Uma falha recém-revelada na forma como a OpenAI, a Anthropic e o Google transportavam raciocínios ocultos de inteligência artificial entre chamadas de API permitiu que pesquisadores recuperassem raciocínios internos e segredos de logs de sessão, incluindo chaves de API e senhas.
A vulnerabilidade afetou objetos de raciocínio criptografado usados pelas APIs de raciocínio dos provedores, onde um bloco criado em uma sessão podia ser reproduzido em outra e, durante os testes, até mesmo entregue a um modelo mais fraco na mesma família de provedores para fazê-lo revelar o conteúdo oculto.
A equipe por trás do artigo Stealing Reasoning Traces from Proprietary LLM APIs demonstrou quatro caminhos de abuso: roubar raciocínio proprietário para destilação de modelos, extrair dados privados de rastros publicados por outros usuários, recuperar conteúdo prejudicial escondido atrás de uma resposta visível segura e ocultar injeções de prompt dentro de blocos de raciocínio opacos.
Em 6.708 trajetórias públicas de agentes, a equipe decodificou 315.320 blocos de raciocínio. Após excluir fontes de benchmark, foram contados 704 artefatos distintos de privacidade de sessões genuínas de usuários, incluindo 62 chaves de API, 33 senhas, 24 tokens de acesso e sete chaves privadas.
O ataque entre usuários não forneceu acesso arbitrário a conversas privadas. Ele exigia a obtenção de um bloco de raciocínio criptografado, como um publicado em um log de agente, e acesso à API de um modelo compatível do mesmo provedor.
Os pesquisadores divulgaram as descobertas aos provedores de modelos afetados, Microsoft e Hugging Face, e dizem que os ataques demonstrados deixaram de funcionar após correções. Sua declaração de reprodutibilidade afirma que o ataque principal de extração não é mais reproduzível a partir de agosto de 2026.
O relatório não documenta exploração maliciosa no mundo real. Os desenvolvedores são orientados a remover blocos de raciocínio e campos de raciocínio opacos de rastros compartilhados e evitar confirmar transcrições brutas de API, mesmo quando o texto visível foi higienizado.
O problema do design
O problema começa com um design destinado a preservar o raciocínio entre chamadas de API quando o estado da conversa é gerenciado manualmente ou sem estado. A OpenAI pode retornar itens de raciocínio criptografados que aplicações reproduzem com histórico gerenciado manualmente, a Anthropic carrega o raciocínio completo em uma assinatura criptografada, e o Google usa assinaturas de pensamento criptografadas. Esses objetos preservam o estado de raciocínio sem expor diretamente o texto subjacente ao cliente.
A criptografia em si não foi quebrada, e o ataque não exigiu a obtenção de uma chave de criptografia. Ele dependeu de blocos opacos intactos serem aceitos e processados pelo provedor.
Modelos mais fracos como decodificadores
Durante os testes, o artigo descobriu que esses objetos eram portáveis entre sessões, usuários e modelos, permitindo que um modelo mais fraco e compatível agisse como o que os autores chamam de decodificador difuso: Claude Haiku 4.5 para rastros de Claude, GPT-5.6 Luna para rastros de GPT e Gemini Robotics ER-1.6 para rastros de Gemini. Ao decodificador era solicitado transcrever o raciocínio produzido por um modelo mais forte.
Esse comportamento entre usuários transforma os logs de agentes publicados em um problema de segurança mais grave. Dos 704 artefatos não relacionados a benchmark que a equipe recuperou, 64 apareceram apenas no raciocínio oculto e em nenhum lugar do rastro visível. Higienizar a conversa legível poderia, portanto, deixar segredos dentro de um bloco opaco que outra conta conseguiu reproduzir.
A exposição que o estudo demonstra é limitada: recai sobre desenvolvedores que publicaram logs brutos de agentes com os objetos de raciocínio intactos, um grupo identificável em vez de todo usuário de API, e não necessariamente o único em risco.
Injeção de prompt invisível
A mesma portabilidade também permitiu uma prova de conceito de injeção de prompt invisível. A equipe criou um bloco de raciocínio opaco que carregava uma instrução maliciosa e depois o reproduziu em uma tarefa não relacionada, fazendo com que o modelo receptor adicionasse uma ação de upload direcionada por invasor sem colocar a instrução injetada no texto visível.
Os autores alertam que não possuem a verdade fundamental para o raciocínio proprietário, então não podem garantir que cada rastro reconstruído seja uma cópia exata. Suas verificações de fidelidade dependeram de contagens de tokens de raciocínio e comparações qualitativas, com comprimentos extraídos geralmente correspondendo às contagens de tokens de pensamento relatadas pelos provedores.
Documentação atual dos fornecedores
A documentação atual dos fornecedores mostra que o raciocínio criptografado permanece parte dessas APIs, mas o manuseio mudou. A OpenAI ainda orienta desenvolvedores a reproduzir itens de raciocínio criptografados ao gerenciar manualmente histórico sem estado, enquanto o Google diz que seu backend gerencia a compatibilidade de pensamento quando uma sessão troca de modelo.
A Anthropic agora diz que blocos de pensamento estão vinculados ao modelo que os produziu e devem ser removidos ao trocar de modelos, porque outros modelos os ignoram.
Perguntas em aberto
Várias perguntas que a divulgação levanta permanecem sem resposta nos registros públicos. Nenhum reconhecimento público da falha de qualquer um dos três provedores surgiu até agora, e nenhum vinculou sua documentação atual a esta pesquisa, então a afirmação de que os ataques demonstrados não funcionam mais se baseia na própria declaração de reprodutibilidade dos pesquisadores, em vez de confirmação do fornecedor.
O mesmo registro mostra que a equipe decodificou centenas de milhares de blocos de raciocínio já existentes em repositórios públicos, mas não aborda se esses blocos já publicados permanecem decodificáveis, uma questão separada de saber se ataques novos ainda funcionam.
Antecedentes da pesquisa
O trabalho se baseia em pesquisa de maio do criptógrafo da Johns Hopkins Matthew Green, que mostrou que blocos de raciocínio criptografado podiam ser reproduzidos entre sessões e contas, mas não chegou a uma técnica confiável de extração de segredos.
Green diz que reportou o comportamento de reprodução à OpenAI e Anthropic por meio de seus programas de recompensa por bugs; em sua descrição, a OpenAI chamou o relatório de não reproduzível e a Anthropic disse que não viu implicações de segurança no comportamento de reprodução ou canal lateral.
O novo artigo transforma esse comportamento de reprodução em um método de extração mais amplo e documenta as consequências de privacidade em escala.
