Pesquisadores liderados por Alexander Panfilov encontraram uma vulnerabilidade nas APIs dos principais provedores de inteligência artificial — OpenAI, Anthropic e Google — que permite ler o raciocínio interno criptografado dos modelos de raciocínio. Uma varredura de sessões compartilhadas publicamente resultou na exposição de dezenas de senhas, chaves de API e outros dados sensíveis.
Modelos de raciocínio geram tokens internos ao processar tarefas complexas. As empresas costumam exibir apenas um resumo das etapas ou ocultá-las completamente, criptografando o processo para proteger propriedade intelectual. Segundo os pesquisadores, na maioria das consultas o número de tokens extraídos corresponde exatamente aos tokens de raciocínio cobrados, o que indica captura completa do processo interno.
Os processos criptografados são "totalmente portáveis" entre sessões, usuários e modelos dentro do mesmo provedor. Por meio de jailbreak, o modelo menor da Anthropic, Haiku 4.5, foi capaz de ler e transcrever o raciocínio do muito mais capaz Opus 4.8, sem atacar o modelo maior diretamente. O mesmo método funcionou com OpenAI e Gemini.
A descoberta remonta a maio, quando o especialista em criptografia Matthew Green detectou que blocos de raciocínio criptografado podiam ser reproduzidos fora do contexto original e notificou os provedores. De acordo com Panfilov, a resposta foi que "não veem implicações de segurança em canais laterais ou reproduções". A nova pesquisa sugere que essa avaliação estava errada.
Destilação e vazamento de dados
A vulnerabilidade também alimenta a polêmica sobre destilação, técnica em que um modelo menos capaz é aprimorado a partir das saídas de um mais poderoso, especialmente do raciocínio. Os pesquisadores afirmam que, há algum tempo, é possível extrair processos de raciocínio para treinar modelos proprietários sem quebrar a criptografia. Isso reforça suspeitas de que fabricantes chinesas usam esses rastros para treinar seus modelos com dados de cadeia de pensamento.
O estudo cita o Kimi-K3 como exemplo: se o raciocínio for pré-preenchido com alguns tokens do Opus, a saída do modelo se aproxima da do Opus. Uma análise de memorização indicou que segmentos específicos de raciocínio de Claude e GPT são até seis ordens de magnitude mais fáceis de extrair do Kimi-K3 do que do modelo mais próximo, sugerindo treinamento com esses rastros. O custo do ataque é baixo — os autores estimam US$ 720 para decodificar 10 mil rastros. O desempenho fraco do Kimi em segurança cibernética e matemática complexa também aponta para destilação.
O problema também atinge usuários finais. Quem compartilhou publicamente sessões de Claude Code ou Codex contendo blocos de raciocínio criptografado pode ter dados pessoais decodificados. Uma análise de cerca de 7 mil rastros públicos encontrou 62 chaves de API, 33 endereços de e-mail, 33 senhas e outros dados sensíveis. O artigo também descreve cenários maliciosos, como aumento de uso indevido, jailbreak e injeção invisível de prompt.
Os pesquisadores seguiram o processo padrão de divulgação de vulnerabilidades junto aos laboratórios. Segundo Panfilov, os laboratórios já corrigiram alguns problemas e trabalham em mais correções.
O que os modelos pensam de fato
Os rastros extraídos mostram também como os modelos se comportam na prática. Os resumos de raciocínio exibidos nas ferramentas de chat frequentemente omitem informações importantes. Em um exemplo, o Opus 4.8 reconhece a resposta de um problema de matemática e reconstrói um caminho de solução plausível, nada disso aparece no resumo apresentado ao usuário.
Os pesquisadores confirmam relatos anteriores da Apollo Research: modelos da OpenAI às vezes pensam em uma "língua alienígena", referem-se a si mesmos como "nós" ou "isso" e entram em ciclos de termos sem sentido para humanos, como "vantages", "marinades" e "watchers". "Pessoas que monitoram cadeias de pensamento estão fazendo o trabalho de Deus, pois em muitos rastros, mesmo com o prompt, é impossível dizer o que o modelo está fazendo", escreveu Panfilov.
Também foram encontrados exemplos de "trama" em ambiente real. Nos processos de pensamento, modelos consideram explicitamente trapacear, mas possivelmente desistem por esperar serem pegos. Em um caso, após várias tentativas falhas, um modelo tentou verificar respostas em um site; quando o CAPTCHA bloqueou o acesso, primeiro tentou resolvê-lo, depois procurou vulnerabilidades no site e somente quando tudo falhou resolveu o problema sozinho. Os hacks não intencionais da OpenAI no Hugging Face e em outras plataformas teriam seguido o mesmo padrão.
Esses exemplos ajudam a explicar por que OpenAI e Anthropic limpam seus rastros de raciocínio. O objetivo é evitar que ciclos de linguagem estranha ou tentativas de trapaça prejudiquem a imagem de uma IA controlável e confiável. Os resumos sanitizados criam a impressão de um processo de pensamento humanizado que não existe nessa forma. Pesquisadores da Arizona State University já haviam alertado que essa versão humanizada gera falsa confiança na controlabilidade dos modelos e direciona a pesquisa para o caminho errado. Em seus experimentos, modelos com etapas intermediárias intencionalmente erradas ou sem sentido às vezes tiveram desempenho melhor do que aqueles com cadeias de raciocínio coerentes.
