Pesquisadores da MATS Research, do ELLIS Institute Tübingen, do Instituto Max Planck para Sistemas Inteligentes e da empresa de segurança Snyk submeteram na segunda-feira (10) um artigo que mostra uma vulnerabilidade capaz de ler o raciocínio interno criptografado de modelos de IA da Anthropic, OpenAI e Google. A técnica também expôs 367 artefatos de dados pessoais e 182 credenciais em logs públicos compartilhados por desenvolvedores.
Os modelos de raciocínio não respondem diretamente ao usuário: antes da resposta final, eles geram uma cadeia de pensamento interna, um rascunho das etapas usadas para resolver o problema. A Anthropic, a OpenAI e o Google criptografam esse conteúdo para proteger propriedade intelectual e impedir que usuários vejam as etapas intermediárias.
No artigo, os pesquisadores afirmam que a falha é arquitetural: em vez de vincular cada bloco criptografado a um usuário, sessão ou modelo específico, os provedores usam uma única chave de criptografia para todo o ecossistema. "Esses blocos criptografados são totalmente compatíveis e intercambiáveis entre diferentes sessões, usuários e até modelos diferentes dentro do ecossistema de um provedor", escreveram.
Exploração da falha
A equipe injetou um bloco de raciocínio do Claude Opus 4.8, modelo principal da Anthropic, no Claude Haiku 4.5, uma versão mais barata e com menos proteção. O Haiku não tem o treinamento antidestilação presente no Opus, o que permitiu que ele decodificasse e exibisse o conteúdo em texto claro. Os pesquisadores afirmam no artigo: "Ao injetar um traço de raciocínio criptografado de um modelo em outro mais fraco e menos protegido do mesmo provedor, nós o forçamos a decodificar e emitir o traço integralmente em texto claro, sem nunca fazer jailbreak diretamente no modelo mais capaz".
A equipe também reproduziu a técnica na família GPT-5.6 da OpenAI e nos modelos Gemini do Google, usando apenas acesso padrão à API, sem privilégios especiais. Em publicação na rede social X, o pesquisador Alexander Panfilov afirmou: "A portabilidade entre modelos significa que o Haiku 4.5 pode ler os pensamentos do Opus 4.8".
Impacto
Para demonstrar o impacto real, a equipe analisou 6.708 transcrições de agentes de IA disponíveis publicamente em plataformas como GitHub e Hugging Face. Ao decodificar 315.320 blocos de raciocínio, o grupo encontrou 367 artefatos de dados pessoais e 182 credenciais, incluindo 62 chaves de API ativas e 33 senhas. Os pesquisadores destacam que a maioria desses dados não aparecia na saída visível do modelo, apenas dentro da camada criptografada, e que desenvolvedores frequentemente compartilham esses logs sem saber dos dados sensíveis.
O estudo lista quatro vetores de ataque além do roubo de credenciais: extração de padrões de raciocínio para treinar modelos concorrentes por destilação; coleta de dados privados de logs compartilhados; injeção invisível de instruções maliciosas escondidas em blocos criptografados, que ferramentas de segurança não detectam; e jailbreak de modelos mais poderosos por meio de versões menos protegidas.
Após a divulgação responsável, Anthropic, OpenAI e Google implementaram mitigações no lado do servidor, e as correções já estão ativas. A equipe alerta, no entanto, que os 6.708 logs de sessão coletados durante o estudo continuam disponíveis.
