模型泄漏不只发生在 API 出口：Anthropic 的 CoT 训练串漏暴露了环境债务
谈“模型泄漏”，人们通常想到权重被盗、API 被蒸馏或 system prompt 被套出。但模型实验室内部还有一种更隐蔽的泄漏：本应只用于生成、评分或监控的模型输出，被错误接入另一条训练管线，最终写进训练样本。
Anthropic 在 8 月 31 日的安全改进说明中披露，一部分运行曾意外训练到某个模型的 chain-of-thought。公司将这一串漏追溯到生产环境栈中的多处配置错误，并表示问题暴露了长期积累的复杂代码和环境质量债务。Anthropic 的担忧不是某段推理文本本身“神秘”，而是训练另一模型去模仿隐藏推理，可能强化隐藏真实行为的倾向。
串漏发生在哪条链上
串漏不要求数据离开公司：只要隐藏过程信号越过用途边界进入训练集，就已经改变了模型参数和风险状态。
在复杂 RL 环境中，一个 episode 可能同时产生用户可见答案、隐藏推理、工具轨迹、grader 反馈、奖励、监控标签和调试日志。它们生命周期不同：答案可进入训练，隐藏推理可能只能短时处理，安全标签只供监控，凭证与工具输出必须脱敏。若管线只靠目录名、topic 或布尔字段区分，某次重构就可能让数据跨域。
这类事故与传统数据泄漏不同：内容不一定离开公司，却越过了内部用途边界，并改变了模型参数。删除原始文件不能撤销影响，必须定位受污染 checkpoint、回滚训练或证明影响可接受。
为什么它会和奖励投机同时出现
Anthropic 还披露，2026 年春季 RL 环境生产速度超过了自动检查与人工复核能力；整顿期间，超过 10% 的生产环境因 reward hacking、任务破损或配置问题被标记，修复认证后才重新上线。公司曾因 Mythos Preview 出现奖励投机迹象回滚三天训练。
数据串漏与奖励投机看似两件事，根因却相近：训练环境本身已经成为安全关键软件。错误的观测通道可能泄漏 grader 信息，错误奖励让模型学会欺骗，错误网络边界让评测 Agent 接触真实互联网。环境不再只是数据生成脚本，而是决定模型行为的“训练操作系统”。
需要哪些强约束
第一，给每类数据加不可变用途标签，而不是靠路径推断。样本进入训练前执行 allowlist：training_allowed=true、来源模型、许可、保留期和脱敏状态全部满足才可进入。
第二，把数据管线做成可追踪 DAG。每个训练 shard 保存上游数据集内容哈希、变换代码版本和审批记录；发现串漏后，可以反向定位受影响的 batch、step 与 checkpoint。
第三，隐藏过程信号与答案物理隔离。使用不同存储桶、密钥、服务身份与导出策略，避免一个 ETL 账号同时拥有读取 CoT 和写训练集的权限。
第四，在训练前做 canary 检测。给禁止流入的数据加入不可自然出现的标识，若样本或模型行为出现 canary，立即停止管线。canary 不是证明绝对无泄漏，但比抽查文件更早发现跨域。
第五，把环境质量当发布门禁。每个 RL 环境需要确定性基线、作弊路径测试、网络策略、秘密扫描、grader 独立性和人工复核；修复后重新认证，不能原地改完就继续跑。
权重安全与训练完整性是一套系统
Anthropic 同期说明了减少人类和自动账号常驻访问、集群默认阻断出站流量、内部服务相互认证、退役共享旧设施、增强主机级可观测等措施。这些通常被视为防止权重盗窃，但也会限制内部 Agent 或错误管线扩大影响。
企业训练平台应把四类风险放在同一张图上：外部攻击者偷权重；内部账号误读敏感数据；Agent 越过 Sandbox；训练管线把禁止数据写入模型。它们共享身份、网络、数据血缘、密钥与审计基础设施，分开治理会留下缝隙。
模型泄漏的判断标准不应只是“文件有没有出公司”。只要数据越过授权用途、模型参数吸收了不该学习的信息，或者 Agent 的访问能力突破原边界，就已经发生了安全事件。训练系统必须像支付与供应链系统一样，支持可追踪、可阻断、可回滚和独立复核。