一分钟读论文：《黑盒推理模型的隐藏思维链，正在被一条长度信号读走》
内容提要
EchoCoT攻击论文揭示，通过API返回的推理元数据，可从黑盒大推理模型中提取隐藏思维链，开源模型近逐字保真，闭源模型长度贴近。攻击利用工具调用间隙，无需改变答案。防御性提示词可降低成功率，但存在残余缺口，风险真实存在。
延伸解读
攻击面：工具调用间隙的推理元数据
EchoCoT 揭示了一个此前被忽视的攻击面：工具调用之间由 API 返回的推理元数据（如推理长度和 CoT 摘要）构成了“推理回放面”。攻击者利用这些元数据作为保真度信号，通过多步迭代将隐藏的 CoT 重放出来。这一攻击不改变模型的答案，而是读取推理过程本身，因此更难被察觉。工具调用是推理模型能力的关键组成部分，攻击恰好落在这一缝隙中，凸显了 API 设计中的潜在风险。
开源与闭源模型的提取差异
在开源模型上，EchoCoT 能达到近逐字保真，例如 DeepSeek-V4-Flash 上 ASR@90 达 66.4%，极端案例中提取的 21,109 tokens 与目标 21,106 tokens 几乎完全一致。然而，闭源模型没有 ground-truth CoT 可供对照，结论只能停留在“长度贴近目标 + 语义对齐”层面，不能表述为逐字提取。这种差异提醒我们，在评估攻击效果时需明确口径边界，避免过度解读。
防御的局限性与残余风险
防御性提示词能将平均 ASR@90 从 46.0% 降至 5.0%，但攻击者自适应重优化后，均值回升至 9.7%，DeepSeek 上仍达 29.0%。完整移除长度字段或长度混淆也能降低成功率，但无法完全消除风险。根因解是移除 reasoning state，但这需要 API 提供方配合。结论是风险真实存在，现有实用防御有残余缺口，且不能外推为所有推理模型都脆弱，因为测试模型有限，闭源侧结论也仅在长度保真层面。
Q&A
EchoCoT攻击是如何从黑盒推理模型中提取隐藏思维链的？
EchoCoT攻击利用API返回的推理元数据（如推理长度和CoT摘要）作为信号，通过多步迭代诱导模型将隐藏的思维链重放到下一次工具调用的参数中，从而在不改变模型答案的情况下提取思维链。
EchoCoT攻击对开源模型和闭源模型的效果有何不同？
在开源模型（如DeepSeek-V4-Flash、Qwen3.5-Plus、GLM-5.2）上，EchoCoT能达到近逐字提取，ASR@90最高66.4%，极端案例中token匹配率达0.999；在闭源模型（如Gemini、Sonnet、Opus）上，只能实现长度贴近和语义对齐，无法逐字对照，因为闭源模型没有ground-truth CoT。
EchoCoT攻击的防御措施有哪些？效果如何？
防御措施包括移除推理状态（根因解，可使攻击成功率归零）、防御性system prompt（平均ASR@90从46%降至5%，但自适应攻击下回升至9.7%）、移除长度字段（降至12%-15%）和长度混淆（均值从17%降至13%）。但现有实用防御存在残余缺口。
EchoCoT攻击与对抗性说服攻击有何区别？
对抗性说服攻击会改变模型的答案，而EchoCoT不改变答案，模型照常作答和调用工具，攻击只读取推理过程本身，即模型的核心思维资产。
EchoCoT攻击的跨数据集迁移能力如何？
EchoCoT优化出的注入轨迹能迁移到未见数据集（如MATH500、JEEBench、LiveCodeBench），在DeepSeek-V4-Flash上MATH500的ASR@90最高达80%，表明学到的是通用重放策略而非过拟合。
EchoCoT攻击的根因是什么？
根因是API返回的推理元数据（包括推理长度和CoT摘要），移除这些元数据后攻击成功率归零，但需要API提供方配合。
