Een onlangs onthulde fout in de manier waarop OpenAI, Anthropic en Google verborgen AI-redeneringen tussen API-aanroepen doorvoerden, stelde onderzoekers in staat interne redeneringen en geheimen uit sessielogboeken te achterhalen, inclusief API-sleutels en wachtwoorden.
De zwakte had betrekking op gecodeerde redeneringsobjecten die door de redenerings-API’s van de providers werden gebruikt, waarbij een blok dat in de ene sessie was gemaakt, in een andere sessie kon worden afgespeeld en tijdens het testen zelfs aan een zwakker model in dezelfde providerfamilie kon worden overgedragen om de verborgen inhoud te onthullen.
Het team achter het artikel Stealing Reasoning Traces from Proprietary LLM APIs demonstreerde vier misbruikpaden: het stelen van eigen redeneringen voor modeldestillatie, het extraheren van privégegevens uit de gepubliceerde sporen van andere gebruikers, het herstellen van schadelijke inhoud verborgen achter een veilig zichtbaar antwoord, en het verbergen van snelle injecties in ondoorzichtige redeneringsblokken.
Tijdens 6.708 trajecten van publieke agenten heeft het team 315.320 denkblokken gedecodeerd. Na het uitsluiten van benchmarkbronnen telde het 704 verschillende privacyartefacten uit echte gebruikerssessies, waaronder 62 API-sleutels, 33 wachtwoorden, 24 toegangstokens en zeven privésleutels.
De cross-user-aanval bood geen willekeurige toegang tot privéchats. Het vereiste het verkrijgen van een gecodeerd redeneerblok, zoals een gepubliceerd in een agentlogboek, en API-toegang tot een compatibel model van dezelfde provider.
De onderzoekers hebben de bevindingen bekendgemaakt aan de getroffen modelaanbieders, Microsoft en Hugging Face, en zeggen dat de aangetoonde aanvallen niet meer werkten na maatregelen. Hun reproduceerbaarheidsverklaring zegt dat de belangrijkste extractie-aanval vanaf augustus 2026 niet langer reproduceerbaar is.
Het rapport documenteert geen kwaadwillige uitbuiting in het wild. Ontwikkelaars wordt aangeraden redeneringsblokken en ondoorzichtige redeneervelden te ontdoen van gedeelde sporen en te voorkomen dat onbewerkte API-transcripties worden vastgelegd, zelfs als de zichtbare tekst is opgeschoond.
Het probleem begint met een ontwerp dat bedoeld is om de redenering tussen API-aanroepen te behouden wanneer de gespreksstatus handmatig of staatloos wordt beheerd. OpenAI kan gecodeerde redeneeritems retourneren die applicaties opnieuw afspelen met handmatig beheerde geschiedenis, Anthropic draagt de volledige redenering in een gecodeerde handtekening en Google gebruikt gecodeerde gedachtehandtekeningen. Deze objecten behouden de redenering zonder de onderliggende leesbare tekst rechtstreeks aan de cliënt bloot te leggen.
De codering zelf was niet gekraakt en voor de aanval was het verkrijgen van een coderingssleutel niet nodig. Het was afhankelijk van de acceptatie en verwerking van intacte, ondoorzichtige blokken door de provider.
Tijdens het testen ontdekte het artikel dat deze objecten draagbaar waren tussen sessies, gebruikers en modellen, waardoor een zwakker compatibel model kon fungeren als wat de auteurs een ‘fuzzy’-decoder noemen: Claude Haiku 4.5 voor Claude-sporen, GPT-5.6 Luna voor GPT-sporen, en Gemini Robotics ER-1.6 voor Gemini-sporen. De decoder werd gevraagd de redenering van een sterker model te transcriberen.
Dat gedrag tussen meerdere gebruikers zorgt ervoor dat gepubliceerde agentlogboeken een groter beveiligingsprobleem worden. Van de 704 niet-benchmarkartefacten die het team heeft teruggevonden, verschenen er 64 alleen in verborgen redenering en nergens in het zichtbare spoor. Het opschonen van het leesbare gesprek zou daarom geheimen kunnen achterlaten in een ondoorzichtig blok dat een ander account opnieuw kon afspelen.
De blootstelling die het onderzoek aantoont is beperkt: het komt terecht bij ontwikkelaars die onbewerkte agentlogboeken publiceren met de redeneringsobjecten intact, één identificeerbare groep in plaats van elke API-gebruiker, en niet noodzakelijkerwijs de enige die risico loopt.
Dezelfde draagbaarheid maakte ook een onzichtbare, snelle injectie proof of concept mogelijk. Het team creëerde een ondoorzichtig redeneerblok met een kwaadaardige instructie en speelde dit later af in een niet-gerelateerde taak, waardoor het ontvangende model een door de aanvaller gestuurde uploadactie toevoegde zonder de geïnjecteerde instructie in zichtbare tekst te plaatsen.
De auteurs waarschuwen ervoor dat ze niet over een grondwaarheidsklare tekst beschikken voor de propriëtaire redenering, en kunnen dus niet garanderen dat elk gereconstrueerd spoor een exacte kopie is. Hun betrouwbaarheidscontroles waren gebaseerd op het aantal redeneringstokens en kwalitatieve vergelijkingen, waarbij de geëxtraheerde lengtes over het algemeen de gerapporteerde denktokentellingen van de aanbieders volgden.
Uit de huidige leveranciersdocumentatie blijkt dat gecodeerd redeneren nog steeds deel uitmaakt van deze API’s, maar dat de afhandeling ervan is veranderd. OpenAI vertelt ontwikkelaars nog steeds dat ze gecodeerde redeneeritems opnieuw moeten afspelen bij het handmatig beheren van de staatloze geschiedenis, terwijl Google zegt dat de backend de gedachtecompatibiliteit beheert wanneer een sessie van model wisselt.
Anthropic zegt nu dat denkblokken gebonden zijn aan het model dat ze heeft voortgebracht en dat ze moeten worden verwijderd als er van model wordt gewisseld, omdat andere modellen ze negeren.
Verschillende vragen die de openbaarmaking oproept, worden door het openbare register opengelaten. Er is tot nu toe geen publieke erkenning van de fout van een van de drie providers naar voren gekomen, en geen enkele heeft de huidige documentatie aan dit onderzoek gekoppeld. Het verhaal dat de aangetoonde aanvallen niet langer werken, berust dus op de eigen reproduceerbaarheidsverklaring van de onderzoekers en niet op bevestiging van de leverancier.
Uit hetzelfde document blijkt dat het team honderdduizenden redeneringsblokken heeft gedecodeerd die zich al in openbare opslagplaatsen bevinden, maar het gaat niet in op de vraag of die reeds gepubliceerde blokken decodeerbaar blijven, een vraag die losstaat van de vraag of nieuwe aanvallen nog steeds slagen.
Het werk bouwt voort op onderzoek uit mei van Johns Hopkins-cryptograaf Matthew Green, die aantoonde dat gecodeerde redeneringsblokken opnieuw konden worden afgespeeld in sessies en accounts, maar dat er geen betrouwbare techniek voor geheime extractie bestond.
Green zegt dat hij het herhalingsgedrag aan OpenAI en Anthropic heeft gerapporteerd via hun bug-bounty-programma’s; in zijn verslag noemde OpenAI het rapport niet reproduceerbaar en Anthropic zei dat het geen veiligheidsimplicaties zag in het herhalings- of zijkanaalgedrag.
Het nieuwe artikel verandert dat herhalingsgedrag in een bredere extractiemethode en documenteert de gevolgen voor de privacy op grote schaal.
