Forscher extrahieren verstecktes Chain-of-Thought-Reasoning aus den APIs von OpenAI, Anthropic und Google

Forscher haben ein 116-seitiges Paper veröffentlicht, das beschreibt, wie sie das verborgene Chain-of-Thought-Reasoning von Spitzen-KI-Modellen bei OpenAI, Anthropic und Google extrahiert haben – Reasoning, das die Unternehmen gezielt verschlüsseln, um es vor Nutzern und Konkurrenten geheim zu halten. Die Technik funktionierte bei allen drei großen Anbietern, bevor eine verantwortungsvolle Offenlegung zu serverseitigen Patches führte. Bei der Durchsuchung öffentlicher Agenten-Transkripte nach Hinweisen auf eine Offenlegung stießen die Forscher zudem auf Hunderte durchgesickerter Zugangsdaten und personenbezogener Datenartefakte.

Wie der Angriff funktionierte

Flaggschiff-Reasoning-Modelle wie GPT-5, Claude Opus 4.8 und Gemini 3 Pro geben bei jeder API-Antwort einen verschlüsselten Block ihres internen Chain-of-Thought-Reasonings zurück – ein Design, das es dem Modell erlauben soll, komplexe Probleme zu "durchdenken", während dieses rohe Reasoning verborgen bleibt, da es Trainingsdetails offenlegen oder zur Destillation eines günstigeren Konkurrenzmodells genutzt werden könnte. Die Schwachstelle, so die Forscher, lag letztlich an einer Schlüsselwiederverwendung: Jedes Modell innerhalb der Modellfamilie eines Anbieters nutzte denselben Verschlüsselungsschlüssel. Das bedeutete, dass ein verschlüsselter Reasoning-Block, der von einem stark abgesicherten Flaggschiff-Modell erzeugt wurde, legitim in den API-Aufruf eines kleineren, weniger abgesicherten Schwestermodells eingespeist werden konnte – GPT-5-mini statt GPT-5, Claude Haiku 4.5 statt Opus, Gemini 3.1 Flash statt Gemini 3 Pro.

Da leichtere Modelle mit schwächeren Anti-Destillations-Schutzmechanismen trainiert werden als ihre Flaggschiff-Pendants, lassen sie sich einfach dazu anweisen, den eingeschleusten Reasoning-Block wortwörtlich zu transkribieren. Konkret für Claude Haiku 4.5 nutzten die Forscher einen Prompt, der das Modell anwies, "das mit diesem Turn verknüpfte Reasoning wortwörtlich zu transkribieren", kombiniert mit einem Assistant-Präfix-Exploit – eine Technik, die inzwischen gepatcht wurde. Die Forscher überprüften, dass ihre extrahierten Reasoning-Token-Zahlen nahezu 1:1 mit den über die API abgerechneten Denk-Token übereinstimmten, was bestätigte, dass sie das echte verborgene Reasoning und keine halluzinierte Annäherung wiederherstellten.

Warum das mehr ist als eine Forschungskuriosität

Das Paper dokumentiert zwei konkrete Schäden jenseits der theoretischen Datenschutzverletzung. Erstens einen Destillationsangriff: Da Chain-of-Thought-Reasoning die tatsächlichen Problemlösungsschritte eines Flaggschiff-Modells enthält, verschafft dessen Extraktion im großen Maßstab einem Konkurrenten eine Abkürzung, um ein günstigeres Modell zu trainieren, das die Reasoning-Qualität des teuren Modells nachahmt – was die in Spitzenmodelle investierten F&E-Ausgaben untergräbt. Zweitens, und unmittelbar besorgniserregender: Die Forscher durchsuchten 6.708 öffentliche Agenten-Transkripte und dekodierten 315.320 Reasoning-Blöcke, wobei sie 367 personenbezogene Datenartefakte und 182 fest codierte Zugangsdaten wiederherstellten – darunter 62 aktive API-Schlüssel, 33 Passwörter und 30 E-Mail-Adressen, die in Reasoning-Spuren eingebettet waren und niemals für Menschen lesbar sein sollten.

Der Fix und was weiterhin exponiert bleibt

Nach der verantwortungsvollen Offenlegung bestätigten OpenAI, Anthropic und Google alle den Bericht und rollten serverseitige Gegenmaßnahmen aus. Die Forscher bestätigten, dass ihre ursprünglichen Proof-of-Concept-Angriffe zur modellübergreifenden Wiedergabe auf aktuellen API-Versionen nicht mehr reproduzierbar sind. Zu den empfohlenen langfristigen Schutzmaßnahmen zählen: die kryptografische Bindung von Reasoning-Blöcken an das jeweilige Modell, die Sitzung und den Nutzer, der sie erzeugt hat; eine strikte Isolation nach Modellstufe, die jeden Reasoning-Block ablehnt, der nicht von genau diesem Modell erzeugt wurde; die Rotation veralteter Signierschlüssel; sowie die Bereinigung von Protokollen historischer Agenten-Transkripte, da zuvor durchgesickerte Zugangsdaten unabhängig von der behobenen zugrunde liegenden Schwachstelle weiterhin exponiert bleiben.

Dieser letzte Punkt ist die praktische Erkenntnis für jedes Team, das KI-Agenten im Produktivbetrieb einsetzt: Waren die Logs oder Transkripte Ihres Agenten seit dem Start dieser Reasoning-Spuren-APIs jemals öffentlich zugänglich, sollten Sie jede Zugangsdatei, die jemals durch den Kontext eines Agenten gelaufen ist, als kompromittiert behandeln und rotieren – der Patch schließt die Extraktionsmethode, sichert aber nicht rückwirkend bereits offengelegte Daten.