Les blocs de raisonnement chiffrés servent à garder le contexte d'une conversation API sans exposer la chain-of-thought. Un nouveau papier montre que ce choix peut aussi devenir un point d'entrée pour la décoder.
Le 10 août, Alexander Panfilov, David Schmotz, Ilia Shumailov et cinq coauteurs ont soumis “Stealing Reasoning Traces from Proprietary LLM APIs” à arXiv. The Decoder a publié son article le 11 août. Le papier et le site du projet indiquent que des reasoning traces chiffrées retournées par les APIs d'OpenAI, Anthropic et Google peuvent être rejouées entre sessions, utilisateurs et modèles frères au sein du même fournisseur.
“Proprietary reasoning can be recovered from its encrypted traces.”
La faille vient du contexte sans état
Les fournisseurs de modèles de raisonnement cachent la chain-of-thought pour protéger leur IP et leurs garde-fous. Pour poursuivre une conversation sur plusieurs tours, ils renvoient au client des blocs chiffrés que le client doit joindre aux requêtes suivantes.
Les chercheurs décrivent une attaque en deux temps : récupérer un bloc chiffré d'un modèle frontier, l'injecter dans un modèle frère moins cher et moins protégé, puis le jailbreaker pour qu'il transcrive la trace cachée. L'exemple du papier rejoue une signature de Claude Opus 4.8 dans Claude Haiku 4.5.
Les logs publics contiennent déjà des secrets
L'équipe a collecté 6 708 trajectoires publiques d'agents sur GitHub et Hugging Face contenant encore des blocs chiffrés produits par Claude, GPT et Gemini. Son pipeline a reconstruit 315 320 blocs de raisonnement.
En se limitant à de vraies sessions utilisateur, le site du projet recense 704 artefacts de confidentialité distincts, dont 62 API keys, 33 mots de passe, 24 jetons d'accès et 30 adresses e-mail personnelles. Le résumé arXiv présente aussi 367 artefacts PII et 182 identifiants.
Les logs d'agents doivent être nettoyés autrement
Les auteurs disent avoir prévenu les fournisseurs concernés, Microsoft et Hugging Face avant publication. La règle pratique est claire : retirer reasoning signatures, encrypted_content et thinking blocks avant de partager des traces, scanner les logs au-delà des messages visibles et vérifier si les anciennes traces imposent suppression ou rotation de clés.
Sources : arXiv:2608.09867, site de recherche Stolen Thoughts, The Decoder, CocoLoop, Hugging Face Papers ; vérification du dépôt, de la publication, du périmètre API OpenAI/Anthropic/Google, des 315 320 blocs reconstruits, 6 708 trajectoires publiques, 704 artefacts de confidentialité, 367 PII et 182 identifiants.