivälistä lähtien. Tiedotteessa kerrotaan, että Moonshot AI poimi merkittävää Claude Fable 5 -dataa kouluttaakseen Kimi‑K3‑mallinsa ja GPT‑4o‑dataa Kimi‑K2‑mallinsa kouluttamiseen, ja että yritys käytti Yhdysvaltain malleja tislatakseen valvottua hienosäätöoptimointia, vahvistusoppimista, ohjelmistosuunnittelua ja matemaattisia kykyjä.

Tiedotteessa todetaan laajemmin, että todennäköisesti Kiinan hallituksen tiedostamana DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun ja Z.AI ovat poimineet miljardeja tokeneita miljoonista vaihtokierroksista Yhdysvaltain frontier-malleista, mukaan lukien Claude-, GPT-, Gemini- ja Grok-variantit, ainakin vuoden 2024 lopulta lähtien. Viranomaisten mukaan nämä yritykset reitittivät pyynnöt natiivisten API:iden, etäpilvipalvelujen ja kolmansien osapuolten aggregaattorien kautta; käyttivät siirtopisteiksi kutsuttujen API-välityspalvelujen harmaata markkinaa, kiertääkseen maantieteellisiä rajoituksia, rikkoakseen käyttöehtoja ja heikentääkseen jäljitettävyyttä; ja saavuttivat kustannussäästöjä ostamalla massana premium-tilauksia, joita jaettiin kehittäjätiimien kesken. Viranomaiset suosittelivat, että Yhdysvaltain AI-yritykset toteuttavat kattavan havaitsemisen ja lieventämisen, ottavat käyttöön kohdennettuja vastemuutoksia epäiltyihin tislausyrityksiin ja perustavat organisaatioiden välistä tiedonjakamista.

Perustelujälkien tutkimus

OpenAI kertoi, että itsenäiset turvallisuustutkijat toivat sen tietoisuuteen asiaan liittyviä poikkimalli- ja keskustelukompressiohaavoittuvuuksia vastuullisen ilmoituksen kautta. Yhtiö totesi, että se tutki löydökset, vahvisti, että tutkijoiden havaitsemat hyökkäyspolut olivat todellisia, ja että työ auttoi ymmärtämään laajempaa hyökkäysluokkaa ja nopeuttamaan lieventämistoimia.

arXiviin 10. elokuuta 2026 lähetetyssä artikkelissa Alexander Panfilov, David Schmotz, Ilia Shumailov, Luca Beurer-Kellner, Joachim Schaeffer, Ameya Prabhu, Jonas Geiping ja Maksym Andriushchenko raportoivat, että johtavat tarjoajat piilottavat malliensa vaiheittaisen päättelyn suojellakseen immateriaalioikeuksia ja rajoittaakseen tietovuotoja, palauttaen jäljet asiakasohjelmalle salattuina tekstilohkoina, jotka asiakasohjelma lähettää takaisin jokaisessa seuraavassa pyynnössä. Tekijät tunnistavat arkkitehtonisen haavoittuvuuden: nämä salatut lohkot ovat täysin yhteensopivia ja vaihdettavissa eri istuntojen, käyttäjien ja mallien välillä palveluntarjoajan ekosysteemissä. He kuvaavat skaalautuvan salauksen purkujailbreakin, jossa salattu päättelyjälki yhdestä mallista injektoidaan heikompaan, vähemmän suojattuun malliin samalta tarjoajalta, pakottaen sen purkamaan ja tulostamaan jäljen sanatarkasti salaamattomana tekstinä ilman, että vahvempaa mallia tarvitsee jailbreakata suoraan.

Tekijät raportoivat, että haavoittuvuus mahdollistaa neljä erillistä hyökkäysvektoria: anti‑destillaatiomekanismien kiertäminen, jonka he osoittavat Anthropicin, OpenAI:n ja Googlen malleissa; laajamittainen yksityisten tietojen poiminta, jossa he palauttivat 367 henkilökohtaisesti tunnistettavaa tietoelementtiä ja 182 tunnistetietoa purkamalla 315 320 päättelylohkoa, jotka oli kerätty julkisista repositorioista; tahaton vaarallisen tiedon paljastuminen, joka on piilotettu päättelyprosessiin, vaikka mallin lopullinen näkyvä tuloste turvallisesti hylkääkin haitallisen pyynnön; sekä näkymättömät kehotusinjektiot, jotka upottavat haitallisia kuormia kokonaan salattuihin lohkoihin julkisten agentic rollouts -saastuttamiseksi. Vastuullisen haavoittuvuusilmoituksen jälkeen tekijät ehdottavat kryptografisia ja järjestelmätason suojauksia asiakasohjelman puolella tapahtuvan päättelyn turvaamiseksi.

Miten OpenAI reagoi

OpenAI kertoi, että se hillitsi kampanjan yhdistämällä tilien valvonnan, tekniset kontrollit ja kumppaniyhteistyön: se sulki tai rajoitti vilpillisiä tilejä, vahvisti rekisteröitymis- ja infrastruktuurikontrolleja sekä laajensi valvontaa liittyville verkostoille. Yritys ilmoitti myös vahvistaneensa suojauksia piilotetulle päättelylle käyttäjien, työtilojen, organisaatioiden ja malliperheiden välillä: se sulki reitin, joka mahdollisti jo toisen käyttäjän salatun päättelyn hallussaan pitäneelle henkilölle sen toistamisen ja sisällön palauttamisen, lisäsi tarkistuksia havaitakseen ja pidättääkseen suoratoistettavan ulostulon, joka saattaisi paljastaa päättelyn, ja teki yhteistyötä kolmannen osapuolen tarjoajien kanssa tunnistaakseen ja häiratakseen tilejä, kun vastaava toiminta kulki heidän palveluidensa kautta.

OpenAI kertoi jakaneensa asiaankuuluvat havainnot Frontier Model Forum -kanavan ja asianmukaisten hallituksen tiedonjakokanavien kautta, jotta muut frontier-kehittäjät ja julkisen sektorin kumppanit voisivat etsiä samankaltaista toimintaa ja vahvistaa omia puolustuksiaan, ja se totesi, että siirrettäviä tai toistettavia päättelyartefakteja tukevat järjestelmät saattavat kohdata samankaltaisia riskejä.

OpenAI kertoi odottavansa, että adversaariset tislausyritykset tulevat yhä kehittyneemmiksi frontier-mallien kehittyessä ja kun toimijat etsivät edullisempia tapoja jäljitellä niiden kykyjä. Yritys totesi, että kumppanien ylläpitämät käyttöönotot tarvitsevat samat suojaukset kuin ensimmäisen osapuolen palvelut, että työkalujen tulosteita hyödyntäviin hyökkäyksiin vaaditaan suojauksia, jotka tarkastelevat enemmän kuin tavallista näkyvää tekstiä, ja että se jatkaa työkalusuojien, luokittelijoiden kattavuuden ja mallien hylkäysten parantamista samalla levittäen asiaankuuluvia kontrolleja pilvikumppaneiden kesken. OpenAI sanoi, että sen vastaus keskittyy jatkossa kolmeen alueeseen: vahvemmat tekniset suojaukset poimintaa vastaan, parempi havaitseminen ja valvonta koordinoituja kampanjoita vastaan sekä syvempi uhkatiedon jakaminen teollisuuden ja hallituksen välillä.