在实际 AI 应用开发中我们常常依赖大语言模型LLM的 API 来完成复杂的推理任务。为了提升推理的可靠性和透明度一种被称为“思维链”Chain-of-Thought, CoT的技术被广泛采用即让模型在输出最终答案前先展示其内部的推理步骤。然而当这些推理过程涉及敏感信息或商业逻辑时开发者可能会考虑对“思维链”进行加密只将最终答案明文返回给用户。这听起来是一个兼顾安全与功能的好主意。但近期安全研究揭示了一个严峻的风险即使“思维链”本身被加密攻击者依然可能通过分析模型 API 的旁路信息如响应时间、Token 消耗、错误模式等来“转录”出加密内容背后的原始推理逻辑。这种攻击不直接破解加密算法而是绕过加密层从系统运行时的特征中窃取信息。本文将深入探讨这种“加密思维链被旁路转录”的攻击原理、技术实现路径并基于常见的开发场景如使用 Spring Boot、Python 调用 DeepSeek 等模型 API构建一个完整的分析案例。我们将从理解思维链加密的常见方式开始逐步拆解攻击者如何利用 API 响应中的细微差异进行推断最后给出切实可行的防御与检测方案。无论你是正在集成 AI 能力的后端开发者、关注模型安全的研究者还是负责系统架构的安全工程师理解这种新型威胁都至关重要它能帮助你避免在自以为安全的设计中埋下重大隐患。1. 理解“加密思维链”与“旁路转录”攻击在深入技术细节前我们需要清晰定义两个核心概念“加密思维链”和“旁路转录攻击”并理解它们为何会联系在一起。1.1 什么是加密思维链思维链CoT是指大语言模型将复杂问题分解为多个中间推理步骤并输出的过程。例如回答一个数学应用题时模型可能会先输出“第一步计算总成本...第二步计算平均成本...第三步得出结论...”。加密思维链则是指开发者出于保护知识产权、算法逻辑或敏感提示词Prompt的目的在将思维链返回给客户端前对其进行加密处理。一个典型的流程是用户向你的后端服务发送请求。后端服务构造包含敏感逻辑的 Prompt调用 LLM API如 DeepSeek、GPT 等。LLM 返回包含思维链的完整响应。你的后端服务提取出思维链部分使用 AES、SM4 等对称加密算法进行加密。将加密后的思维链和明文的最终答案一并返回给客户端。开发者可能认为只要加密算法足够强如 AES-256思维链的内容就是安全的。客户端只有在拥有密钥的情况下才能解密查看推理过程。1.2 什么是旁路转录攻击旁路攻击Side-Channel Attack是一种不直接攻击加密算法或密钥本身而是通过分析系统运行时的物理或逻辑特征如时间、功耗、电磁辐射、错误信息等来推断出秘密信息的攻击方式。旁路转录攻击在此场景下的具体含义是攻击者通过观察 LLM API 调用的一系列“旁路信息”来反推出被加密的思维链内容或者至少推断出思维链的关键特征和结论。这些旁路信息可能包括响应时间不同复杂度的思维链模型计算所需的时间不同。消耗的 Token 数量API 返回的usage字段中的total_tokens或completion_tokens。更长的思维链必然消耗更多 Token。API 错误与速率限制特定的错误信息如context length超限、insufficient balance可能暗示了请求的规模或性质。网络流量模式即使内容加密响应数据包的大小也与明文内容长度相关。攻击者无需破解 AES 密钥只需能够多次调用你的加密接口并收集这些“元数据”通过统计分析和机器学习方法就能建立“旁路特征”与“思维链内容”之间的映射关系从而实现“转录”。1.3 为什么这种攻击是可行的这种攻击可行的根本原因在于加密操作发生在模型推理完成之后。加密过程无法掩盖模型推理本身所产生的、不可避免的运行时特征。信息泄露源头是模型 API而非你的加密代码。当你调用DeepSeek-V4-Pro的 API 时模型在云端完成计算其计算时长、资源消耗已经由思维链的复杂度和长度决定了。你的后端服务只是接收了一个已经包含这些信息的结果。旁路信息是协议的一部分。像total_tokens这样的字段是 OpenAI、DeepSeek 等 API 标准响应的一部分用于计费和监控通常会被开发者记录到日志中。攻击者可能通过某些方式如成为你的用户获取到这些信息。相关性极高。思维链的长度Token 数与响应时间存在强相关性。攻击者通过大量采样可以训练出一个相当准确的预测模型仅根据响应时间和 Token 数就能估计出思维链的大致长度和复杂度进而推测其内容范畴。2. 构建一个易受攻击的示例服务为了具体说明攻击过程我们将构建一个简单的 Spring Boot 服务。该服务接收用户问题调用 DeepSeek API 生成包含思维链的答案然后加密思维链并返回结果。这个服务包含了常见的开发模式也暴露了旁路信息。2.1 项目环境与依赖准备技术栈Java 17Spring Boot 3.xMyBatis-Plus (用于模拟数据库操作演示字段加密场景)Hutool (提供加密工具)OpenAI Java SDK (用于调用 DeepSeek API因其兼容 OpenAI 协议)Maven 依赖 (pom.xml):dependencies dependency groupIdorg.springframework.boot/groupId artifactIdspring-boot-starter-web/artifactId /dependency !-- 用于数据库操作演示场景 -- dependency groupIdcom.baomidou/groupId artifactIdmybatis-plus-boot-starter/artifactId version3.5.5/version /dependency dependency groupIdcom.mysql/groupId artifactIdmysql-connector-j/artifactId scoperuntime/scope /dependency !-- 加密工具 -- dependency groupIdcn.hutool/groupId artifactIdhutool-all/artifactId version5.8.25/version /dependency !-- DeepSeek/OpenAI API 客户端 -- dependency groupIdcom.theokanning.openai-gpt3-java/groupId artifactIdservice/artifactId version0.18.2/version /dependency !-- JSON 处理 -- dependency groupIdcom.fasterxml.jackson.core/groupId artifactIdjackson-databind/artifactId /dependency /dependencies关键配置 (application.yml):server: port: 8080 spring: datasource: url: jdbc:mysql://localhost:3306/ai_service?useSSLfalseserverTimezoneUTC username: root password: your_password driver-class-name: com.mysql.cj.jdbc.Driver # 加密密钥 (此处仅为示例生产环境应从安全配置中心获取) app: encryption: key: “12345678901234567890123456789012“ # 32位 AES密钥 deepseek: api-key: “your_deepseek_api_key_here“ base-url: “https://api.deepseek.com“ model: “deepseek-chat“ # 或 deepseek-v4-pro 等2.2 核心服务实现加密思维链我们创建一个AIController来处理用户请求。为了记录旁路信息我们还会将每次 API 调用的耗时和 Token 使用量存入数据库。1. 数据库实体与 Mapper// LogEntity.java Data TableName(“api_call_log“) public class LogEntity { TableId(type IdType.AUTO) private Long id; private String userId; private String userQuestion; private Long responseTimeMs; // 旁路信息响应时间 private Integer totalTokens; // 旁路信息总Token数 private String encryptedChain; // 加密后的思维链 private String finalAnswer; // 明文的最终答案 private LocalDateTime callTime; }// LogMapper.java Mapper public interface LogMapper extends BaseMapperLogEntity { }2. 加密工具类// EncryptionUtil.java Component public class EncryptionUtil { Value(“${app.encryption.key}“) private String aesKey; public String encryptCoT(String chainOfThought) { // 使用 AES 对称加密 AES aes new AES(Mode.CBC, Padding.PKCS5Padding, aesKey.getBytes(StandardCharsets.UTF_8), “1234567890123456“.getBytes()); // IV 应随机化此处简化 return aes.encryptBase64(chainOfThought); } // 解密方法客户端或内部使用 public String decryptCoT(String encryptedText) { AES aes new AES(Mode.CBC, Padding.PKCS5Padding, aesKey.getBytes(StandardCharsets.UTF_8), “1234567890123456“.getBytes()); return aes.decryptStr(encryptedText); } }3. AI 服务与控制器// AIService.java Service Slf4j public class AIService { Value(“${app.deepseek.api-key}“) private String apiKey; Value(“${app.deepseek.base-url}“) private String baseUrl; Value(“${app.deepseek.model}“) private String model; Autowired private EncryptionUtil encryptionUtil; public AiResponse processWithEncryptedCoT(String userQuestion) { OpenAiService service new OpenAiService(apiKey, Duration.ofSeconds(60), baseUrl); // 构造明确要求输出思维链的Prompt String systemPrompt “你是一个严谨的助手。请先以‘思考过程’为开头详细写出你的推理步骤思维链。最后以‘最终答案’为开头给出结论。“; ChatMessage systemMsg new ChatMessage(“system“, systemPrompt); ChatMessage userMsg new ChatMessage(“user“, userQuestion); ChatCompletionRequest request ChatCompletionRequest.builder() .model(model) .messages(Arrays.asList(systemMsg, userMsg)) .temperature(0.1) // 低随机性保证思维链稳定 .build(); long startTime System.currentTimeMillis(); ChatCompletionResult result; try { result service.createChatCompletion(request); } catch (Exception e) { log.error(“调用DeepSeek API失败: “, e); // 处理API错误如余额不足、上下文超长等这些错误信息本身也是旁路信息 throw new RuntimeException(“AI服务调用异常: “ e.getMessage()); } long endTime System.currentTimeMillis(); long responseTime endTime - startTime; String fullResponse result.getChoices().get(0).getMessage().getContent(); // 解析思维链和最终答案 String chainOfThought ““; String finalAnswer ““; if (fullResponse.contains(“思考过程“) fullResponse.contains(“最终答案“)) { int cotStart fullResponse.indexOf(“思考过程“) 5; int ansStart fullResponse.indexOf(“最终答案“); chainOfThought fullResponse.substring(cotStart, ansStart).trim(); finalAnswer fullResponse.substring(ansStart 5).trim(); } else { // 如果模型未按格式响应则整个作为答案思维链为空 finalAnswer fullResponse; } // 加密思维链 String encryptedChain encryptionUtil.encryptCoT(chainOfThought); // 获取Token使用量关键的旁路信息 Usage usage result.getUsage(); int totalTokens usage.getTotalTokens(); // 构建返回对象包含旁路信息实际生产环境不应返回给客户端 return AiResponse.builder() .finalAnswer(finalAnswer) .encryptedChain(encryptedChain) .responseTimeMs(responseTime) .totalTokens(totalTokens) .build(); } }// AiController.java RestController RequestMapping(“/api/ai“) Slf4j public class AiController { Autowired private AIService aiService; Autowired private LogMapper logMapper; PostMapping(“/ask“) public ResponseEntityAiResponse askQuestion(RequestBody UserQuery query) { AiResponse response aiService.processWithEncryptedCoT(query.getQuestion()); // 记录日志到数据库这里记录了完整的旁路信息 LogEntity log new LogEntity(); log.setUserId(query.getUserId()); log.setUserQuestion(query.getQuestion()); log.setResponseTimeMs(response.getResponseTimeMs()); log.setTotalTokens(response.getTotalTokens()); log.setEncryptedChain(response.getEncryptedChain()); log.setFinalAnswer(response.getFinalAnswer()); log.setCallTime(LocalDateTime.now()); logMapper.insert(log); // 注意这里存储了加密链但攻击者目标是通过旁路推测其内容 // 返回给客户端时可以选择不包含 responseTimeMs 和 totalTokens // 但攻击者可能通过其他方式如网络抓包测时延估算 return ResponseEntity.ok(AiResponse.builder() .finalAnswer(response.getFinalAnswer()) .encryptedChain(response.getEncryptedChain()) .build()); } }这个服务看起来完成了“加密思维链”的功能并且运行良好。然而它已经为旁路攻击留下了多个入口。3. 模拟攻击者如何实施旁路转录假设攻击者已经成为了你服务的一个普通用户拥有合法的 API 调用权限。他的目标不是破解 AES 密钥而是推断出不同问题对应的思维链内容。以下是他的攻击步骤3.1 信息收集阶段攻击者会编写脚本向你的/api/ai/ask接口发起大量、精心设计的查询。基础探测发送一些长度、复杂度已知的问题例如简单问题“11等于几”中等复杂度问题“一个篮子里有5个苹果拿走2个又放入3个现在有几个”复杂问题“请简述牛顿三大定律并各举一个生活中的例子。”记录旁路数据对于每次请求即使他只能从接口获得encryptedChain和finalAnswer他还可以记录客户端测量到的响应时间从发送请求到收到响应的时间差。这近似于服务端的responseTimeMs。响应数据包大小虽然内容加密但密文长度与明文长度存在一定关系如分组加密后长度是块大小的整数倍。可能的错误信息如果问题过于复杂可能触发400错误如context length超限这本身就是一种信息泄露。3.2 建立特征模型攻击者利用收集到的数据建立统计模型或机器学习模型。数据对示例用户问题 (输入)最终答案 (输出)客户端测量响应时间 (ms)加密思维链长度 (字节)“11等于几”“2”85048“5个苹果拿2放3剩几个”“6个”120096“简述牛顿定律...”“第一定律...第二定律...第三定律...”3500256攻击者分析他发现“简述牛顿定律”问题的响应时间3500ms和密文长度256字节远大于简单计算问题。他可以推断响应时间和密文长度与思维链的复杂度Token数正相关。通过大量采样他可以训练一个回归模型预测的思维链长度 ≈ f(响应时间 密文长度 问题长度)。3.3 实施推理与转录当攻击者想窥探一个新问题的思维链时他执行以下操作向你的服务发送这个新问题。测量得到新的响应时间T_new和密文长度L_new。将(T_new, L_new)输入到他训练好的特征模型中。模型输出一个预测的思维链长度或复杂度等级。结合他已有的“问题-答案-预测复杂度”数据库他可以猜测新问题的思维链可能涉及哪些类型的推理例如是数学计算、文本总结、还是代码生成。如果服务不慎在错误信息中泄露了更多细节例如因思维链过长导致total_tokens超限的特定错误信息攻击者的猜测会变得更加准确。更高级的攻击如果攻击者能通过某种方式如日志泄露、内部权限不当直接或间接访问到你的api_call_log表那么他直接获得了responseTimeMs和totalTokens这两个强关联信号攻击难度将急剧下降。他几乎可以精确地将不同复杂度的问题分类甚至可能通过对比已知问题的totalTokens和未知问题的totalTokens来反推未知思维链的大致内容。4. 漏洞根因与风险分析为什么上述服务存在漏洞我们来系统性地分析一下。4.1 漏洞根因加密时机过晚加密操作发生在模型推理完成之后。推理过程所产生的所有资源消耗特征时间、Token在加密前就已经确定并被系统记录了下来。旁路信息未受保护系统将responseTimeMs和totalTokens视为普通的日志或监控指标未意识到它们是与秘密信息思维链内容高度相关的元数据并将其明文存储或传输。系统边界模糊在“用户-后端服务-LLM API”这个链条中后端服务认为自己是可信的但它同时处理着明文思维链和旁路信息成为了信息聚合点。一旦这个点被渗透或存在信息泄露渠道风险就产生了。4.2 具体风险场景风险场景泄露的旁路信息可能导致的后果1. 日志泄露数据库中的responseTimeMs,totalTokens攻击者直接获得高价值训练数据轻松建立预测模型。2. 客户端计时攻击网络往返时间 (RTT)攻击者可以较精确地估算服务端处理时间进而推断复杂度。3. API错误信息泄露400 Bad Request: context length exceeds limit攻击者知道问题触发了模型的上下文长度限制从而知道思维链非常长。4. 流量分析网络响应包大小结合加密算法特征可大致推断明文长度范围。5. 内部监控系统暴露Grafana/Prometheus 中的指标如果监控面板对外暴露或权限设置不当QPS、平均响应时间、Token消耗分布等全局指标也可能被利用。5. 防御与缓解方案理解了攻击原理我们就可以从多个层面构建防御体系。核心思想是切断或混淆旁路信息与思维链内容之间的关联性。5.1 架构层面重新设计信息流最根本的解决方案是避免在后端服务中同时接触明文思维链和旁路信息。方案A客户端直接加密模式需信任客户端后端服务只负责转发接收用户问题直接转发给 LLM API。LLM API 将包含思维链的完整响应返回给客户端。客户端负责从响应中提取思维链并使用预先分发或协商的密钥进行加密。客户端将加密后的思维链发送回后端存储。优点后端完全看不到明文思维链无从泄露。缺点必须信任客户端会正确执行加密密钥管理在客户端更复杂。方案B可信执行环境TEE或机密计算在云端使用 TEE如 Intel SGX AMD SEV创建一个安全的“飞地”。LLM API 的调用和思维链的加密都在飞地内完成。外部包括宿主操作系统无法窥探飞地内的内存数据和处理时间。优点安全性高能有效防御旁路攻击。缺点技术复杂成本高对现有架构改造大。5.2 应用层面混淆与脱敏如果架构大改不现实可以在应用层实施缓解措施。1. 对响应时间添加随机延迟在返回响应前注入一个随机的、足够大的延迟。public AiResponse processWithEncryptedCoT(String userQuestion) { // ... 调用API并获得结果 ... long actualResponseTime endTime - startTime; // 添加随机延迟 (例如 0~500ms 的随机值) Random random new Random(); long randomDelay random.nextInt(500); try { Thread.sleep(randomDelay); } catch (InterruptedException e) { Thread.currentThread().interrupt(); } // 记录和返回的时间是混淆后的 long obfuscatedResponseTime actualResponseTime randomDelay; // ... 后续操作 ... }注意随机延迟的幅度必须大于正常响应时间的自然波动否则攻击者可以通过大量请求求平均值来消除噪声。2. 剥离或泛化 Token 计数信息不要将totalTokens等详细信息记录到与加密数据关联的业务日志中。如果必须监控使用聚合指标或分桶记录例如记录“消耗了 1000-2000 Token 这个区间”而不是精确值。绝对不要将totalTokens返回给不可信的客户端。3. 统一化错误信息避免因思维链过长等原因返回独特的错误信息。将所有内部错误映射为统一的、信息量少的客户端错误消息。try { result service.createChatCompletion(request); } catch (OpenAiHttpException e) { log.error(“DeepSeek API调用异常状态码: {} 详情: {}“, e.statusCode, e.getMessage()); // 对外统一返回模糊错误 throw new BusinessException(“AI服务暂时不可用请稍后重试。“); } catch (Exception e) { log.error(“未知异常: “, e); throw new BusinessException(“系统处理异常。“); }5.3 运维与监控层面严格的日志访问控制确保包含responseTimeMs、totalTokens的日志只能被安全的监控系统访问并且访问日志本身需要被审计。网络层防护使用 WAF 等设备对异常的、高频率的、模式化的请求进行识别和限流增加攻击者收集数据的成本。监控异常模式建立基线监控平均响应时间、Token 消耗的分布。如果发现来自单个用户或 IP 的请求模式异常例如故意构造长度梯度变化的问题可以触发告警。5.4 开发最佳实践清单在设计和开发类似系统时请将以下清单纳入考量[ ]评估需求是否真的需要将完整的思维链返回给客户端能否只返回最终答案[ ]加密位置评估如果必须返回加密操作能否在更早、更安全的环境中进行如可信客户端或TEE[ ]旁路信息审计识别所有可能泄露思维链信息的旁路信道时间、Token、错误、日志、监控指标。[ ]实施混淆对响应时间添加符合场景的随机延迟。[ ]信息最小化绝不将totalTokens等敏感元数据返回给前端或记录到可被广泛访问的日志中。[ ]错误信息泛化对外部接口返回统一、模糊的错误信息避免信息泄露。[ ]权限隔离将对明文思维链和旁路日志的访问权限分离。[ ]威胁建模在系统设计阶段就考虑旁路攻击威胁并将其纳入安全测试范围。6. 总结与扩展思考“加密思维链被旁路转录”的风险揭示了一个重要的安全原则仅仅对数据进行密码学加密并不等同于系统安全。系统的其他组成部分尤其是那些产生和处理数据的元数据Metadata可能成为泄露秘密的通道。这种攻击不仅限于本文描述的 LLM 场景。在任何将计算外包或使用黑盒服务、然后对结果进行加密的场景中都需要警惕旁路信道数据库字段加密使用 MyBatis-Plus 拦截器对存入数据库的字段进行加密但查询条件、数据长度、索引访问模式可能泄露信息。加密搜索搜索加密文档时返回的文档 ID 集合或查询响应时间可能泄露关于搜索关键词的信息。隐私计算在多方安全计算中各方的通信轮次、通信量可能泄露关于输入数据的信息。对于 AI 应用开发者而言在积极采用思维链等技术提升体验的同时必须将安全考量前置。在设计之初就询问自己我的系统中哪些数据是秘密保护这些秘密的边界在哪里有哪些意想不到的信息可能正在泄露这些秘密通过架构优化、应用层混淆和严格的运维管控我们可以在享受 AI 强大能力的同时更好地守护其中的核心价值与秘密。