不安的钱：OpenAI 会用私密聊天训练模型来赢得 AI 竞赛吗？
AI 安全 AI 研究 圆桌 技术
这期 Unchained 从一桩 Liquid 侧链攻击切入，却没有停在加密资产的损失数字上。Taylor Monahan、Galaxy Digital 研究主管 Alex Thorn 与 Venice 战略主管 John 把问题延伸到 AI：当公开的代码修补可能帮助攻击者回看旧版本，当研究者把尚未公开的想法交给闭源模型，谁能知道信息最终去了哪里？他们讨论的核心并非某项技术会不会更聪明，而是漏洞、数据与权力如何在速度越来越快的系统中失去可见性。
节目里的判断大多来自嘉宾的技术解读、个人红队经验与 Venice 的产品立场，不是对 Liquid、OpenAI 或 Anthropic 的独立调查。尤其是数学证明与私密训练数据的争议，圆桌没有给出能够追踪数据流向的证据。保留这层界限，才能看清他们真正提出的取舍。
Liquid 的漏洞：缓存过的一份证明，如何放行了错误交易
Alex Thorn 将事件解释为一种典型的跨链桥攻击。Liquid 运行在 Elements 的联邦侧链上；他说，提现和其他共识动作需要 15 个联邦节点中的 11 个同意。为了支持保密交易，节点要检查范围证明和余额证明，以确认一笔交易没有凭空制造资产，也没有出现负数余额。这类计算代价很高，所以节点会缓存已经验证过的证明。
按 Alex 的理解，攻击者先提交了一笔 1 LBTC 转入、1 LBTC 转出的正常交易，让对应证明进入缓存；接着构造证明键碰撞，把一笔 1 LBTC 转入、4,000 LBTC 转出的交易伪装成已经验证过的请求。节点于是跳过重新计算，将不应存在的 LBTC 当作有效资产。攻击者再把这些 LBTC 交给联邦成员 SideSwap，换出主网比特币。
关于此前修补到底没有补全旧漏洞，还是在修补时带来了新的薄弱处，嘉宾没有达成一致。有人还怀疑部分节点没有升级，导致处理同一共识交易时出现分叉。节目能确认的只是：一次尝试过的修补并没有阻止这次损失；具体的根因仍需要代码与升级记录来回答。
返还 85%，为什么圆桌仍拒绝称它为白帽行为
攻击者在首笔归集交易的 OP_RETURN 数据中自称白帽。节目记录的数字是：4,000 枚 BTC 中已有 3,400 枚被转回，余下 15% 仍由攻击者控制。嘉宾按当时价格把这部分估为约 5,000 万美元，并把它理解为向 Blockstream 或 Liquid 相关方施压的筹码。
圆桌将它与负责任披露分开。后一种做法是先通知团队、协助修补，再由项目方决定是否支付赏金；本案则先铸造和兑现资产，再以扣留部分资金为条件谈判。嘉宾认为，哪怕最后返还了大部分资产，这也会把高额赏金同实际取走资产绑定，鼓励后来者复制先攻击再协商的路径。节目没有作法律裁决，但清楚表达了这种激励安排的反对意见。
负责任披露
漏洞信息先交给维护方，修补和赏金在团队知情的情况下展开。
本案中的资金谈判
资产先被铸造并换出，返还比例与补偿要求被放入同一场谈判。
公开补丁会告诉攻击者该看哪里吗
Liquid 事件让嘉宾担心，代码更新本身会成为线索。一个参与者举了自己的红队实验：他让多个代理审查约 1,700 份已部署的 Synthetix 合约。代理有时先看到之后出现的字节码变化，再退回旧版本查找为什么需要改动，并非一开始就识别出漏洞。这个例子没有证明 Liquid 的攻击由 AI 完成，也不说明所有代码变化都会泄露漏洞；它说明自动化审查可以把版本差异当作优先级信号。
嘉宾给出的应对并不神秘：关键修补应先在受控范围内完成升级，再公开发布；每一次公开提交和拉取请求都值得用进攻式视角复查。模型能把这种检索做得更便宜、更频繁，也意味着防守方不能只等外部研究者提醒。节目中的成本数字来自个人实验，不能外推为所有项目的审计成本。
节目保留的疑问：嘉宾曾听到近期拉取请求被模型迅速识别出漏洞的说法，但没有把传言当作结论。攻击发生后，模型可能接入实时信息，训练记忆与在线检索也可能混在一起。
一场数学证明争议，难在没有人能展示完整来路
后半段转向私密提示。节目提到，一名数学研究者在 Codex 里研究一项证明一年，之后 OpenAI 宣布 Astra 也解决了同一问题。围绕这一事件，嘉宾提出了一个无法由外部轻易回答的问题：模型的结果是独立推导出来的，还是吸收过相近的研究输入？圆桌没有确认任何一方的具体数据使用情况，也没有断言哪一方先完成了证明。
他们在意的是核验条件。嘉宾认为，前沿模型已有极多参数和复杂训练流程，实验室自己也可能难以把一个输出精确追溯到某一批输入。即使用户在设置中要求不将聊天用于训练，用户仍难看到内部系统如何执行这项承诺；一旦后来出现相似成果，单靠模型或公司说法难以重建令人信服的证据链。
这层担忧对日常问题的意义有限，对新颖研究却很大。公开资料检索、一般写作和日常代码，与尚未发表的数学思路、材料配方或可出售的专有技术，承担的损失不同。节目不建议把所有提示都当作商业机密，而是把敏感程度和任务价值放回具体输入中判断。
匿名、私密推理与能力差距
John 的建议从身份线索开始：不要把姓名、单位、研究方向直接绑在账号和提示上，至少能降低平台按身份筛选、集中查看某类研究者内容的便利性。但他也承认，匿名只是第一层。如果输入本身足够新颖，模型可能在不知道作者是谁的情况下仍能辨别它的价值。
因此，圆桌把选择描述为能力与信息控制之间的取舍。闭源前沿模型在某些任务上可能更强，但用户必须信赖提供者的训练和数据处理承诺。John 以 Venice 的立场认为，使用开放权重模型并在私密环境中推理，可以避免内容被服务方拿去训练；代价是模型能力未必追得上最强的闭源模型。嘉宾也认为差距正在缩小，但这是一项趋势判断，而不是对某个基准成绩的报告。
让多个模型协作，能否减少对单一实验室的依赖
节目把 harness 视为另一层设计空间。它为具体工作设置提示、工具、分工和检查流程，不负责训练一个更大的基础模型。以数学任务为例，多个开放权重模型可以分别提出候选、检查推理、汇总不同意见，再由人决定下一步。嘉宾认为，这种任务专用编排有机会把一部分价值从最强的单一模型转移到工作流本身。
这也是 Venice 的产品方向，因此不能被读作中立结论。John 只说公司正在关注并开发让这种组合更容易实现的工具，没有公布成品或效果数据。圆桌的价值在于指出一个不同于能力榜单的问题：如果模型、编排和私密推理环境可以分开选择，使用者就不必把所有材料和判断都交给同一个服务方。
真正让他们害怕的，是能力之外的竞赛激励
关于长期风险，嘉宾的担心并不相同。一人仍担心递归自我改进会带来突然的能力跃升，但也观察到当下模型缺乏持续的长程记忆和连续性，因此没有把快速失控视为已经发生。Taylor Monahan 则把更多注意力放在人身上：当研究团队听说竞争对手可能在某项困难问题上领先时，人可能为抢先展示能力而忽略原有的学术伦理、隐私和安全承诺。
John 将 OpenAI、Anthropic 与中国实验室之间的关系比作囚徒困境。每个参与者都可能认为，自己减速后，对手会更快地推出能力更强、限制更少的系统；尤其当一个组织相信只有自己能负责任地控制未来系统时，安全使命也可能变成加速的理由。这是对激励结构的解释，不是对任何公司内部决策的调查结论。
圆桌主张将权力分散，让用户和外部主体有机会制衡服务方。开放权重、私密推理、任务专用编排都被放在这个框架里。它们不会自动解决漏洞披露、数据来源或模型安全的问题；节目留下的检验标准更具体：谁能看见信息流，谁能检查修补，谁又能在速度压力下说不。