Thought Leadership
Ein Forschungspapier zeigt, wie sich verschlüsselte Denkschritte von KI-Modellen zwischen Sitzungen und Nutzern auslesen ließen.
Das am 12. August veröffentlichte Papier zeigt, wie sich verschlüsselte Reasoning-Objekte von OpenAI, Anthropic und Google zwischen Sitzungen, Nutzern und sogar unterschiedlichen Modellen wiederverwenden ließen. Ein schwächeres Modell derselben Anbieterfamilie ließ sich dabei dazu bringen, die eigentlich verborgenen Denkschritte eines stärkeren Modells als Klartext auszugeben, etwa Claude Haiku 4.5 für Claude-Inhalte oder GPT-5.6 Luna für GPT-Inhalte.
Aus 6.708 öffentlich einsehbaren Agenten-Protokollen dekodierten die Forscher insgesamt 315.320 solcher Denkblöcke. Nach Abzug reiner Benchmark-Quellen fanden sie darin 704 eigenständige, sensible Fundstücke aus echten Nutzersitzungen, darunter 62 API-Schlüssel, 33 Passwörter, 24 Zugangstoken und sieben private Schlüssel. Bei 64 dieser Funde tauchten die sensiblen Daten ausschließlich im verborgenen Denkblock auf, nicht im sichtbaren Gesprächsverlauf, sodass eine reine Bereinigung des sichtbaren Textes nicht ausgereicht hätte. Die verwendete Verschlüsselung selbst wurde dabei nicht gebrochen, die Angreifer benötigten keinen Schlüssel, sondern nutzten lediglich aus, dass die undurchsichtigen Blöcke von den Anbietern unverändert angenommen und verarbeitet wurden.
KI-Reasoning-Blöcke aus geteilten Protokollen entfernen
Die Forscher meldeten ihre Erkenntnisse den betroffenen Anbietern; nach eigenen Angaben funktioniert der zentrale Extraktionsangriff seit den daraufhin umgesetzten Gegenmaßnahmen nicht mehr. Eine öffentliche Bestätigung durch OpenAI, Anthropic oder Google selbst lag zum Zeitpunkt der Veröffentlichung nicht vor, ebenso unklar bleibt, ob bereits öffentlich einsehbare, ältere Denkblöcke weiterhin auslesbar sind. Hinweise auf eine tatsächliche Ausnutzung außerhalb der Forschungsarbeit fanden sich nicht. Entwicklern wird empfohlen, Reasoning-Blöcke aus geteilten Protokollen konsequent zu entfernen und keine rohen API-Mitschnitte zu veröffentlichen, selbst wenn der sichtbare Text bereits bereinigt wurde.
(red)
