एन्क्रिप्टेड रीज़निंग ट्रेस (Reasoning Trace) को एक कमजोर मॉडल (Weak Model) में ले जाना

FACT (प्राथमिक रिपोर्ट, पूरी प्राप्त की गई और पढ़ी गई)। 2026-09-30 को OpenAI ने "Disrupting a coordinated model-distillation campaign" प्रकाशित की, जिसमें बताया गया कि उसने अपने मॉडलों से संरक्षित रीज़निंग (Protected Reasoning) निकालने के लिए बनाए गए एक समन्वित अभियान की पहचान की और उसे बाधित किया।

FACT — लक्ष्य की स्वयं OpenAI की परिभाषा। रिपोर्ट उस परिसंपत्ति को परिभाषित करती है जिस पर हमला हुआ:

"संरक्षित रीज़निंग (Protected Reasoning) किसी कार्य पर काम करते समय मॉडल का आंतरिक रिकॉर्ड होता है; इसे निकालने से वह जानकारी सामने आ सकती है जो अंतिम उत्तर से रोकी गई थी, और इससे दूसरों को मॉडल की क्षमताएँ दोहराने में मदद मिल सकती है।"

FACT — यह कोई सेंध (Breach) नहीं थी। OpenAI ने यह स्पष्ट कहा और यह मायने रखता है:

"ऑपरेटरों ने हमारा एन्क्रिप्शन नहीं तोड़ा, किसी डेटाबेस से समझौता नहीं किया, और संग्रहीत उपयोगकर्ता बातचीतों तक सीधी पहुँच नहीं पाई। इसके बजाय, उन्होंने मॉडल इंटरैक्शन (Model Interaction) में इस तरह हेरफेर किया कि संरक्षित रीज़निंग ऐसे रूपों में दोहराई जा सके जो अनुरोधकर्ता को दिखें — समन्वित, बड़े पैमाने पर, और हमारी सेवा-शर्तों का उल्लंघन करते हुए।"

FACT — तकनीक। ऑपरेटरों ने एक नई विधि अपनाई:

"हमने देखा कि ऑपरेटरों ने संरक्षित रीज़निंग निकालने की नई-नई कोशिशें कीं, जिनमें एक बातचीत से एन्क्रिप्टेड रीज़निंग कॉपी करके किसी दूसरी बातचीत के मॉडल से यह कहना शामिल था कि वह छिपी हुई रीज़निंग सामग्री को डिक्रिप्ट करके लिखकर दे दे।"

COMPANY CLAIM — अभियान की समय-रेखा, ठीक वैसे जैसे OpenAI बताता है।

"यह गतिविधि 1 जुलाई को शुरू हुई, शुरू में कम मात्रा में, जब तक कि हमने 24 और 25 जुलाई को भारी मात्रा वाले उछाल नहीं देखे — जिनमें 16,000 requests शामिल थे, जो प्रासंगिक एक्सट्रैक्शन पैटर्न का उपयोग कर रहे थे, और 4,000 से अधिक उपयोगकर्ताओं से आ रहे थे। आगे की जाँच में 15,000 से अधिक उपयोगकर्ताओं के एक क्लस्टर में संबंधित प्रॉम्प्ट-पैटर्न गतिविधि मिली, जिसे हमने 28 जुलाई तक पूरी तरह बाधित कर दिया।"

इन पाँच आँकड़ों में से हर एक (1 जुलाई · 24–25 जुलाई · 16,000 · >4,000 · >15,000 · 28 जुलाई) प्राथमिक पाठ से जाँचा गया और CNBC, CyberScoop तथा The Hacker News ने स्वतंत्र रूप से दोहराया। ये इस बात की सटीक रिपोर्ट के रूप में पुष्ट हैं कि OpenAI ने क्या कहा। ये इस बात का पुष्ट विवरण नहीं हैं कि वास्तव में क्या हुआ।

COMPANY CLAIM — आरोपण, पूरा उद्धृत, बिना किसी पुनर्कथन के:

"यह स्पष्ट नहीं है कि संबंधित अवधि में हमने जिन सभी ऑपरेटरों को देखा, वे एक ही अभिनेता से थे। फिर भी, हम गतिविधि के एक मुख्य क्लस्टर का आरोपण Moonshot AI से जुड़े व्यक्तियों पर करते हैं, जो Kimi के विकासकर्ता हैं।"

FACT — OpenAI ने आरोपण के लिए कोई साक्ष्य प्रकाशित नहीं किया। यह इस शोध में सबसे महत्वपूर्ण निष्कर्ष है, और प्रकाशन के दिन ही दो माध्यमों ने इसे स्वतंत्र रूप से स्थापित किया:

• CyberScoop (Derek B. Johnson, 2026-09-30): "OpenAI's blog post does not cite any technical evidence or reasoning for its attribution." OpenAI ने CyberScoop से कहा कि वह "for security reasons" आगे की जानकारी साझा नहीं कर रहा।
• The Hacker News (Ravie Lakshmanan, 2026-10-01): "It did not cite any technical evidence to back this assessment, likely owing to security reasons."

FACT — Moonshot ने उत्तर नहीं दिया। CNBC: "Moonshot did not immediately respond to CNBC's requests for comment." CyberScoop: "CyberScoop has reached out to Moonshot AI for further comment." इस स्टोरी के लिए प्राप्त किसी भी स्रोत में Moonshot AI की ओर से कोई उत्तर या खंडन नहीं दिखता।

FACT — भेद्यता का वर्ग स्वतंत्र रूप से वास्तविक है। OpenAI ने पुष्ट किया कि हमले के रास्ते वास्तविक थे, और बाहरी शोधकर्ताओं को श्रेय दिया:

"स्वतंत्र सुरक्षा शोधकर्ताओं ने भी ज़िम्मेदार प्रकटीकरण (Responsible Disclosure) के ज़रिए संबंधित क्रॉस-मॉडल तथा बातचीत-संक्षेपण (Conversation-compaction) भेद्यताओं की ओर हमारा ध्यान खींचा। हमने उनके निष्कर्षों की जाँच की और पुष्ट किया कि उन्होंने जो हमले के रास्ते पहचाने थे, वे वास्तविक थे।"

• स्टोरी आईडी (Story ID): S15
• संगठन (Organization): OpenAI
• श्रेणी (Category): एआई सुरक्षा (AI Security) / मॉडल एक्सट्रैक्शन (Model Extraction)
• शीर्षक (Title): ओपनएआई (OpenAI) ने मूनशॉट एआई (Moonshot AI) से जुड़े एक समन्वित मॉडल-डिस्टिलेशन अभियान को बाधित किया
• घटना की तारीख़ (Event date): 2026-09-30 — वह तारीख़ जब OpenAI ने अपनी थ्रेट रिपोर्ट (Threat Report) "Disrupting a coordinated model-distillation campaign" प्रकाशित की। यह निर्धारित विंडो (Window) 2026-09-26 → 2026-10-02 के भीतर आती है। PASS.
• प्रकटीकरण / घोषणा की तारीख़ (Disclosure / announcement date): 2026-09-30 (रिपोर्ट पर स्वयं OpenAI की प्रकाशन तिथि)।
• अभियान की मूल तारीख़ें (घटना की तारीख़ से अलग — इन्हें मिलाएँ नहीं): सबसे पहले देखी गई गतिविधि 1 जुलाई 2026; भारी मात्रा वाले उछाल 24–25 जुलाई 2026; 28 जुलाई 2026 तक "fully disrupted"। यह घटना एक ~4-हफ़्ते का जुलाई अभियान है, जिसे नौ हफ़्ते बाद सार्वजनिक किया गया। इस स्टोरी का हर संख्यात्मक आँकड़ा जुलाई की गतिविधि बताता है, सितंबर की नहीं।
• स्वतंत्र रिपोर्टिंग की तारीख़ें (Independent reporting dates): 2026-09-30 (CNBC, 8:04 PM EDT पर प्रकाशित, 10:14 PM EDT पर अद्यतन; CyberScoop) तथा 2026-10-01 (The Hacker News)। डिस्कवरी (Discovery) में 2026-10-02 भी सूचीबद्ध था; इस पास में 2026-10-02 की कोई रिपोर्ट नहीं मिली, और यहाँ किसी का हवाला नहीं दिया गया है।
• साक्ष्य स्थिति (Evidence status): अभियान के अस्तित्व, पैमाने तथा प्रभाव के लिए COMPANY CLAIM; Moonshot AI पर आरोपण (Attribution) के लिए COMPANY CLAIM (uncorroborated)। हमले का वर्ग पीयर-ट्रैक शोध (Peer-track Research) तथा दो पूर्व प्रकटीकरणों से INDEPENDENTLY VERIFIED है; आरोपण नहीं है।
• विश्वास स्तर (Confidence): तारीख़ों, आँकड़ों, तंत्र (Mechanics) तथा OpenAI के बताए गए प्रत्युत्तर पर High — ये सब प्राथमिक रिपोर्ट से पढ़े गए हैं और तीन स्वतंत्र माध्यमों ने सीधे उद्धृत करके इनकी पुष्टि की है। आरोपण पर जानबूझकर सतर्क (Deliberately qualified) (§13, §14)।
• डिस्कवरी के समय रैंक (Rank at discovery): 40 में से 15।

डिस्कवरी रिकॉर्ड में सुधार (ऑडिट के लिए दर्ज)

डिस्कवरी की मुख्य लीड तंत्र और आँकड़ों पर सही थी, लेकिन एक ऐसे बिंदु पर तथ्यतः ग़लत थी जो इस स्टोरी के लिए सबसे अधिक मायने रखता है, तथा दो अन्य बिंदुओं पर अधूरी थी।

1. CISA एडवाइज़री OpenAI के आरोपण की पुष्टि नहीं करती, क्योंकि वह प्रकटीकरण से तीन हफ़्ते पहले की है। AA26-251A पर Release Date 08 सितंबर, 2026 दर्ज है। OpenAI ने 30 सितंबर को प्रकाशन किया। इसलिए एडवाइज़री इस अभियान का उल्लेख, पुष्टि या प्रतिक्रिया नहीं कर सकती। यह वास्तव में एक स्वतंत्र अमेरिकी-सरकारी प्राथमिक दस्तावेज़ है — पर केवल व्यापक औद्योगिक-पैमाने के डिस्टिलेशन पैटर्न के लिए, इस घटना या इस नामित आरोपण के लिए नहीं (§12)।
2. 16,000 का आँकड़ा प्रयासों का है, सफलताओं का नहीं। OpenAI का फ़ुटनोट 1, जिसे डिस्कवरी ने छोड़ दिया था: "These figures describe attempted, not necessarily successful, extractions." शीर्षक-आँकड़ों में "extraction" शब्द यह दावा नहीं है कि रीज़निंग सफलतापूर्वक निकाल ली गई।
3. पैमाना ऐसे कम आँका गया जो स्टोरी की अपनी चेतावनी के विपरीत जाता है। Anthropic और CISA जिन अभियानों का वर्णन कहीं और करते हैं, उनके मुक़ाबले 16,000 अनुरोध बहुत छोटा है (Moonshot पर आरोपित 3.4M तथा 23M+ आदान-प्रदान; छह कंपनियों में "billions of tokens")। इस घटना का समाचार-योग्य हिस्सा नई तकनीक है, मात्रा नहीं। डिस्कवरी की प्रस्तुति ने इसे अप्रत्यक्ष रूप से बढ़ा-चढ़ा कर पेश किया।
4. "28 जुलाई तक खाते प्रतिबंधित किए और गतिविधि बंद कर दी" सही है पर अधूरा। OpenAI ने एक विशिष्ट तकनीकी रास्ता भी बंद किया (किसी दूसरे उपयोगकर्ता की एन्क्रिप्टेड रीज़निंग को एक बातचीत से दूसरी में दोहराया जाना) तथा स्ट्रीमिंग-आउटपुट जाँचें जोड़ीं। यह रोकथाम अधिक टिकाऊ दस्तावेज़ी परिणाम है।

प्राप्ति नोट (ईमानदार रिकॉर्ड)

• https://www.bloomberg.com/news/articles/2026-09-30/openai-blames-moonshot-for-mass-data-extraction-on-its-ai-models ने स्वचालित प्राप्ति के लिए HTTP 403 लौटाया। हटाया गया, अनुमान नहीं लगाया गया। नीचे कहीं भी Bloomberg की सामग्री का उपयोग या वर्णन नहीं किया गया है।
• sources/S15.md में सूचीबद्ध हर दूसरा स्रोत इस पास में प्राप्त किया गया तथा पढ़ा गया।
• इस वातावरण में सामान्य वेब खोज उपलब्ध नहीं थी (प्रमाणीकरण विफलता, HTTP 401)। पुष्टि-सामग्री ज्ञात URL को सीधे प्राप्त करके तथा प्राप्त दस्तावेज़ों के भीतर उद्धरण-शृंखलाओं को खोजकर जुटाई गई। "क्या Moonshot ने कभी उत्तर दिया?" इसकी कितनी गहराई से जाँच हुई, इस पर यह एक वास्तविक सीमा है (§13)।

लेबल कुंजी

• FACT — किसी प्राप्त प्राथमिक दस्तावेज़ में कहा गया और/या नामित स्वतंत्र रिपोर्टिंग से पुष्ट।
• COMPANY CLAIM — OpenAI द्वारा दावा किया गया; परिणाम के रूप में स्वतंत्र रूप से सत्यापन-योग्य नहीं (पैमाना, "fully disrupted", प्रभाव)।
• INDEPENDENT EVIDENCE — किसी नामित तीसरे पक्ष द्वारा देखा गया या किसी अलग प्राप्य दस्तावेज़ में दर्ज।
• INDEPENDENTLY VERIFIED — किसी प्राथमिक दस्तावेज़ तथा कम से कम एक स्वतंत्र पक्ष से पुष्ट, या संबंधित पक्षों से स्वतंत्र किसी प्राप्य शोध-दस्तावेज़ से पुष्ट।
• EARLY RESEARCH — प्रयुक्त नहीं।
• RUMOR — प्रयुक्त नहीं।
• INTERPRETATION — विश्लेषण, रिकॉर्ड से अलग रखा गया।
• PREDICTION — भविष्योन्मुख, रिकॉर्ड से अलग रखा गया।

FACT — बदलाव हमले में हुआ, केवल समाचार में नहीं। इस अभियान से पहले, किसी फ्रंटियर मॉडल (Frontier Model) की नकल करने की कोशिश करने वाले विरोधी मुख्य रूप से दृश्य आउटपुट (Visible Output) — यानी उत्तर — बटोरने तक सीमित थे, जो स्वभाव से मॉडल का सार्वजनिक चेहरा होते हैं। इस अभियान ने संरक्षित रीज़निंग को निशाना बनाया: यानी मॉडल का वह आंतरिक रिकॉर्ड कि उसने किसी कार्य पर कैसे काम किया, जिसे प्रदाता जानबूझकर छिपाते हैं।

FACT — बदलाव स्थापत्य (Architectural) है, व्यवहारगत (Behavioural) नहीं। जिन शोधकर्ताओं को OpenAI ने श्रेय दिया, उनका पेपर "Stealing Reasoning Traces from Proprietary LLM APIs" (arXiv:2608.09867, 2026-08-10 को जमा) यह पहचानता है कि यह क्यों काम करता है। अग्रणी प्रदाता चरण-दर-चरण रीज़निंग छिपाते हैं और ट्रेस को एन्क्रिप्टेड टेक्स्ट के ब्लॉक के रूप में क्लाइंट को लौटा देते हैं, जिन्हें क्लाइंट हर अगले अनुरोध के साथ वापस भेजता है:

"इन ट्रेस को सर्वर-साइड संग्रहीत करने के बजाय, प्रदाता उन्हें एन्क्रिप्टेड टेक्स्ट के ब्लॉक के रूप में क्लाइंट को लौटाते हैं, और क्लाइंट उन्हें हर अगले अनुरोध के साथ वापस भेजता है। पूर्व शोध पर आगे बढ़ते हुए, हम एक स्थापत्य भेद्यता (Architectural Vulnerability) पहचानते हैं: ये एन्क्रिप्टेड ब्लॉक किसी प्रदाता के पारिस्थितिकी तंत्र (Ecosystem) के भीतर विभिन्न सत्रों (Sessions), उपयोगकर्ताओं तथा मॉडलों के बीच पूरी तरह संगत और अदला-बदली योग्य हैं।"

INDEPENDENTLY VERIFIED — शोषण (Exploit), शोधकर्ताओं के अपने शब्दों में:

"किसी दिए गए मॉडल से एक एन्क्रिप्टेड रीज़निंग ट्रेस लेकर उसे उसी प्रदाता के किसी कमज़ोर और कम सुरक्षित मॉडल में इंजेक्ट करके, हम उससे वह ट्रेस शब्दशः सादे टेक्स्ट में डिकोड करवा लेते हैं, अधिक सक्षम मॉडल को सीधे जेलब्रेक (Jailbreak) किए बिना।"

INTERPRETATION. यही इस स्टोरी की असली कहानी है। रीज़निंग ट्रेस पर लगा एन्क्रिप्शन सुरक्षा का काम कर रहा था, गोपनीयता का नहीं: यह मान लिया गया था कि वह सुरक्षित है क्योंकि सक्षम मॉडल को राज़ बताने से रोका जा सकता है। कमज़ोर-मॉडल ऑरेकल (Weak-model Oracle) उस मान्यता को पूरी तरह हटा देता है। मज़बूत मॉडल की सुरक्षा-व्यवस्था को बिना उस पर हमला किए बायपास कर दिया जाता है, इसलिए फ्रंटियर मॉडल के विरुद्ध सधाई गई हर गार्डरेल — इनकार (Refusals), क्लासिफ़ायर, फ़्लैगशिप एंडपॉइंट पर दर-सीमाएँ — ग़लत निशाने पर हैं। यह एक श्रेणी-भूल है, ट्यूनिंग की विफलता नहीं।

FACT — हमले के डिस्टिलेशन से आगे भी दुष्परिणाम थे। वही शोध चार अलग-अलग मार्ग दिखाता है, जिनमें से केवल पहला डिस्टिलेशन है:

1. डिस्टिलेशन-विरोधी तंत्रों को दरकिनार करना (जिसे Anthropic, OpenAI तथा Google पर प्रदर्शित किया गया)।
2. बड़े पैमाने पर निजी डेटा निष्कर्षण — "By decoding 315,320 reasoning blocks scraped from public repositories, we recovered 367 Personally Identifiable Information (PII) artifacts and 182 credentials." जो डेवलपर सार्वजनिक रूप से सत्र-लॉग साझा करते हैं, बिना यह जाने कि एन्क्रिप्टेड ब्लॉक में क्या है, वे अपने ही रिपॉज़िटरी में राज़ लीक कर रहे हैं।
3. ख़तरनाक जानकारी का प्रकटीकरण, "even in cases where the model's final, visible output safely rejects a malicious request" — उत्तर पर आँकी गई सुरक्षा यह नहीं देख पाती कि रीज़निंग के भीतर क्या हुआ।
4. अदृश्य प्रॉम्प्ट इंजेक्शन (Prompt Injection) — "embedding malicious payloads entirely within encrypted blocks to poison public agentic rollouts."

INTERPRETATION. मार्ग 2 के ठोस दुष्परिणाम होने की सबसे अधिक संभावना है, और उसका मॉडल-चोरी से कोई संबंध नहीं। जिसने भी पिछले एक साल में रीज़निंग-युक्त सत्र-ट्रेस किसी सार्वजनिक रिपॉज़िटरी में जमा किया है, उसे मान लेना चाहिए कि वह डिक्रिप्ट हो सकता है।

COMPANY CLAIM — OpenAI कहता है कि उसने इस पर क्या किया। धोखाधड़ी वाले खातों को प्रतिबंधित या सीमित किया; साइनअप तथा इंफ्रास्ट्रक्चर नियंत्रण कड़े किए; संबंधित नेटवर्कों की निगरानी बढ़ाई; "closed a pathway that allowed someone who already possessed another user's encrypted reasoning to replay it and recover its contents"; "added checks to detect and hold streamed output that might expose reasoning"; उन तीसरे-पक्ष प्रदाताओं के साथ काम किया जिनकी सेवाओं पर संबंधित गतिविधि थी; तथा Frontier Model Forum और सरकारी सूचना-साझाकरण चैनलों के ज़रिए निष्कर्ष साझा किए।

FACT — दायरा जानबूझकर बढ़ाया गया। OpenAI कहता है कि यह हेरफेर "is not a vulnerability unique to OpenAI's models" है और एक सामान्य जोखिम की ओर संकेत करता है: "Systems that support portable or replayable reasoning artifacts may face related risks." OpenAI ने यह भी कहा कि "Partner-hosted deployments need the same protections as first-party services."

पहले (2026 के मध्य तक)

• विरोधियों ने बड़े पैमाने के फ़र्ज़ी-खाता फ़ार्म (Fraudulent-account Farm), "transfer station" प्रॉक्सी, साझा प्रीमियम सदस्यताओं तथा मेटाडेटा-सैनिटाइज़्ड रूटिंग इंफ्रास्ट्रक्चर के ज़रिए दृश्य आउटपुट बटोरे।
• रीज़निंग को छिपाना काम करता हुआ माना गया। एन्क्रिप्शन ट्रेस की रक्षा करता था; यह भी माना गया कि सक्षम मॉडल के अपने इनकार भी उनकी रक्षा करते हैं।
• पैमाना ही शीर्षक-मापदंड था। Anthropic (2026-02-23) ने लगभग 24,000 फ़र्ज़ी खातों में फैले 16 मिलियन से अधिक आदान-प्रदान तीन लैब्स पर आरोपित किए, और Moonshot AI का नाम 3.4 मिलियन से अधिक आदान-प्रदान के साथ लिया। Google Cloud GTIG (2026-02-13) ने 100,000 से अधिक प्रॉम्प्ट वाले "Reasoning Trace Coercion" अभियान का दस्तावेज़ीकरण किया, जिसमें हमलावरों ने Gemini को निर्देश दिया कि "the language used in the thinking content must be strictly consistent with the main language of the user input."
• Anthropic ने अपने आरोपण का आधार प्रकाशित किया — "IP address correlation, request metadata, infrastructure indicators" — जिसमें यह भी शामिल था कि Moonshot की गतिविधि "matched the public profiles of senior Moonshot staff."
• CISA/NSA/FBI ने 2026-09-08 को AA26-251A प्रकाशित की, जिसमें DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun तथा Z.AI का नाम लिया गया और पहचान, मौन प्रत्युत्तर-अवनयन (Silent Response Degradation) तथा अंतर-संगठनात्मक ख़ुफ़िया साझाकरण की सिफ़ारिश की गई।

बदलाव (जुलाई 2026, 2026-09-30 को सार्वजनिक)

• लक्ष्य दृश्य आउटपुट से हटकर संरक्षित रीज़निंग पर आ गया — यानी मध्यवर्ती रिकॉर्ड, उत्तर नहीं।
• विधि मज़बूत मॉडल को मनाने से हटकर कमज़ोर सहोदर मॉडल को डिक्रिप्शन ऑरेकल की तरह इस्तेमाल करने पर आ गई, और इस तथ्य का फ़ायदा उठाया कि एन्क्रिप्टेड रीज़निंग ब्लॉक एक ही प्रदाता के पारिस्थितिकी तंत्र के भीतर सत्रों, उपयोगकर्ताओं तथा मॉडलों के बीच अदला-बदली योग्य हैं।
• सबसे मज़बूत मॉडल पर कभी हमला ही नहीं हुआ। उसकी सुरक्षा-व्यवस्थाएँ हमले के रास्ते के लिए अप्रासंगिक थीं।
• अभियान 1–28 जुलाई 2026 तक चला: 1 जुलाई से कम मात्रा, 24–25 जुलाई को उछाल (16,000 requests, >4,000 उपयोगकर्ता), >15,000 उपयोगकर्ताओं में संबंधित प्रॉम्प्ट-पैटर्न गतिविधि, 28 जुलाई तक बाधित।
• OpenAI ने इस विशिष्ट रीज़निंग-एक्सट्रैक्शन तकनीक पर पहली बार किसी प्रतिस्पर्धी का सार्वजनिक रूप से नाम लिया — और उसके लिए कोई साक्ष्य प्रकाशित नहीं किया।

बाद में (2026-09-30 से)

• OpenAI ने रीप्ले मार्ग बंद किया और स्ट्रीमिंग-आउटपुट पहचान/रोक तर्क जोड़ा, जिसे "across users, workspaces, organizations, and model families" तक बढ़ाया गया।
• निष्कर्ष Frontier Model Forum तथा सरकारी चैनलों के ज़रिए साझा किए गए — यानी प्रतिस्पर्धियों को अब तकनीक पता है, और उनके हमलावरों को भी।
• OpenAI ने सार्वजनिक रूप से पार्टनर-होस्टेड डिप्लॉयमेंट की समानता (Parity) का संकल्प लिया और संकेत दिया कि पोर्टेबल या रीप्ले-योग्य रीज़निंग आर्टिफ़ैक्ट व्यापक रूप से खुले हैं।
• संरचनात्मक अवशेष: "this work is not finished", क्योंकि टूल-आउटपुट हमलों के लिए अब भी "protections that examine more than ordinary visible text." जैसी सुरक्षा चाहिए।

INDEPENDENTLY VERIFIED (arXiv:2608.09867)। तंत्र, चरण-दर-चरण:

1. रीज़निंग स्वाभाविक रूप से प्रदाता से बाहर जाती है। ट्रेस को सर्वर-साइड भंडारण से बाहर रखने के लिए, प्रदाता उन्हें एन्क्रिप्टेड ब्लॉक के रूप में क्लाइंट तक भेजते हैं, और क्लाइंट उन्हें हर अगले अनुरोध पर लौटाता है। इसलिए क्लाइंट संरक्षित रीज़निंग को एक अपारदर्शी टोकन (Opaque Token) के रूप में रखता है।
2. ब्लॉक स्कोप-बद्ध (Scoped) नहीं हैं। एन्क्रिप्शन ट्रेस को प्रदाता से बाँधता है, सत्र, उपयोगकर्ता या मॉडल से नहीं। शोध का निष्कर्ष यह है कि ये ब्लॉक "fully compatible and interchangeable across different sessions, users, and models within a provider's ecosystem." हैं।
3. क्रॉस-मॉडल रीप्ले। किसी फ्रंटियर मॉडल द्वारा बनाया गया एन्क्रिप्टेड ट्रेस उसी प्रदाता के कमज़ोर, कम सुरक्षित मॉडल के साथ किसी बातचीत में जमा कर दिया जाता है।
4. कमज़ोर मॉडल उसे डिकोड कर देता है। कमज़ोर मॉडल उस बाहरी ट्रेस को शब्दशः सादे टेक्स्ट में लिख देता है। शोध स्पष्ट कहता है कि यह "without ever jailbreaking the more capable model directly." काम करता है।
5. पैमाना। चूँकि मूल इकाई "एक ब्लॉक पेस्ट करना" है, इसे समानांतर (Parallelise) करना बहुत आसान है — और इसी कारण ~16,000-अनुरोध वाला अभियान एक संचालन के रूप में तर्कसंगत बनता है।
6. कोई चाबी चोरी नहीं हुई। गोपनीयता कभी हमले का लक्ष्य थी ही नहीं। यह रीज़निंग-आर्टिफ़ैक्ट डिज़ाइन में प्राधिकरण (Authorisation) तथा स्कोप-बाइंडिंग की विफलता है, क्रिप्टोग्राफ़िक सेंध नहीं।

FACT — OpenAI की पुष्टि शोधकर्ताओं की तुलना में संकरी है। OpenAI कहता है कि उसने "a pathway that allowed someone who already possessed another user's encrypted reasoning to replay it and recover its contents." बंद किया। शब्दों पर ध्यान दें: OpenAI किसी दूसरे उपयोगकर्ता के पहले से रखे गए ट्रेस के रीप्ले को बंद करने की बात करता है। वह यह दावा नहीं करता कि उसने एन्क्रिप्टेड रीज़निंग ब्लॉक को सत्र, उपयोगकर्ता और मॉडल से बाँध दिया है। क्रॉस-मॉडल कमज़ोरी — जो शोधकर्ताओं का मूल दावा है — वह नहीं है जिसे OpenAI का उपचार-वाक्य ठीक करने का दावा करता है।

INTERPRETATION. शोधकर्ताओं के स्थापत्य निष्कर्ष और OpenAI के संकरे "pathway closed" दावे के बीच यह अंतर इस स्टोरी का सबसे महत्वपूर्ण अनसुलझा तकनीकी प्रश्न है (§13, §14)। यदि ब्लॉक किसी प्रदाता के भीतर मॉडलों के बीच अदला-बदली योग्य बने रहते हैं, तो कमज़ोर-मॉडल ऑरेकल अब भी खुला है और रोकथाम परिधि-नियंत्रण है, समाधान नहीं।

CONTEXT — वही वर्ग, पुराना। Anthropic, 2026-02-23: "In a later phase, Moonshot used a more targeted approach, attempting to extract and reconstruct Claude's reasoning traces." Google Cloud GTIG, 2026-02-13, Gemini की सोच-सामग्री को बाध्य करने पर। OpenAI का प्रकटीकरण पहला ऐसा है जो किसी लक्ष्य के बजाय किसी विशिष्ट तकनीक का नाम लेता है।

INTERPRETATION — मोट (Moat) का प्रश्न। किसी फ्रंटियर मॉडल के उत्तरों का डिस्टिलेशन उसका प्रदर्शन कॉपी करता है। उसके रीज़निंग ट्रेस का डिस्टिलेशन उसकी विधि कॉपी करता है — उस स्कैफ़ोल्डिंग (Scaffolding) सहित जिसके कारण रीज़निंग मॉडल काम करते हैं। OpenAI दाँव स्पष्ट करता है: "Extracted reasoning could be used to train another model without preserving the safeguards applied to the original model's user-facing outputs," तथा "at scale, distillation can also accelerate the transfer of advanced capabilities without requiring the same investment in safety."

INTERPRETATION — वह उन्नयन (Escalation) जिसका नाम स्वयं OpenAI लेता है। गार्डरेल्स उपयोगकर्ता-सम्मुख आउटपुट पर लागू होते हैं। निकाली गई रीज़निंग अगले मॉडल को प्रशिक्षित करने का इनपुट है, और वह मॉडल सुरक्षा-व्यवस्थाएँ कभी विरासत में नहीं पाता, क्योंकि वे आउटपुट-फ़िल्टरिंग के रूप में लगाई जाती हैं, प्रशिक्षण-योग्य व्यवहार के रूप में अंतर्निहित नहीं की जातीं। यह "भारों में सुरक्षा" (Safety-in-weight) का तर्क है, "फ़िल्टर में सुरक्षा" (Safety-in-filter) का नहीं।

FACT — भू-राजनीतिक परत वास्तविक है, पर नई नहीं। CNSA/CISA/NSA-स्तर के दस्तावेज़ पहले ही इसे राष्ट्रीय-सुरक्षा के इंफ्रास्ट्रक्चर-चोरी के रूप में चित्रित कर चुके हैं। CISA: ये अभियान "form the core—not merely a supplement—of their AI development strategy", और ऐसा करने वाली कंपनियाँ "see significantly shorter AI development timelines and reduced financial expenditures in training a frontier model." जो नया है वह यह है कि एक अमेरिकी फ्रंटियर लैब ने सार्वजनिक रूप से एक नामित चीनी प्रतिस्पर्धी पर, कंपनी के नाम से, रीज़निंग-एक्सट्रैक्शन अभियान का आरोप लगाया।

INTERPRETATION — जो वास्तव में नया है, और वह आरोप नहीं है। तीन लैब्स अब तक Moonshot पर डिस्टिलेशन का आरोप लगा चुकी हैं। किसी प्रतिस्पर्धी का नाम लेना सबसे कम नया हिस्सा है। नया हिस्सा उस हमले का तकनीकी प्रकटीकरण है जो संरक्षित मॉडल को छुए बिना रीज़निंग-छिपाव को हरा देता है — और वह प्रकटीकरण, उसी दस्तावेज़ में, पूरे उद्योग को सौंप दिया जा रहा है, हमलावरों सहित।

INTERPRETATION — प्रकटीकरण की दुविधा। OpenAI कहता है कि उसने रोकथाम लागू करने तथा शोधकर्ताओं और साझेदारों से परामर्श करने के बाद प्रकाशन किया। पर उसने एक चालू विधि भी प्रकाशित कर दी। हर दूसरी फ्रंटियर लैब के पास अब यह नुस्ख़ा है, और इस स्टोरी को पढ़ने वाले किसी के भी पास। OpenAI की अपनी प्रस्तुति इस सौदे को स्वीकार करती है: "We believe sharing what we have learned now will help the broader ecosystem strengthen its defenses." यह एक वास्तविक तर्क है। यह उसी पक्ष का तर्क भी है जिसे "अपनी सेंधें प्रकाशित करो" के परिणामी सामान्यीकरण से सबसे अधिक लाभ होता है।

COMPANY CLAIM, जो अब क्षमता के रूप में INDEPENDENTLY VERIFIED है। इस प्रकटीकरण से पहले, रीज़निंग निकालने का अर्थ था किसी सक्षम मॉडल को तब तक प्रॉम्प्ट करना जब तक वह अपनी सोच ख़ुद सुनाने न लगे, और इनकारों से लड़ना पड़ता था। वह बाधा अब डिज़ाइन के स्तर पर बायपास-योग्य प्रलेखित है। क्या संभव हो गया:

• फ्रंटियर मॉडल पर हमला किए बिना, बड़े पैमाने पर रीज़निंग-ट्रेस निष्कर्षण। फ़्लैगशिप का कोई जेलब्रेक ज़रूरी नहीं।
• उन प्रदाताओं से रीज़निंग-ट्रेस बटोरना जो रीज़निंग नहीं सुनाते, उसी प्रदाता के कमज़ोर मॉडल से एक डिक्रिप्शन ऑरेकल उधार लेकर।
• निष्क्रिय राज़-लीक (Passive Secret Leakage) उन सबके लिए जिन्होंने रीज़निंग-युक्त सत्र-ट्रेस सार्वजनिक रिपॉज़िटरी में जमा किए हैं। शोधकर्ताओं द्वारा मात्रात्मक रूप से: 315,320 ब्लॉक → 367 PII आर्टिफ़ैक्ट तथा 182 क्रेडेंशियल।
• आउटपुट-निरीक्षण से सुरक्षा-आकलन अपर्याप्त है, जहाँ ख़तरनाक सामग्री उस रीज़निंग में मौजूद है जिसे आउटपुट फ़िल्टर ने कभी देखा ही नहीं।
• अदृश्य प्रॉम्प्ट इंजेक्शन — एन्क्रिप्टेड ब्लॉक के भीतर ले जाए गए पेलोड के ज़रिए, जो साझा एजेंटिक रोलआउट (Agentic Rollout) को निशाना बनाते हैं।
• क्रॉस-प्रोवाइडर लागू होना। Anthropic, OpenAI तथा Google पर प्रदर्शित।

INTERPRETATION — रक्षकों के लिए व्यावहारिक खुलाव सुरक्षा नहीं, पहचान-सतह है। CISA की एडवाइज़री इसे एंटरप्राइज़ कार्रवाई में बदल देती है, और उसकी दूसरी सिफ़ारिश ही विवादास्पद होगी:

"Deploy targeted response changes: Subtly alter responses for suspected malicious distillation attempts to attenuate the payoffs to companies conducting industrial-scale distillation campaigns."

जिसमें यह भी शामिल है: "Reducing reasoning depth, presenting correct information with different reasoning, or stylistic inconsistencies may evade detection while reducing training usefulness" — और सबसे महत्वपूर्ण, "Avoid informing China-based AI company users suspected of distillation campaigns of a switch to a downgraded model." एक अमेरिकी सरकारी एजेंसी ने आधिकारिक रूप से संदिग्ध विरोधियों को मौन रूप से घटिया उत्तर देने की सिफ़ारिश की है। यह एक बड़ा सामान्यीकरण है, और यह मॉडल-पारदर्शिता (Model Transparency) प्रतिबद्धताओं के साथ असहज ढंग से टकराता है।

FACT — दोष का वर्ग। रीज़निंग-आर्टिफ़ैक्ट की गोपनीयता स्कोप-बाइंडिंग की कमी से विफल हुई, कमज़ोर क्रिप्टोग्राफ़ी से नहीं। रोकथाम का लक्ष्य "अधिक मज़बूत एन्क्रिप्शन" नहीं है; लक्ष्य है किसी ट्रेस को क्रिप्टोग्राफ़िक रूप से उसके सत्र, उपयोगकर्ता और मॉडल से बाँधना, और प्राप्त करने वाले मॉडल से यह सत्यापित करवाना कि वह बंधन मौजूद है, बजाय इसके कि वह जो भी सौंपा जाए उसे लिख दे।

FACT — OpenAI क्या बदलने का दावा करता है। क्रॉस-कन्वर्सेशन रीप्ले मार्ग बंद किया; स्ट्रीम किए गए आउटपुट को पहचानने और रोकने की जाँचें जोड़ीं जो रीज़निंग उजागर कर सकता है; "across users, workspaces, organizations, and model families" सुरक्षा मज़बूत की; खाता-प्रवर्तन तथा विस्तारित नेटवर्क निगरानी; तीसरे-पक्ष प्रदाता समन्वय।

INTERPRETATION — रोकथामें दो स्तरों में बँटती हैं, और केवल एक स्थापत्य है।

• स्थापत्य (टिकाऊ): किसी दूसरे उपयोगकर्ता की पहले से रखी गई रीज़निंग के रीप्ले को बंद करना।
• परिधि (बचाव-केंद्रित): खाता-प्रतिबंध, साइनअप सख़्ती, स्ट्रीमिंग पहचान तथा रोक, निगरानी विस्तार, क्लासिफ़ायर कवरेज, इनकार।

परिधि के उपाय मूल इकाई नहीं बदलते। वे उसकी लागत बढ़ाते हैं। प्रलेखित अर्थशास्त्र को देखते हुए — साझा प्रीमियम सदस्यताएँ, ट्रांसफ़र स्टेशन, हाइड्रा-क्लस्टर प्रॉक्सी नेटवर्क (Anthropic: "more than 20,000 fraudulent accounts simultaneously") — लागत बढ़ाना एक ट्रेडमिल है, समाधान नहीं।

INTERPRETATION — अनसुलझा अंतर। OpenAI का उपचार-वाक्य अधिकार-और-रीप्ले को संबोधित करता है। शोधकर्ताओं का केंद्रीय स्थापत्य दावा क्रॉस-मॉडल अदला-बदली है। जो प्रदाता रीप्ले ठीक करता है पर क्रॉस-मॉडल स्कोपिंग नहीं, उसने वह दरवाज़ा बंद किया है जिससे अभियान आया और खिड़की खुली छोड़ दी है। किसी भी प्राप्त स्रोत में यह पुष्ट नहीं होता कि क्रॉस-मॉडल स्कोप बाइंडिंग लागू की गई। इसे किसी भी दिशा में मान नहीं लेना चाहिए।

FACT — CISA जिस सुरक्षा की सिफ़ारिश करता है, वही सबसे कठिन होगी। "Multi-source correlated activity enables more confident attribution of malicious distillation campaigns, justifying response degradation with lower-to-no legitimate user risk." आरोपण का विश्वास-स्तर सेवा घटाने की पूर्व-शर्त बन जाता है। चक्रीयता पर ध्यान दें: 2026-09-30 को OpenAI ने बिना किसी सहायक साक्ष्य के एक आरोपण प्रकाशित किया और "security reasons" कहकर विस्तार देने से इनकार किया। वही मानक OpenAI पर लगाया जाए, तो उसके उत्तर घटाने का कोई औचित्य नहीं बनता।

FACT — प्रकटीकरण जो मानक परोक्ष रूप से तय करता है। OpenAI कहता है कि यह तकनीक "is not a vulnerability unique to OpenAI's models" है और चेताता है कि "Systems that support portable or replayable reasoning artifacts may face related risks." जो भी प्रदाता पोर्टेबल रीज़निंग आर्टिफ़ैक्ट जारी करता है, उसे मान लेना चाहिए कि यह उस पर लागू होता है।

FACT — कार्रवाई 1: अपनी रिपॉज़िटरी का ऑडिट करें। शोधकर्ताओं ने सार्वजनिक रिपॉज़िटरी से एकत्र 315,320 एन्क्रिप्टेड रीज़निंग ब्लॉक में से 367 PII आर्टिफ़ैक्ट तथा 182 क्रेडेंशियल निकाले। यदि आपने कभी कोई ऐसा एजेंट या रीज़निंग-मॉडल सत्र-ट्रेस जमा किया है जिसमें एन्क्रिप्टेड रीज़निंग ब्लॉक थे, तो मान लें कि वे पुनःप्राप्य हैं। जो कुछ भी उनके ज़रिए गुज़रा, उसे रोटेट करें। इतिहास साफ़ करें, केवल मौजूदा ट्री नहीं।

FACT — कार्रवाई 2: रीज़निंग-युक्त सत्र-लॉग को राज़ मानें। मार्ग 2 में मूल कारण यह है कि डेवलपर नहीं जानते कि सत्र-लॉग में एन्क्रिप्टेड सामग्री है, इसलिए वे उन्हें खुलकर साझा करते हैं। कोई भी टेलीमेट्री पाइपलाइन, डीबगिंग आर्टिफ़ैक्ट या सहायता बंडल जो रीज़निंग ब्लॉक ले जाता है, यह जोखिम विरासत में पाता है।

FACT — कार्रवाई 3: अपने ही स्टैक के एन्क्रिप्टेड रीज़निंग ब्लॉब पर कभी भरोसा न करें। यदि आपका एप्लिकेशन प्रदाता के रीज़निंग आर्टिफ़ैक्ट को सत्रों, उपयोगकर्ताओं या मॉडल-स्तरों के पार रीप्ले करता, संग्रहीत करता या अग्रेषित करता है, तो आपने वही भेद्यता फिर से बना ली है। समाधान यह है कि हर ब्लॉक को उसके मूल सत्र, उपयोगकर्ता और मॉडल से बाँधा जाए।

FACT — कार्रवाई 4: एजेंटिक पाइपलाइनों में छिपे पेलोड फिर से जाँचें। शोधकर्ता अदृश्य प्रॉम्प्ट इंजेक्शन प्रदर्शित करते हैं "by embedding malicious payloads entirely within encrypted blocks to poison public agentic rollouts." यदि आपके एजेंट अविश्वसनीय स्रोतों से रीज़निंग आर्टिफ़ैक्ट या साझा रोलआउट डेटा लेते हैं, तो उस डेटा में ऐसे निर्देश हो सकते हैं जिन्हें आपका एजेंट निष्पादित करेगा और आपका उपयोगकर्ता कभी देखेगा नहीं।

INTERPRETATION — कार्रवाई 5: यह अपेक्षा न रखें कि आपका मॉडल प्रदाता एक स्थिर अनुबंध है। OpenAI कहता है कि वह "continuing to improve tool defenses, classifier coverage, model refusals" कर रहा है और कहता है कि "this work is not finished." एक फ्रंटियर प्रदाता चुपचाप बदल सकता है कि वह कौन-सी रीज़निंग जारी करता है, स्ट्रीमिंग रोक जोड़ सकता है, या संदिग्ध-डिस्टिलेशन वाले उत्तर घटा सकता है — आपको बताए बिना। ऐसे प्रदाता-व्यवहार के लिए आर्किटेक्चर बनाएँ जो बिना सूचना के बदल सकता है।

INTERPRETATION — क्या नहीं बदला। 2026-09-30 को कोई एपीआई (API) सतह, स्कीमा, SDK या मूल्य-निर्धारण नहीं बदला। कोई माइग्रेशन करना नहीं है। यह एक सुरक्षा-सख़्ती की स्टोरी है, टूटते बदलाव की नहीं।

FACT — CISA/NSA/FBI एडवाइज़री (AA26-251A, 2026-09-08) ही कार्रवाई-योग्य दस्तावेज़ है। यह OpenAI के प्रकटीकरण से पहले की है और इस अभियान का उल्लेख नहीं करती — पर यह एक वास्तविक, संयुक्त रूप से मुहरबंद अमेरिकी-सरकारी प्राथमिक दस्तावेज़ है जिसमें औद्योगिक-पैमाने का डिस्टिलेशन करने वाली छह कंपनियों में Moonshot AI का नाम लिया गया है, और यह एंटरप्राइज़ के लिए तैयार रक्षात्मक उपाय निर्धारित करती है। इसे सीधे पढ़ें; किसी सरकारी एडवाइज़री के लिए यह असामान्य रूप से ठोस है।

FACT — तीन सुझाए गए कदम, शब्दशः आशय।

1. व्यापक पहचान तथा रोकथाम लागू करें — "Detect anomalous and malicious prompts, accounts, networks, and behaviors. Additionally, monitor subscription-to-usage ratios, immediate maximum usage from new accounts, and enterprise-scale throughput patterns."
2. लक्षित प्रत्युत्तर-परिवर्तन लागू करें — "Subtly alter responses for suspected malicious distillation attempts to attenuate the payoffs."
3. अंतर-संगठनात्मक ख़ुफ़िया साझाकरण स्थापित करें — "Correlate activity across model providers, cloud platforms, and API aggregators to reveal distributed campaigns."

FACT — CISA द्वारा प्रकाशित विशिष्ट पहचान-संकेतक। कई IP/यूज़र-एजेंट से साझा खाते; मानवीय विविधता या निष्क्रिय अवधि के बिना 24/7 लगातार उपयोग; सदस्यता-से-एपीआई उपयोग का असामान्य अनुपात; नई सदस्यताएँ तुरंत अधिकतम उपयोग पर; मार्गों के पार सहसंबद्ध समय; "sudden behavioral changes following disclosures/sharing, especially abrupt disappearance of previously consistent metadata"; कार्य-विविधता के बजाय कैश-अधिकतमीकरण के लिए अनुकूलित उपयोग; मूल्य/दर बदलावों पर समन्वित मार्ग-परिवर्तन।

INTERPRETATION — यह स्टोरी एंटरप्राइज़ से कुछ ख़रीदने को नहीं कहती। एडवाइज़री की अपनी प्रस्तुति यह है कि जोखिम "is concentrated among model developers and service providers." है। एआई ख़रीदने वाले सामान्य एंटरप्राइज़ के लिए जोखिम यह नहीं कि उससे डिस्टिल किया जा रहा है; जोखिम यह है कि (a) कोड में जमा रीज़निंग-युक्त सत्र-ट्रेस के ज़रिए राज़ लीक हों, (b) एजेंट ज़हरीले रीज़निंग आर्टिफ़ैक्ट निगल लें, और (c) ख़रीद-पूर्व जाँच (Procurement Diligence) — आप ऐसे बाज़ार में विक्रेताओं में से चुन रहे हैं जहाँ कम से कम एक विक्रेता सार्वजनिक रूप से एक नामित प्रतिस्पर्धी पर औद्योगिक-पैमाने की चोरी का आरोप लगाता है।

INTERPRETATION — ख़रीद का सवाल ही असली एंटरप्राइज़ सवाल है। यदि OpenAI का आरोपण असिद्ध है, और Anthropic तथा CISA स्वतंत्र रूप से उसी कंपनी पर वही पैटर्न आरोपित करते हैं, तो पैटर्न अच्छी तरह पुष्ट है, भले ही इस घटना का आरोपण न हो। ख़रीदार के लिए टिकाऊ स्थिति यह है: Moonshot AI पर डिस्टिलेशन के आरोप को पैटर्न में पुष्ट, इस विशिष्ट प्रकरण में अपुष्ट, और आशय (Intent) के विषय में अनसुलझा मानें — और इसे तथ्य के रूप में ज़ाहिर किए बिना विक्रेता-जोखिम आकलन में शामिल करें।

FACT — अनुपालन (Compliance) का पहलू। Anthropic, 2026-09, आदान-प्रदानों के बारे में: "included sensitive information, including from individual users, major multinational companies, and state-affiliated actors... These practices are likely inconsistent with privacy laws and the labs' own terms of service." CNBC द्वारा कवर किया गया Anthropic का एक पुराना निष्कर्ष: Moonshot ने एक 10-दिन की अवधि में 5,380 फ़र्ज़ी खातों के ज़रिए लगभग 300,000 ग्राहक अनुरोध Claude तक पहुँचाए, और Anthropic "did not know whether Moonshot had notified customers that their requests were being sent to Anthropic." जिन कंपनियों का डेटा किसी प्रतिस्पर्धी के प्रॉक्सी से गुज़रा, उनके सामने प्रकटीकरण-दायित्वों का जीवंत प्रश्न है।

INTERPRETATION — फ्रंटियर मोट सार्वजनिक रूप से फिर से परिभाषित हो रहा है। तीन लैब्स तथा तीन-एजेंसी वाली अमेरिकी सरकारी एडवाइज़री अब एक ही बात पर सहमत हैं कि रीज़निंग ट्रेस रणनीतिक परिसंपत्ति हैं और रीज़निंग-छिपाव ही नियंत्रण है। OpenAI का प्रकटीकरण दूसरे बिंदु को प्रभावी रूप से स्वीकार कर लेता है: एन्क्रिप्टेड-और-सारांशित ट्रेस के ज़रिए छिपाव एक प्रस्तुति-नियंत्रण (Presentation Control) था, और उसे एक स्थापत्य भूल ने तोड़ दिया है।

INTERPRETATION — उद्योग रक्षा की तुलना में प्लेबुक पर तेज़ी से एकजुट हुआ है। प्रकटीकरण की लय की तुलना करें: Google Cloud GTIG ने रीज़निंग-ट्रेस बाध्यता फ़रवरी 2026 में प्रकाशित की; Anthropic ने फ़रवरी 2026 में अपने साक्ष्य के साथ आरोपण प्रकाशित किया; CISA ने बहु-कंपनी पैटर्न 2026-09-08 को प्रकाशित किया; OpenAI ने तकनीक 2026-09-30 को प्रकाशित की। आक्रामकता (Offence) पैमाना बढ़ा रही है और समन्वय कर रही है। रक्षक Frontier Model Forum के ज़रिए समन्वय कर रहे हैं — पर अभी तक साझा, वास्तविक-समय प्रवर्तन जैसा कुछ नहीं है।

INTERPRETATION — आरोपण एक नीति-उपकरण बनता जा रहा है, और यही समस्या है। OpenAI ने Moonshot का नाम सार्वजनिक रूप से बिना किसी सहायक साक्ष्य के लिया और "security reasons" कहकर विस्तार देने से इनकार किया। CISA आरोपण के विश्वास-स्तर के आधार पर उत्तर घटाने की सिफ़ारिश करता है। Anthropic ने अपने साक्ष्य प्रकाशित किए, जो वह मानक तय करते हैं जिस पर OpenAI खरा नहीं उतरा। यदि नामित आरोपण नियमित हो जाए, तो उसे किसी भी प्रतिस्पर्धी के विरुद्ध हथियार बनाना सस्ता हो जाता है — भविष्य में किसी अमेरिकी लैब के विरुद्ध भी। इस स्टोरी को जिस अनुशासन की सबसे अधिक ज़रूरत है वह साक्ष्य-संबंधी है, राजनीतिक नहीं।

INTERPRETATION — अमेरिका-चीन आयाम वास्तविक है, पर उसे अधिक नहीं पढ़ना चाहिए। CISA दावा करता है कि ये अभियान "Likely with the knowledge of the Chinese government." होते हैं। यह एक एजेंसी का दावा है, स्वतंत्र रूप से सत्यापित निष्कर्ष नहीं, और इसे उसी रूप में लेबल किया जाना चाहिए। इस स्टोरी का अपना साक्ष्य-मानक कमज़ोर है; अंतर्निहित पैटर्न अलग से अच्छी तरह पुष्ट है; सरकार-को-जानकारी-थी वाला दावा प्राप्त किसी भी सामग्री में न पुष्ट है न विवादित।

INTERPRETATION — रणनीतिक असममिति। जिसके पास जल्दी अच्छे रीज़निंग ट्रेस हों, उसे चक्रवृद्धि लाभ मिलता है, क्योंकि ट्रेस अगले मॉडल को प्रशिक्षित करते हैं और अगला मॉडल बेहतर ट्रेस बनाता है। यह वास्तव में सकारात्मक-प्रतिक्रिया की प्रतिस्पर्धा है, और इसमें वही पक्ष जो पहले से आगे है (ट्रेस वाली फ्रंटियर लैब) उसके पास अपनी स्थिति सुरक्षित करने के बाद रक्षा-उपाय प्रकाशित करने की सबसे मज़बूत प्रेरणा भी है।

FACT — RISK 1: सार्वजनिक रिपॉज़िटरी से राज़-लीक। सबसे अधिक संभावना, ठोस नुक़सान। 315,320 ब्लॉक → 367 PII आर्टिफ़ैक्ट, 182 क्रेडेंशियल। किसी भी आरोपण-विवाद से पूरी तरह स्वतंत्र। जिसने भी रीज़निंग-युक्त ट्रेस जमा किए, उसने क्रेडेंशियल लीक किए होंगे, और शायद अब भी लीक कर रहा है।

FACT — RISK 2: क्रॉस-मॉडल ऑरेकल अब भी खुला हो सकता है। OpenAI का बताया गया समाधान किसी दूसरे उपयोगकर्ता की पहले से रखी गई रीज़निंग के रीप्ले को संबोधित करता है। शोधकर्ताओं का स्थापत्य दावा क्रॉस-मॉडल अदला-बदली है। हर प्राप्त स्रोत में अनसुलझा।

INTERPRETATION — RISK 3: परिधि-आधारित उपचार एक ट्रेडमिल है। खाता-प्रतिबंध तथा निगरानी उस संचालन के विरुद्ध लागत बढ़ाते हैं जो पहले से थोक सदस्यता-ख़रीद और 20,000-खाता हाइड्रा क्लस्टरों के इर्द-गिर्द बना है। मूल इकाई अपरिवर्तित है।

INTERPRETATION — RISK 4: हमलावर का अनुकूलन लगभग निश्चित है और स्वीकार किया गया है। OpenAI: "We expect adversarial distillation attempts to become more sophisticated as frontier models improve and as actors look for cheaper ways to mimic their capabilities." GTIG ने दर्ज किया कि MiniMax ने किसी नए Claude मॉडल पर ट्रैफ़िक जारी होने के 24 घंटे के भीतर पलट दिया। तेज़ पुनर्निर्माण (Re-tooling) की अपेक्षा रखें।

INTERPRETATION — RISK 5: आपके ही विक्रेता द्वारा गुप्त रूप से उत्तर घटाना। CISA सक्रिय रूप से सिफ़ारिश करता है कि संदिग्ध डिस्टिलरों को बताए बिना मौन रूप से उनके उत्तर घटाए जाएँ। यदि आपका ट्रैफ़िक-प्रोफ़ाइल प्रकाशित पहचान-संकेतकों जैसा दिखता है, तो आधिकारिक अमेरिकी सरकारी मार्गदर्शन के अनुसार आपका प्रदाता चुपचाप रीज़निंग की गहराई घटा सकता है या बिना सूचना के आउटपुट बदल सकता है। यह आपके उत्पादन वर्कलोड के लिए वास्तविक जोखिम है और इस पर कम चर्चा होती है।

INTERPRETATION — RISK 6: फ़िल्टर-में-सुरक्षा एक्सट्रैक्शन के बाद टिकती नहीं। रीज़निंग-ट्रेस निष्कर्षण ऐसा मॉडल बनाता है जो बिना सुरक्षा-परत वाली मध्यवर्ती सामग्री पर प्रशिक्षित है। OpenAI: निकाली गई रीज़निंग "could be used to train another model without preserving the safeguards applied to the original model's user-facing outputs." क्षमता और सुरक्षा के अलग हो जाने का यह जोखिम किसी भी एक अभियान से अधिक लंबा जीवन रखता है।

INTERPRETATION — RISK 7: प्रतिष्ठा तथा क़ानूनी। OpenAI ने किसी विशिष्ट कंपनी के नामित कुकृत्य का बिना-सहायता आरोप रिकॉर्ड पर, दुनिया भर में प्रकाशित किया और साक्ष्य देने से इनकार किया। Moonshot AI के उत्तर न देने से आरोप औपचारिक रूप से अनुत्तरित रह जाता है। औद्योगिक-पैमाने की चोरी का ग़लत सार्वजनिक आरोप स्वयं एक भारी कॉर्पोरेट कृत्य है।

FACT — RISK 8: पार्टनर-होस्टेड डिप्लॉयमेंट पीछे हैं। OpenAI: "Partner-hosted deployments need the same protections as first-party services" तथा "this work is not finished." जो कोई किसी क्लाउड प्रदाता या एग्रीगेटर के ज़रिए मॉडल चलाता है, उसे आज समतुल्य सुरक्षा न मिले।

FACT — 1. आरोपण के पास कोई प्रकाशित साक्ष्य नहीं है। OpenAI ने कोई तकनीकी साक्ष्य या तर्क प्रकाशित नहीं किया; उसने "security reasons" कहकर विस्तार देने से इनकार किया; दो माध्यमों ने प्रकाशन के दिन ही इसे स्वतंत्र रूप से नोट किया। यह दावा कि एक मुख्य क्लस्टर Moonshot AI से जुड़े व्यक्तियों द्वारा चलाया गया था, COMPANY CLAIM है और इस शोध में कुछ भी उसे उन्नत नहीं करता।

FACT — 2. Moonshot AI ने उत्तर नहीं दिया। प्राप्त किसी भी स्रोत में Moonshot AI की ओर से कोई वक्तव्य, खंडन या टिप्पणी नहीं दिखती। CNBC तथा CyberScoop दोनों ने संपर्क दर्ज किया, उत्तर नहीं मिला। उत्तर का अभाव खंडन नहीं है, और खंडन स्वयं प्रमाण भी नहीं होता। पर इस समय आरोपण के पास न पुष्टि है न खंडन।

FACT — 3. CISA की एडवाइज़री इस स्टोरी की पुष्टि नहीं कर सकती। AA26-251A की तारीख़ 2026-09-08 है, जो OpenAI के प्रकटीकरण से बाईस दिन पहले है। यह इस अभियान या इस आरोपण की पुष्टि नहीं कर सकती। यह स्वतंत्र रूप से केवल इस बात की पुष्टि करती है कि Moonshot AI ने कम से कम 2025 के मध्य से अमेरिकी मॉडलों का बड़े पैमाने पर डिस्टिलेशन किया है — यह व्यापक दावा है, जिस पर उसके लेखक एजेंसियाँ और Anthropic सहमत हैं। इस स्टोरी के लिए सबसे आम ग़लत-पठन यही है और वह ग़लत है।

FACT — 4. OpenAI स्वयं अभियान की एकजुटता पर संदेह रखता है। "It is unclear whether all operators we observed during the relevant time period originated from a single actor." 16,000-अनुरोध वाला उछाल, उसमें शामिल >4,000 उपयोगकर्ता, तथा >15,000-उपयोगकर्ता क्लस्टर — ये OpenAI की जाँच से जुड़े हैं, एक ही संचालन के रूप में स्थापित नहीं।

FACT — 5. सफलता का दावा स्पष्ट रूप से नहीं किया गया। OpenAI का फ़ुटनोट 1: "These figures describe attempted, not necessarily successful, extractions." कोई निष्कर्षण-उपज (Extraction Yield) प्रकट नहीं की गई। कोई नहीं जानता कि कितनी उपयोगी रीज़निंग, अगर कोई हुई, प्लेटफ़ॉर्म से बाहर गई।

FACT — 6. "28 जुलाई तक पूरी तरह बाधित" एक विक्रेता का दावा है। कोई स्वतंत्र पक्ष OpenAI के प्रवर्तन को नहीं देख सकता। और बाधित करना ≠ समाप्त करना: तकनीक प्रकाशित है और खाते तुच्छ रूप से बदले जा सकते हैं।

FACT — 7. मात्रा छोटी है और डिस्कवरी ने उसे बढ़ा-चढ़ा कर पेश किया। 16,000 अनुरोध उन 3.4M आदान-प्रदानों का लगभग 0.5% है जो Anthropic ने Moonshot पर आरोपित किए, और CISA के "billions of tokens across millions of exchanges" से कई कोटि नीचे। इस अभियान का महत्व तकनीक है, थ्रूपुट नहीं।

FACT — 8. खोज का दायरा अधूरा था। इस वातावरण में सामान्य वेब खोज उपलब्ध नहीं थी (HTTP 401); एक ज्ञात स्रोत (Bloomberg) ने 403 लौटाया। पुष्टि ज्ञात URL की सीधी प्राप्ति तथा प्राप्त दस्तावेज़ों के भीतर उद्धरण-पीछा (Citation-chasing) पर टिकी है। इस पास के बाद प्रकाशित बाद के खंडन, Moonshot के वक्तव्य, या नियामक प्रतिक्रियाएँ नहीं मिल पातीं।

FACT — 9. पूर्व आरोप इस घटना के साक्ष्य नहीं हैं। Anthropic (2026-02) तथा CISA (2026-09-08) दोनों Moonshot पर डिस्टिलेशन का आरोप लगाते हैं। जिस अभियुक्त ने पहले X किया हो, उसके Y दोबारा करने की संभावना अधिक है; यह आधार-दर (Base-rate) तर्क है, इस घटना का प्रमाण नहीं।

1. क्या Moonshot AI उत्तर देगा, खंडन करेगा, या मुक़दमा करेगा? किसी नामित कंपनी पर औद्योगिक-पैमाने की चोरी का अनुत्तरित सार्वजनिक आरोप असामान्य है और अनिश्चित काल तक मौन में ख़त्म होने की संभावना कम है।
2. क्या OpenAI ने एन्क्रिप्टेड रीज़निंग ब्लॉक को क्रिप्टोग्राफ़िक रूप से सत्र, उपयोगकर्ता तथा मॉडल से बाँधा — या केवल रीप्ले मार्ग बंद किया? यही वह प्रश्न है जो तय करता है कि शोधकर्ताओं का हमला अब भी काम करता है या नहीं। प्राप्त हर स्रोत में अनुत्तरित। (§5, §8)
3. निष्कर्षण-उपज क्या है? प्रयास-बनाम-सफलता स्वीकार की गई है; सफल अंश प्रकट नहीं किया गया।
4. 16,000 अनुरोध क्यों? या तो यह क्षमता की परख थी, या पैमाना बढ़ने से पहले बाधित प्रारंभिक-चरण का संचालन, या एक छोटा संचालन। OpenAI कोई व्याख्या नहीं देता।
5. क्या जुलाई का अभियान वास्तव में वही तकनीक इस्तेमाल कर रहा था जिसे शोधकर्ता उसी समय प्रकट कर रहे थे? अभियान 1 जुलाई को शुरू हुआ; पेपर 10 अगस्त को जमा हुआ; OpenAI ज़िम्मेदार प्रकटीकरण का श्रेय देता है पर तारीख़ें नहीं। प्राथमिकता (Priority) वास्तव में स्पष्ट नहीं है और प्राप्त किसी भी सामग्री से स्थापित नहीं होती।
6. OpenAI Anthropic के प्रकटीकरण-मानक पर क्यों खरा नहीं उतरा? Anthropic ने IP सहसंबंध, अनुरोध मेटाडेटा, इंफ्रास्ट्रक्चर संकेतक तथा नामित-प्रोफ़ाइल मिलान प्रकाशित किए। OpenAI ने कुछ प्रकाशित नहीं किया और सुरक्षा कारण बताए।
7. क्या किसी फ्रंटियर लैब ने रीज़निंग ब्लॉक को मॉडल-पहचान से बाँधा है? यदि नहीं, तो कमज़ोर-मॉडल ऑरेकल पूरे उद्योग में है और जीवित है।
8. 182 क्रेडेंशियल तथा 367 PII आर्टिफ़ैक्ट के साथ क्या हुआ? प्रकट किए गए, सूचित किए गए, रोटेट किए गए, चुपचाप पैच किए गए?
9. क्या प्रदाता वास्तव में CISA के मौन अवनयन को लागू करेंगे? और किस साक्ष्य-मानक पर, जबकि इसी हफ़्ते OpenAI का अपना आरोपण किसी पर भी खरा नहीं उतरा?
10. क्या किसी सहायक आरोपण से किसी नामित प्रतिस्पर्धी के लिए वास्तविक परिणाम तक कोई नियामकीय या क़ानूनी रास्ता है?
11. क्या Frontier Model Forum के साझाकरण ने कुछ सत्यापन-योग्य उत्पन्न किया, या समन्वय अब भी कथात्मक है?

सर्कल 1 = वे लोग जो एआई समझने की कोशिश कर रहे हैं।

सरल भाषा वाला संस्करण। दो बातें हुईं, और इन्हें अलग रखना ज़रूरी है।

पहली: कुछ लोगों ने OpenAI के एआई के निजी ख़रड़े (Scratchwork) चुराने की कोशिश की। आधुनिक एआई मॉडल उत्तर देने से पहले अपनी सोच लिखते हैं, और कंपनियाँ उस सोच को जानबूझकर छिपाकर रखती हैं — उसमें मॉडल का बहुत सारा असली हुनर होता है। OpenAI कहता है कि किसी ने ये छिपे नोट्स एक बातचीत से कॉपी किए और किसी दूसरे, कम सक्षम एआई में चिपका दिए, जिसने उन्हें मददगार ढंग से सादे टेक्स्ट में पढ़कर सुना दिया। तो मज़बूत एआई पर हमला ही नहीं हुआ; कमज़ोर एआई को अनुवादक की तरह इस्तेमाल किया गया।

दूसरी: OpenAI ने इसके आयोजन का आरोप एक विशिष्ट चीनी कंपनी, Moonshot AI, पर लगाया — और अपने साक्ष्य नहीं दिखाए। सतर्क रहने वाली बात यही है। OpenAI ने यह भी कहा है कि निजी-रीज़निंग की सुरक्षा अभी हर जगह ठीक नहीं हुई है। जिस CISA दस्तावेज़ का लोग कभी-कभी ज़िक्र करते हैं, वह इस स्टोरी से तीन हफ़्ते पहले प्रकाशित हुआ था, इसलिए वह इस घटना के बारे में हो ही नहीं सकता।

एआई-जिज्ञासु व्यक्ति के रूप में आपके लिए इसका क्या अर्थ है।

1. "एआई एआई चुराता है" कोई रूपक नहीं है। किसी मॉडल को सस्ते में, बड़े पैमाने पर, काफ़ी बार इस्तेमाल करके कॉपी किया जा सकता है। यह सबसे साफ़ प्रदर्शन है कि फ्रंटियर मॉडल की बढ़त एक बचाव-योग्य परिसंपत्ति है, कोई प्राकृतिक नियम नहीं।
2. सतर्क भाषा पढ़ना सीखें। "हम एक मुख्य क्लस्टर का आरोपण X से जुड़े व्यक्तियों पर करते हैं" और "X ने यह किया" एक बात नहीं है। देखें कि कंपनी अपने साक्ष्य प्रकाशित करती है या नहीं। Anthropic ने किए; OpenAI ने नहीं।
3. किसी शीर्षक पर भरोसा करने से पहले तारीख़ें जाँचें। CISA की एडवाइज़री वास्तविक है, उत्कृष्ट है, और वह व्यापक पैटर्न के बारे में है — इस अभियान के बारे में नहीं। दो सच्चे दस्तावेज़ों को जोड़कर एक झूठी कहानी बनाई जा सकती है।
4. एक वास्तव में उपयोगी सीख, जिसका जासूसी से कोई संबंध नहीं: यदि आपने कभी कोई एआई बातचीत किसी साझा प्रोजेक्ट में चिपकाई है, तो मान लें कि उसके कुछ हिस्से दूसरों के लिए पढ़ने योग्य हो सकते हैं।

सुझाया गया कदम: ध्यान देने के अलावा कुछ नहीं। यह संदर्भ है, कोई निर्णय नहीं। इसे शोधकर्ताओं के पेपर तथा Moonshot AI के किसी भी उत्तर के ज़रिए ट्रैक करें।

सर्कल 2 = वे लोग जो एआई लागू कर रहे हैं।

2026-09-30 को वास्तव में क्या बदलता है: एपीआई के रूप में कुछ नहीं। न स्कीमा, न SDK, न मूल्य-निर्धारण, न माइग्रेशन। इस घोषणा पर रोडमैप पलटना इसे बढ़ा-चढ़ा कर पढ़ना है। बदलाव आपकी रिपॉज़िटरी-स्वच्छता तथा आपकी एजेंट पाइपलाइनों में हैं — और वे अभी करने योग्य हैं।

क्या करें, प्राथमिकता के क्रम में।

1. आज ही अपने git इतिहास को लीक हुए रीज़निंग आर्टिफ़ैक्ट के लिए स्कैन करें। शोधकर्ताओं ने सार्वजनिक रिपॉज़िटरी से 315,320 एन्क्रिप्टेड रीज़निंग ब्लॉक डिकोड किए और 182 क्रेडेंशियल तथा 367 PII आर्टिफ़ैक्ट निकाले। यह स्टोरी का सबसे ठोस, तुरंत कार्रवाई-योग्य निष्कर्ष है और यह Moonshot के आरोपण से पूरी तरह स्वतंत्र है। इतिहास में प्रदाता रीज़निंग ब्लॉक तथा एजेंट सत्र-ट्रेस खोजें; जो कुछ भी उनके ज़रिए गुज़रा उसे रोटेट करें; इतिहास साफ़ करें, केवल कार्यशील ट्री नहीं।
2. रीज़निंग-युक्त सत्र-लॉग को राज़ के रूप में वर्गीकृत करें। कोई इन्हें जानबूझकर लीक नहीं करता क्योंकि कोई नहीं जानता कि इनमें एन्क्रिप्टेड सामग्री है। कोई भी डीबग आर्टिफ़ैक्ट, टेलीमेट्री निर्यात, इवैल फ़िक्स्चर (Eval Fixture) या सहायता बंडल जो रीज़निंग ब्लॉक ले जाता है, यह जोखिम विरासत में पाता है। पहले वर्गीकरण ठीक करें, फिर पाइपलाइनें।
3. रीज़निंग आर्टिफ़ैक्ट को स्कोप के पार कभी रीप्ले न करें। यदि आपका स्टैक प्रदाता रीज़निंग ब्लॉक को सत्रों, उपयोगकर्ताओं या मॉडल-स्तरों के पार संग्रहीत, अग्रेषित या पुनःइंजेक्ट करता है, तो आपने वही भेद्यता फिर से बना ली है। सत्यापित करें कि हर ब्लॉक अपने मूल सत्र, उपयोगकर्ता और मॉडल से बँधा है — और सत्यापित करें कि प्राप्त करने वाला मॉडल उस बंधन की जाँच करता है, न कि जो भी सौंपा जाए उसे लिख देता है।
4. अविश्वसनीय रीज़निंग आर्टिफ़ैक्ट को अविश्वसनीय इनपुट चैनल मानें। वही शोध एन्क्रिप्टेड ब्लॉक के भीतर पूरी तरह अंतर्निहित पेलोड के ज़रिए अदृश्य प्रॉम्प्ट इंजेक्शन प्रदर्शित करता है, जो साझा एजेंटिक रोलआउट को निशाना बनाता है। यदि आपके एजेंट अपने विश्वास-सीमा (Trust Boundary) के बाहर से रीज़निंग आर्टिफ़ैक्ट या साझा रोलआउट डेटा लेते हैं, तो उस डेटा में ऐसे निर्देश हो सकते हैं जिन्हें आपका एजेंट निष्पादित करेगा और आपके उपयोगकर्ता कभी नहीं देखेंगे। इसे अपने एजेंट थ्रेट मॉडल (Agent Threat Model) में स्पष्ट रूप से जोड़ें।
5. यह न मानें कि विक्रेता का व्यवहार स्थिर या प्रकट है। OpenAI कहता है कि वह अब भी टूल-रक्षा, क्लासिफ़ायर कवरेज तथा इनकार सुधार रहा है, कि "this work is not finished," है, और कि पार्टनर-होस्टेड डिप्लॉयमेंट को प्रथम-पक्ष वाले के समान सुरक्षा चाहिए। आपका प्रदाता रीज़निंग का व्यवहार बदल सकता है, स्ट्रीमिंग रोक जोड़ सकता है, या बिना बताए उत्तर चुपचाप घटा सकता है। बिना घोषणा वाले प्रदाता-व्यवहार परिवर्तनों के लिए सहनशीलता बनाएँ।
6. उत्तर-गुणवत्ता के बहाव पर नज़र रखें। यदि आप रीज़निंग की गहराई पर निर्भर हैं, तो CISA के मार्गदर्शन का पालन करने वाला प्रदाता उन ट्रैफ़िक-प्रोफ़ाइलों के लिए उसे चुपचाप घटा सकता है जो प्रकाशित एक्सट्रैक्शन संकेतकों जैसी दिखती हैं। रीज़निंग-लंबाई तथा आउटपुट-संगति के मापक ट्रैक करें, ताकि मौन अवनयन एक रहस्य के बजाय रिग्रेशन (Regression) के रूप में दिखे।

सुझाया गया कदम: इस हफ़्ते मद 1 करें — यह एक git log खोज तथा कुंजी-रोटेशन है, और इस सूची की एकमात्र ऐसी मद है जिसमें पहले से टूटी किसी चीज़ को खोज निकालने का वास्तविक अवसर है।

सर्कल 3 = वे लोग जो एआई के बारे में निर्णय ले रहे हैं।

यह स्टोरी जो निर्णय सामने रखती है: आपका विक्रेता-जोखिम ढाँचा कितना सार्वजनिक रूप से नामित, बिना प्रकाशित साक्ष्य वाले आरोपों पर बना होना चाहिए?

निवेशकों तथा कॉर्पोरेट रणनीति के लिए:

• पैटर्न को प्रकरण से अलग करें। पैटर्न — Moonshot AI द्वारा अमेरिकी मॉडलों का बड़े पैमाने पर डिस्टिलेशन — की पुष्टि स्वतंत्र रूप से Anthropic (प्रकाशित साक्ष्य के साथ) तथा संयुक्त रूप से मुहरबंद NSA/CISA/FBI एडवाइज़री से होती है। प्रकरण — इस विशिष्ट जुलाई अभियान के लिए OpenAI का 30 सितंबर वाला आरोपण — एक बिना-सहायता कंपनी-दावा है जिस पर अभियुक्त की ओर से कोई उत्तर नहीं। टिकाऊ स्थिति: पैटर्न में पुष्ट, इस प्रकरण में अपुष्ट, आशय के विषय में अनसुलझा। इससे अधिक दृढ़ कुछ भी रिकॉर्ड को बढ़ा-चढ़ा कर पढ़ना है।
• साक्ष्य में ही प्रकटीकरण की असममिति पर ध्यान दें। Anthropic ने अनुरोध मेटाडेटा, IP सहसंबंध, इंफ्रास्ट्रक्चर संकेतक तथा सार्वजनिक-प्रोफ़ाइल मिलान प्रकाशित किए। OpenAI ने कुछ प्रकाशित नहीं किया और "security reasons" बताए। विक्रेता-जोखिम का मॉडल बनाते समय प्रकाशित कार्यप्रणाली को महत्व दें, प्रेस विज्ञप्तियों को नहीं।
• नियामकीय मार्ग पर नज़र रखें। CISA/NSTM-4-शैली का निर्यात-नियंत्रण ढाँचा तथा नामित आरोप — यह ख़ुफ़िया से व्यापार-प्रतिबंध तक का संभावित रास्ता है। यह चीनी ओपन-वेट (Open-weight) मॉडल विक्रेताओं पर जुड़ने वाला वास्तविक जोखिम-प्रीमियम है, चाहे कोई भी व्यक्तिगत आरोप सिद्ध हो या न हो।
• व्यावसायिक ओपन-वेट मॉडल जाने वाले नहीं हैं। Moonshot का Kimi सस्ते में या मुफ़्त में "काफ़ी अच्छा" प्रदर्शन देने वाला बताया जाता है। आरोप टिके या न टिके, आर्थिक दबाव वास्तविक है और अमेरिकी लैब्स की प्रतिस्पर्धी प्रतिक्रिया क्षमता होगी, प्रतिबंध नहीं।

नीति-निर्माताओं तथा क़ानूनी टीमों के लिए:

• साक्ष्य-मानक ही जीवंत मुद्दा है। एक सरकारी एडवाइज़री आंशिक रूप से आरोपण के विश्वास-स्तर के बल पर मॉडल के उत्तर घटाने की सिफ़ारिश करती है — जबकि हफ़्ते का सबसे प्रमुख आरोपण बिल्कुल बिना साक्ष्य था। प्रकटीकरण-मानक के बिना नामित आरोपों पर प्रवर्तन खड़ा करना वही विफलता-प्रणाली है जिससे बचना चाहिए।
• आरोपण की असममिति दोनों तरफ़ काटती है। यदि कोई अमेरिकी लैब बिना साक्ष्य और बिना खंडन के किसी विदेशी प्रतिस्पर्धी का नाम सार्वजनिक रूप से ले सकती है, तो कोई भी ले सकता है — किसी अमेरिकी लैब के विरुद्ध भी। सार्वजनिक नामकरण पर बना कोई भी व्यवस्था तुच्छ रूप से हथियारबंद हो सकती है।
• मौन अवनयन जाँच का हक़दार है। CISA सिफ़ारिश करता है कि संदिग्ध डिस्टिलरों को न बताया जाए कि उत्तर घटाए गए। यह वास्तविक सुरक्षा-लाभ है और वास्तविक पारदर्शिता-समस्या भी। यदि आपके क्षेत्राधिकार में मॉडल-पारदर्शिता प्रतिबद्धताएँ ज़रूरी हैं, तो टकराव यहीं होता है।
• डेटा-संरक्षण का प्रश्न अलग है और जासूसी के प्रश्न से अधिक कार्रवाई-योग्य है। Anthropic ने बताया कि Moonshot ने 5,380 फ़र्ज़ी खातों के ज़रिए दस दिनों में लगभग 300,000 ग्राहक अनुरोध Claude तक पहुँचाए, और Anthropic "did not know whether Moonshot had notified customers." जिन संगठनों का डेटा ऐसी रूटिंग परत से गुज़रा, उनके सामने जीवंत प्रकटीकरण तथा प्रोसेसर (Processor) प्रश्न है जो इस पर निर्भर नहीं करता कि OpenAI का आरोपण सही है या नहीं।

सुझाया गया कदम: विक्रेता-जोखिम रजिस्टरों में Moonshot डिस्टिलेशन आरोप को एक स्पष्ट साक्ष्य-शक्ति फ़ील्ड के साथ दर्ज करें, और "OpenAI द्वारा नामित" तथा "Anthropic द्वारा टेलीमेट्री के साथ नामित" को कभी एक-दूसरे में विलीन न होने दें।

INTERPRETATION — पहले ईमानदार ढाँचा। यह एक प्रकटीकरण की स्टोरी है, उत्पाद-लॉन्च की नहीं। बेचने के लिए कोई नया उत्पाद नहीं और अपनाने के लिए कोई नई एपीआई नहीं। वास्तविक अवसर रक्षात्मक हैं और अधिकतर इसलिए मौजूद हैं क्योंकि उद्योग ने उन्हें अभी बनाया नहीं है। जहाँ अवसर पतला है, यह अनुभाग वह स्पष्ट कहता है।

1. रीज़निंग आर्टिफ़ैक्ट के लिए रिपॉज़िटरी राज़-स्कैनिंग — वास्तविक और तात्कालिक। ऐसा स्कैनर जो git इतिहास में प्रदाता के एन्क्रिप्टेड-रीज़निंग ब्लॉक पहचानता है, उन्हें प्रकाशित संकेतक-मात्रा से सहसंबद्ध करता है, और रोटेशन चलाता है। शोधकर्ताओं ने सिद्ध किया कि 315,320 ब्लॉक 367 PII आर्टिफ़ैक्ट तथा 182 क्रेडेंशियल देते हैं। जिनके ग्राहकों ने रीज़निंग-युक्त सत्र-ट्रेस जमा किए हैं, उनके सामने यह समस्या आज है। स्टोरी का सबसे मज़बूत अवसर।
2. एजेंट फ़्रेमवर्क के लिए रीज़निंग-आर्टिफ़ैक्ट स्कोप वैलिडेशन — वास्तविक। एक ड्रॉप-इन जाँच जो सत्यापित करती है कि किसी रीज़निंग ब्लॉक को संसाधित करने से पहले वह अपने अपेक्षित सत्र, उपयोगकर्ता और मॉडल से बँधा है। यह परिधि के बजाय सीधे दोष-वर्ग को निशाना बनाती है।
3. छिपे पेलोड के लिए एजेंट पाइपलाइन टेंट-ट्रैकिंग (Taint-tracking) — वास्तविक पर संकरा। साझा रोलआउट में एन्क्रिप्टेड रीज़निंग आर्टिफ़ैक्ट के भीतर निर्देश-युक्त पेलोड पहचानना। शोध के अनुसार वास्तविक; संकरा इसलिए कि आज कम टीमें जानबूझकर ऐसा डेटा ग्रहण करती हैं।
4. एक्सट्रैक्शन-व्यवहार टेलीमेट्री तथा सहसंबंध — वास्तविक, और सरकार द्वारा समर्थित। सदस्यता-से-उपयोग अनुपात, तुरंत अधिकतम उपयोग पर नए खाते, मानवीय विविधता के बिना 24/7 उपयोग, मार्गों के पार सहसंबद्ध समय। CISA ठीक यही सिफ़ारिश करता है और अंतर-संगठनात्मक सहसंबंध की सिफ़ारिश करता है। क्रॉस-प्रोवाइडर सहसंबंध परत व्यापक रूप से मौजूद नहीं है।
5. मॉडल-प्रत्युत्तर की उत्पत्ति (Provenance) तथा बहाव-निगरानी — वास्तविक। अपने ही प्रदाता से मौन अवनयन या आउटपुट-विविधता पहचानना। यह ऊपर की मद-6 वाले जोखिम की सीधे सेवा करता है, और आज कोई इसे उत्पाद के रूप में नहीं देता।
6. फ्रंटियर-लैब सुरक्षा एडवाइज़री निगरानी — पतला, जनसुलभ (Commoditised)। CISA, Frontier Model Forum तथा लैब प्रकटीकरणों की फ़ीड-क्यूरेशन। उपयोगी, घर में आसानी से किया जाने योग्य, कोई बचाव-क्षमता नहीं। यहाँ व्यवसाय न बनाएँ।

जहाँ कोई अवसर नहीं है: फ्रंटियर लैब्स को "रीज़निंग-ट्रेस सुरक्षा" उत्पाद बेचना (उनके पास बड़ी टीमें हैं और वे पहले ही रोकथाम जारी कर रहे हैं), डिस्टिलेशन पहचान को अनुपालन-बैज के रूप में बेचना (पैटर्न सर्वविदित है और क्रॉस-प्रोवाइडर सहसंबंध के बिना पहचान कमज़ोर है), तथा कोई भी ऐसी पेशकश जिसमें ख़रीदार को किसी सार्वजनिक दस्तावेज़ में विरोधी का आरोपण करना पड़े — वह इस पूरी स्टोरी का सबसे कमज़ोर हिस्सा है।

सुझाई गई व्यावहारिक गतिविधि: VERIFY — रीज़निंग आर्टिफ़ैक्ट के लिए रिपॉज़िटरी स्कैन तथा रोटेशन।

यही क्यों, कुछ और नहीं। इस स्टोरी का दिलचस्प हिस्सा एक ऐसा आरोपण है जिसे कोई सत्यापित नहीं कर सकता। सत्यापन-योग्य हिस्सा शोधकर्ताओं का डेटा-निष्कर्षण परिणाम है, वह हर विवादित दावे से स्वतंत्र है, और हो सकता है वह पहले से आपको प्रभावित कर रहा हो। यही एक अभ्यास है जहाँ व्यावहारिक काम प्रदर्शन के बजाय वास्तविक उत्तर देता है।

दायरा: 60–90 मिनट, एक इंजीनियर।

1. जोखिम स्थापित करें। पूरे git इतिहास (सभी ब्रांच, सभी टैग, रिफ़लॉग, तथा कोई भी संग्रहीत/फ़ोर्क किया गया रिपॉज़िटरी जो अब भी पहुँच-योग्य हो) में प्रदाता रीज़निंग आर्टिफ़ैक्ट के चिह्न खोजें: बड़े अपारदर्शी base64-जैसे ब्लॉब, reasoning/thinking/trace कुंजियों के निकट JSON फ़ील्डों में लंबे उच्च-एन्ट्रॉपी स्ट्रिंग, तथा निर्यात किए गए एजेंट सत्र-लॉग। ध्यान दें: क्या खोजना है यह प्रदाता-विशिष्ट है, और यह चरण समीक्षा के लिए उम्मीदवार खोजने के बारे में है, स्वतः सेंध घोषित करने के बारे में नहीं।
2. वर्गीकृत करें। हर हिट के लिए तय करें कि क्या वह आर्टिफ़ैक्ट उपयोगकर्ता प्रॉम्प्ट, क्रेडेंशियल, टोकन, PII या आंतरिक सिस्टम निर्देश ले जा सकता है। शोधकर्ताओं का परिणाम कम उपज-दर पर अधिक गंभीरता-दर दर्शाता है — 315,320 ब्लॉक से केवल 367 PII आर्टिफ़ैक्ट बने, इसलिए बड़े रिपॉज़िटरी पर कम निष्कर्षों की अपेक्षा करें, और यह भी कि जो मिलें वे मायने रखेंगे।
3. रोटेट करें। हर उस आर्टिफ़ैक्ट के लिए जो कोई राज़ ले जा सकता है, उसे रोटेट करें। मान लें कि जो भी जमा हुआ है वह सार्वजनिक है: सार्वजनिक रिपॉज़िटरी के लिए, उस अवधि को पहले पुश से खुला मानें।
4. साफ़ करें (Scrub)। पहुँच-योग्य कमिटों से आर्टिफ़ैक्ट हटाने के लिए इतिहास फिर से लिखें, फिर फ़ोर्स-पुश करें और किसी भी फ़ोर्क के साथ समन्वय करें।
5. वर्ग ठीक करें। एक प्री-कमिट तथा CI राज़-स्कैन जोड़ें जो रीज़निंग-युक्त सत्र-लॉग को राज़ के रूप में पहचाने, और उन्हें डीबग पाइपलाइनों तथा सहायता बंडलों में निर्यात करना बंद करें।

सफलता-मानदंड: आप साक्ष्य के साथ बता सकें कि आपके पहुँच-योग्य इतिहास में रीज़निंग आर्टिफ़ैक्ट मौजूद हैं या नहीं, और क्या कोई राज़ रोटेट हुआ।

महत्वपूर्ण चेतावनी। यह गतिविधि आपके अपने जोखिम का सत्यापन करती है। यह अभियान के Moonshot AI पर OpenAI के आरोपण का सत्यापन नहीं करती, जो बिना प्रकाशित साक्ष्य और अभियुक्त की ओर से बिना उत्तर वाला कंपनी दावा बना हुआ है। सफल स्कैन को आरोपण के बारे में कुछ भी पुष्ट करने वाला न बताया जाए।

FACT — OpenAI ने पहले से किस बात का संकल्प लिया है। निरंतर काम के तीन घोषित क्षेत्र: "stronger technical protections against extraction, better detection and enforcement against coordinated campaigns, and deeper threat-information sharing across industry and government." साथ ही नामित खुली मदें: पार्टनर-होस्टेड डिप्लॉयमेंट की समानता, तथा टूल-आउटपुट हमले जिनके लिए ऐसी सुरक्षा चाहिए जो "examine more than ordinary visible text."

PREDICTION — निकट अवधि (हफ़्तों से महीनों में), कारणों सहित:

1. Moonshot AI अंततः उत्तर देगा, और वह खंडन होगा। बिना खंडन के औद्योगिक-पैमाने की चोरी का नामित आरोप उस प्रोफ़ाइल और फ़ंडिंग-पहुँच वाली कंपनी के लिए असहनीय है। (कारण: मौन की प्रतिष्ठा-लागत बढ़ती है; साक्ष्य के अभाव में खंडन ही एकमात्र उपलब्ध कदम है।)
2. कम से कम एक और फ्रंटियर लैब हफ़्तों के भीतर arXiv निष्कर्ष पर प्रत्युत्तर प्रकाशित करेगी, या तो कमज़ोरी स्वीकार करते हुए या वर्णन का विरोध करते हुए। पेपर ने तीन नामित प्रदाताओं पर प्रदर्शन किया; तीनों के पास जुड़ने का प्रतिष्ठा-कारण है। (कारण: प्रदर्शित-और-सार्वजनिक निष्कर्ष दायित्व बनाते हैं।)
3. कोई भी प्रदाता पुष्टि नहीं करेगा कि उसने रीज़निंग ब्लॉक को क्रिप्टोग्राफ़िक रूप से सत्र, उपयोगकर्ता और मॉडल से बाँधा है। (कारण: यह क्लाइंट-प्रोटोकॉल में टूटता बदलाव है जिसके लिए हर SDK और एजेंट फ़्रेमवर्क में समन्वित रोलआउट चाहिए। OpenAI की अपनी उपचार-भाषा एक मार्ग बंद करने का वर्णन करती है, आर्टिफ़ैक्ट को फिर से डिज़ाइन करने का नहीं।) यह इस अनुभाग की सबसे भारी भविष्यवाणी है — इसी कारण §16 की मद 2 मायने रखती है।
4. एक दूसरा, बड़ा अभियान खोजा और रिपोर्ट किया जाएगा, सबसे संभावित रूप से उस लैब द्वारा जिसने पहले क़ानून-प्रवर्तन के साथ अधिक कसकर समन्वय किया हो। 16,000-अनुरोध का पैमाना बताता है कि यह या तो शुरुआती परख थी या पैमाना बढ़ने से पहले काट दी गई। (कारण: OpenAI कहता है कि काम अधूरा है और उसे अधिक परिष्कृत प्रयासों की अपेक्षा है; केवल-परिधि नियंत्रण मूल इकाई को नहीं हटाते।)
5. कम से कम एक प्रदाता बिना घोषणा किए रीज़निंग आउटपुट का व्यवहार चुपचाप बदलेगा, CISA के इस मार्गदर्शन के अनुसार कि उत्तर बदले जाएँ और संदिग्ध डिस्टिलरों को सूचित न किया जाए। (कारण: CISA ने इसकी स्पष्ट सिफ़ारिश की है और एक अमेरिकी फ्रंटियर लैब के पास पालन का सार्वजनिक कारण है।)
6. कोई नियामक या क़ानून-प्रवर्तन निकाय CISA की एडवाइज़री पर कार्रवाई करेगा — प्रतिबंध, निर्यात-नियंत्रण में कसाव, या किसी नामित कंपनी से औपचारिक सूचना-अनुरोध। (कारण: एडवाइज़री क़ानूनी संस्थाओं सहित छह कंपनियों का नाम लेती है और समन्वित पारिस्थितिकी प्रतिक्रिया की सिफ़ारिश करती है; यह NSA और FBI द्वारा सह-मुहरबंद है, जो उपलब्ध सबसे मज़बूत संस्थागत संकेत है।)

INTERPRETATION — जो सबसे अधिक छूट जाने की संभावना है। उद्योग की प्रतिक्रिया आरोपण की राजनीति पर केंद्रित होगी — किसने किस पर आरोप लगाया — क्योंकि वही सुपाठ्य और समाचार-योग्य हिस्सा है। तकनीकी रूप से निर्णायक धागा अधिक संकरा और शांत है: क्या एन्क्रिप्टेड रीज़निंग ब्लॉक किसी प्रदाता के भीतर मॉडलों के बीच अब भी अदला-बदली योग्य हैं। यदि हैं, तो कमज़ोर-मॉडल ऑरेकल काम करता है, प्रकाशित रोकथामें केवल-परिधि हैं, और हर फ्रंटियर लैब के पास एक ज्ञात खुला निष्कर्षण-मार्ग है। इस स्टोरी का कोई साक्ष्य उस प्रश्न का उत्तर नहीं देता, और वही ट्रैक करने योग्य है।

OpenAI ने एक वास्तविक और महत्वपूर्ण हमला प्रकट किया, ऐसे दस्तावेज़ में जिसमें एक बिना-सहायता आरोप भी है, और वह भी एक ऐसे अभियान के बारे में जो छोटा था।

तीन बातें अलग रखनी चाहिए, क्योंकि स्टोरी उन्हें मिला देने का न्योता देती है।

एक — तकनीकी निष्कर्ष ही स्टोरी है, और वह मज़बूत है। शोधकर्ताओं ने पाया कि एन्क्रिप्टेड रीज़निंग ब्लॉक किसी प्रदाता के भीतर सत्रों, उपयोगकर्ताओं और मॉडलों के बीच अदला-बदली योग्य हैं, और उन्होंने कमज़ोर मॉडल को डिक्रिप्शन ऑरेकल की तरह इस्तेमाल करके डिस्टिलेशन-विरोधी सुरक्षाओं को सक्षम मॉडल पर कभी हमला किए बिना बायपास किया। OpenAI ने स्वतंत्र रूप से पुष्ट किया कि हमले के रास्ते वास्तविक थे। यह एक वास्तविक स्थापत्य दोष है जिसके परिणाम स्वतंत्र रूप से प्रदर्शित हैं: सार्वजनिक रिपॉज़िटरी से एकत्र 315,320 ब्लॉक से 367 PII आर्टिफ़ैक्ट तथा 182 क्रेडेंशियल निकले। ठोस, सत्यापन-योग्य, कार्रवाई-योग्य — और नीचे के हर विवादित दावे से स्वतंत्र।

दो — आरोपण वैसा नहीं है। OpenAI ने गतिविधि के "मुख्य क्लस्टर" के पीछे Moonshot AI का नाम लिया और कोई तकनीकी साक्ष्य या तर्क प्रकाशित नहीं किया, "security reasons" कहकर विस्तार देने से इनकार किया। CyberScoop तथा The Hacker News दोनों ने प्रकाशन के दिन ही साक्ष्य के अभाव को नोट किया। Moonshot AI ने CNBC या CyberScoop को उत्तर नहीं दिया। इसे कंपनी दावे के रूप में रिपोर्ट किया जाना चाहिए — एक गंभीर और परिणामी दावा, रिकॉर्ड पर कहा गया, पर दावा।

तीन — CISA की एडवाइज़री इसके बारे में नहीं है। AA26-251A की तारीख़ 2026-09-08 है, जो OpenAI के प्रकटीकरण से बाईस दिन पहले है। यह इस अभियान या इस आरोपण की पुष्टि नहीं कर सकती। यह स्वतंत्र रूप से व्यापक पैटर्न की पुष्टि करती है: Moonshot AI का नाम, पाँच अन्य चीनी कंपनियों के साथ, कम से कम 2025 के मध्य से अमेरिकी मॉडलों के औद्योगिक-पैमाने के डिस्टिलेशन में — यह ऐसा दावा है जिसका Anthropic स्वतंत्र रूप से समर्थन करता है, और प्रकाशित टेलीमेट्री के साथ करता है। "CISA ने Moonshot का नाम लिया" को "OpenAI ने एक विशिष्ट जुलाई हमले के लिए Moonshot पर आरोप लगाया" के साथ जोड़ने से ऐसी कहानी बनती है जो अपने वास्तविक स्रोत-बल से कहीं अधिक अच्छी तरह स्रोत-युक्त लगती है।

आँकड़ों पर। दो दिनों में 16,000 अनुरोध वास्तविक है और सही रिपोर्ट किया गया है, और वह छोटा है — Anthropic द्वारा Moonshot पर आरोपित 3.4 मिलियन आदान-प्रदानों का लगभग 0.5%, और CISA के "billions of tokens across millions of exchanges" से कई कोटि नीचे। OpenAI का अपना फ़ुटनोट कहता है कि ये प्रयास हैं, आवश्यक रूप से सफल नहीं। कोई उपज प्रकट नहीं की गई। यहाँ महत्व तकनीक का है, थ्रूपुट का नहीं, और जो कवरेज 16,000 को विनाशकारी आँकड़ा मानती है, वह शीर्षक से भ्रमित हुई है।

गहरा संपादकीय बिंदु। OpenAI की रिपोर्ट का सबसे भारी वाक्य आरोप नहीं है। वह यह है: "We closed a pathway that allowed someone who already possessed another user's encrypted reasoning to replay it and recover its contents." यह रीप्ले बंद करने का वर्णन करता है। शोधकर्ताओं का निष्कर्ष क्रॉस-मॉडल अदला-बदली के बारे में है। उपचार-वाक्य और भेद्यता-निष्कर्ष एक ही बात के बारे में नहीं हैं, और प्राप्त कोई भी स्रोत यह नहीं कहता कि क्रॉस-मॉडल कमज़ोरी ठीक हुई या नहीं। वही अंतर देखने योग्य स्टोरी है — भू-राजनीति नहीं, जो शोरगुल वाली है और बड़े हिस्से में तीन हफ़्ते तथा सात महीने पहले कहे गए दावों की पुनरावृत्ति है।

लेने योग्य दृष्टिकोण। जिस दिन एक अमेरिकी सरकारी एजेंसी ने संदिग्ध विरोधियों को बताए बिना उनके मॉडल उत्तर मौन रूप से घटाने की सिफ़ारिश की, उसी दिन अमेरिका की सबसे बड़ी एआई लैब्स में से एक ने सार्वजनिक रूप से एक नामित विदेशी प्रतिस्पर्धी पर औद्योगिक-पैमाने की चोरी का आरोप लगाया और यह बताने से इनकार किया कि साक्ष्य क्या है। दोनों संकेत हैं कि एआई सुरक्षा में आरोपण साक्ष्य से आगे निकल रहा है — प्रवर्तन में और आरोप में, एक साथ। उस अनुपात पर नज़र रखें। यही ईमानदार माप है कि इसमें से कुछ भी वास्तव में सुरक्षित हो रहा है या नहीं।