暗号化された推論ブロックは、会話の連続性を保ちながら chain-of-thought を隠すための仕組みだった。新しい論文は、その仕組みが復号の取っ手にもなり得ると示した。
Alexander Panfilov、David Schmotz、Ilia Shumailov ら 8 人は 8 月 10 日、arXiv に “Stealing Reasoning Traces from Proprietary LLM APIs” を投稿した。The Decoder は 8 月 11 日に詳報した。論文と研究サイトによると、OpenAI、Anthropic、Google の API が返す暗号化 reasoning trace は、同じ提供元の中でセッション、ユーザー、モデルをまたいで再利用できる場合がある。
“Proprietary reasoning can be recovered from its encrypted traces.”
弱点はステートレスな文脈管理
推論モデルの提供元は、知的財産と安全策を守るために推論過程を隠す。その一方で、複数ターンの会話を続けるため、暗号化した推論ブロックをクライアントへ返し、次のリクエストで持ち帰らせる。
この設計は便利だが、ブロックが可搬になれば境界が崩れる。研究チームは、強いモデルの暗号化ブロックを取得し、安価で防御の弱い同系モデルに注入し、脱獄プロンプトで明文を転写させる手順を示した。論文の例では Claude Opus 4.8 の推論署名を Claude Haiku 4.5 に入れ、隠れた推論の断片を出力させている。
公開ログにはすでに秘密がある
研究者は GitHub と Hugging Face から、Claude、GPT、Gemini の暗号化推論ブロックを含む 6,708 件の公開 agent 軌跡を集めた。復号パイプラインは 315,320 個の推論ブロックを再構成した。
実ユーザーのセッションに絞ると、研究サイトは 704 個の異なるプライバシー痕跡を報告している。内訳には 62 個の API key、33 個のパスワード、24 個のアクセストークン、30 個の個人メールアドレスが含まれる。arXiv の要約では 367 個の PII artifact と 182 個の credential という別口径でも示されている。
agent ログの掃除ルールが変わる
著者らは公開前に、影響を受ける API 提供元、Microsoft、Hugging Face へ情報を開示したという。対策は、暗号化ブロックをセッション、ユーザー、モデル、用途へ強く結び付けること、そして公開データセットから reasoning signature や encrypted_content、thinking block を除くことに向かう。
情報源：arXiv:2608.09867、Stolen Thoughts 研究サイト、The Decoder、CocoLoop、Hugging Face Papers；投稿時点、公開時点、OpenAI/Anthropic/Google API の範囲、315,320 個の再構成ブロック、6,708 件の公開軌跡、704 個のプライバシー痕跡、367 個の PII と 182 個の credential を確認。