Verschlüsselte Reasoning-Blöcke sollten API-Kontext erhalten, ohne Chain-of-Thought offenzulegen. Eine neue Arbeit zeigt, dass dieser Komfort selbst zum Angriffspunkt werden kann.
Alexander Panfilov, David Schmotz, Ilia Shumailov und fünf Mitautoren reichten am 10. August “Stealing Reasoning Traces from Proprietary LLM APIs” bei arXiv ein. The Decoder berichtete am 11. August. Laut Paper und Projektseite lassen sich verschlüsselte Reasoning Traces aus APIs von OpenAI, Anthropic und Google innerhalb desselben Anbieter-Ökosystems über Sitzungen, Nutzer und Modelle hinweg wiederverwenden.
“Proprietary reasoning can be recovered from its encrypted traces.”
Der Schwachpunkt liegt im zustandslosen Kontext
Anbieter von Reasoning-Modellen verbergen Chain-of-Thought, um IP und Sicherheitslogik zu schützen. Für Mehr-Runden-Gespräche geben sie verschlüsselte Reasoning-Blöcke an den Client zurück und lassen ihn diese in späteren Requests wieder mitsenden.
Die Forscher beschreiben einen zweistufigen Angriff: einen verschlüsselten Block eines Frontier-Modells nehmen, ihn in ein günstigeres, schwächer geschütztes Schwestermodell injizieren und dieses per Jailbreak zur Transkription bringen. Das Paper zeigt etwa eine Claude-Opus-4.8-Signatur, die in Claude Haiku 4.5 wiedergegeben wird.
Öffentliche Logs enthalten schon Geheimnisse
Das Team sammelte 6.708 öffentliche Agent-Trajektorien von GitHub und Hugging Face, die verschlüsselte Blöcke von Claude, GPT und Gemini enthielten. Die Pipeline rekonstruierte 315.320 Reasoning-Blöcke.
Nach Filterung auf echte Nutzersitzungen meldet die Projektseite 704 unterschiedliche Datenschutz-Artefakte, darunter 62 API-Keys, 33 Passwörter, 24 Access Tokens und 30 private E-Mail-Adressen. Das arXiv-Abstract fasst dieselben Befunde anders zusammen: 367 PII-Artefakte und 182 Zugangsdaten.
Agent-Logs brauchen neue Hygiene
Die Autoren legten die Ergebnisse vor Veröffentlichung gegenüber betroffenen API-Anbietern, Microsoft und Hugging Face offen. Praktisch heißt das: reasoning signatures, encrypted_content und thinking blocks vor dem Teilen entfernen, Agent-Logs jenseits sichtbarer Chatnachrichten scannen und prüfen, ob alte Traces gelöscht oder Schlüssel rotiert werden müssen.
Quellen: arXiv:2608.09867, Stolen-Thoughts-Forschungsseite, The Decoder, CocoLoop, Hugging Face Papers; geprüft wurden Einreichungszeitpunkt, Veröffentlichungszeitpunkt, API-Umfang von OpenAI/Anthropic/Google, 315.320 rekonstruierte Blöcke, 6.708 öffentliche Trajektorien, 704 Datenschutz-Artefakte, 367 PII-Artefakte und 182 Zugangsdaten.