كشفت شركة Xint المتخصصة في أبحاث الثغرات أن ميزة تقليص المحادثات (compaction) في واجهة OpenAI البرمجية سمحت، بحسب تقييمها، باستخراج التفكير الخام لنموذج gpt-5.6-sol، وهو الجانب الذي تحجبه OpenAI عن المطورين. ونشرت الشركة تقريرها التقني في 26 أكتوبر 2026، موضحة أن OpenAI أكدت المشكلة وأصلحتها في 23 أكتوبر.
وتتيح OpenAI لمطوري واجهتها البرمجية الحصول على ملخصات اختيارية لتفكير نماذجها، بينما ترسل عمليات التفكير الخام في كتلة مشفرة غير قابلة للقراءة من جهة العميل، مع إمكانية إعادة إرسالها في الطلبات اللاحقة ليفك الخادم تشفيرها للنموذج. وترى Xint أن هذا الإخفاء يهدف أساساً إلى منع عمليات التقطير، المتمثلة في تدريب نماذج صغيرة على مخرجات نماذج أكبر، حيث يعد التفكير الخام وما يتضمنه من محاولات خاطئة وتصحيحات ذاتية مادة تدريبية تتفوق بشكل كبير على الإجابات النهائية.
واستندت Xint في أبحاثها إلى ورقة “Stolen Thoughts” المنشورة في أغسطس 2026 بقيادة الباحث Alexander Panfilov، والتي أثبتت إمكانية إعادة تشغيل التفكير المشفر لنموذج متقدم داخل نموذج أضعف من الشركة ذاتها لدفعه نحو نسخه نصياً. ونجح هذا الهجوم حينها ضد أنظمة Anthropic وOpenAI وGoogle، غير أن Xint أوضحت أن أنظمة OpenAI كانت الأكثر تعقيداً، حيث اقتصرت إعادة تشغيل تفكير GPT-5.6 على نماذج من الفئة نفسها. وعقب الإبلاغ عن تلك النتائج، طبقت الشركات تدابير حماية وقائية، وأكدت اختبارات Xint في أغسطس أن الهجوم المذكور في الورقة البحثية فقد فاعليته ضد OpenAI.
وتعتمد التقنية الجديدة لشركة Xint، والمعروفة باسم compaction smuggling، على ثلاثة استدعاءات متتالية للواجهة البرمجية. يتضمن الاستدعاء الأول إرسال مسائل رياضية وخوارزمية عشوائية إلى نموذج gpt-5.6-sol والاحتفاظ بكتلة التفكير المشفرة. وفي الاستدعاء الثاني، تحذف المهمة الأصلية من السجل وتوجه تعليمات لخطوة تقليص المحادثات لحفظ التفكير حرفياً وبصيغة قادرة على تجاوز مصنفات سياسة الاستخدام الخاصة بشركة OpenAI. أما الاستدعاء الثالث، فيشمل تمرير عنصر التقليص إلى نموذجي gpt-4.1 وgpt-4o مع توجيه أوامر صريحة بإعادة إخراج المدخلات كما هي.
ونجح هذا المسار الهجومي لأن الإجراءات الأمنية المطبقة في أغسطس اقتصرت على منع إعادة تشغيل التفكير في نماذج مختلفة، في حين تنفذ خطوة تقليص المحادثات على النموذج ذاته الذي أنتج التفكير الأساسي. وأثبت الهجوم فاعليته عبر جميع مستويات الجهد المعالجي التي خضعت للاختبار، بدءاً من الحد الأدنى وصولاً إلى الحد الأقصى.
واقتصرت تجارب Xint على نموذج gpt-5.6-sol باستخدام مسائل صممها فريقها الداخلي، دون الوصول إلى بيانات أو تفكير مستخدمين آخرين. ورغم إقرار الشركة بصعوبة الإثبات القطعي لتطابق النص المستخرج حرفياً مع التفكير الأصلي لغياب النسخة المرجعية، إلا أنها استندت إلى إنتاج نص متطابق عند تمريره عبر نموذجين بتعليمات متباينة. وأظهرت البيانات أن عنصر التقليص بلغ 612 رمزاً مقارنة بنحو 405 رموز للتفكير الأصلي، وهي زيادة طبيعية ناتجة عن استخدام عبء صيغة JSON، مع احتفاظ النص المستخرج بكافة المحاولات الخاطئة والتصحيحات الذاتية.
واكتشفت Xint الخلل في أغسطس الماضي، وتلقت مكافأة قدرها 6,000 دولار من OpenAI التي أكدت الثغرة وطبقت إصلاحاً غير معلن في 23 أكتوبر. ولم يصدر أي تعليق علني من OpenAI حول هذه المشكلة تحديداً، في حين خلا تقرير Xint من أي إشارة لاستغلال التقنية فعلياً قبل الترقيع. وكانت OpenAI قد صرحت في إفصاح لها بتاريخ 30 سبتمبر بتعطيل حملة منسقة لاستهداف التفكير المحمي لنماذجها، مشيرة إلى تلقيها تقارير من باحثين مستقلين عبر الإفصاح المسؤول حول ثغرات ترتبط بإعادة تشغيل التفكير وتقليص المحادثات، وتأكدت من صحة مسارات الهجوم المكتشفة.
تخلص Xint إلى أن أي عملية خادم تقرأ التفكير بعد فك تشفيره وتستمد تعليماتها من العميل تمثل قناة محتملة لفك التشفير، مما يفرض ضرورة إحاطة ميزة تقليص المحادثات بنفس مستوى الحماية المخصص لعمليات التفكير. وسبق للشركة أن نشرت في 8 أكتوبر بحثاً منفصلاً حول التقليص في واجهة OpenAI تحت اسم GhostCompact، ركز حينها على خلل تقني مرتبط باحتساب الفوترة بعيداً عن التفكير المخفي.
