Blocos de raciocínio criptografados existem para manter continuidade em conversas de API sem expor chain-of-thought. Um novo artigo mostra que essa conveniência também pode virar uma alça de decodificação.
Em 10 de agosto, Alexander Panfilov, David Schmotz, Ilia Shumailov e outros cinco autores submeteram “Stealing Reasoning Traces from Proprietary LLM APIs” ao arXiv. The Decoder publicou a cobertura em 11 de agosto. O artigo e o site do projeto dizem que reasoning traces criptografados retornados por APIs da OpenAI, Anthropic e Google podem ser reutilizados entre sessões, usuários e modelos irmãos dentro do mesmo provedor.
“Proprietary reasoning can be recovered from its encrypted traces.”
O ponto fraco é o contexto sem estado
Provedores de modelos de raciocínio escondem chain-of-thought para proteger propriedade intelectual e mecanismos de segurança. Para continuar conversas de vários turnos, devolvem blocos criptografados ao cliente e esperam que ele os envie de volta nas próximas chamadas.
Os pesquisadores descrevem duas etapas: obter um bloco criptografado de um modelo frontier, injetá-lo em um modelo irmão mais barato e menos protegido, e usar jailbreak para fazê-lo transcrever o trace oculto. O exemplo usa uma assinatura do Claude Opus 4.8 reproduzida no Claude Haiku 4.5.
Logs públicos já carregam segredos
A equipe coletou 6.708 trajetórias públicas de agentes no GitHub e no Hugging Face com blocos criptografados de Claude, GPT e Gemini. O pipeline reconstruiu 315.320 blocos de raciocínio.
Filtrando para sessões reais de usuários, o site do projeto relata 704 artefatos de privacidade distintos, incluindo 62 API keys, 33 senhas, 24 tokens de acesso e 30 e-mails pessoais. O resumo do arXiv apresenta outra contagem: 367 artefatos de PII e 182 credenciais.
Logs de agentes precisam de nova limpeza
Os autores dizem ter avisado os provedores afetados, a Microsoft e o Hugging Face antes da publicação. A lição prática é remover reasoning signatures, encrypted_content e thinking blocks antes de compartilhar traces, escanear logs além das mensagens visíveis e checar se traces antigos exigem exclusão ou rotação de chaves.
Fontes: arXiv:2608.09867, site de pesquisa Stolen Thoughts, The Decoder, CocoLoop, Hugging Face Papers; verificados o envio, a publicação, o escopo das APIs OpenAI/Anthropic/Google, 315.320 blocos reconstruídos, 6.708 trajetórias públicas, 704 artefatos de privacidade, 367 PII e 182 credenciais.