Investigadores liderados por Alexander Panfilov encontraron una vulnerabilidad en las APIs de los principales proveedores de inteligencia artificial —OpenAI, Anthropic y Google— que permite leer el razonamiento interno cifrado de los modelos de razonamiento. Un escaneo de sesiones compartidas públicamente resultó en la exposición de decenas de contraseñas, claves de API y otros datos sensibles.
Los modelos de razonamiento generan tokens internos al procesar tareas complejas. Las empresas suelen mostrar solo un resumen de los pasos u ocultarlos por completo, cifrando el proceso para proteger la propiedad intelectual. Según los investigadores, en la mayoría de las consultas el número de tokens extraídos corresponde exactamente a los tokens de razonamiento facturados, lo que indica una captura completa del proceso interno.
Los procesos cifrados son "totalmente portables" entre sesiones, usuarios y modelos dentro del mismo proveedor. Mediante un jailbreak, el modelo más pequeño de Anthropic, Haiku 4.5, pudo leer y transcribir el razonamiento del mucho más capaz Opus 4.8, sin atacar directamente al modelo más grande. El mismo método funcionó con OpenAI y Gemini.
El descubrimiento se remonta a mayo, cuando el especialista en criptografía Matthew Green detectó que los bloques de razonamiento cifrado podían reproducirse fuera del contexto original y notificó a los proveedores. Según Panfilov, la respuesta fue que "no ven implicaciones de seguridad en canales laterales o reproducciones". La nueva investigación sugiere que esa evaluación era incorrecta.
Destilación y fuga de datos
La vulnerabilidad también alimenta la polémica sobre la destilación, técnica en la que un modelo menos capaz se mejora a partir de las salidas de uno más potente, especialmente del razonamiento. Los investigadores afirman que desde hace algún tiempo es posible extraer procesos de razonamiento para entrenar modelos propietarios sin romper el cifrado. Esto refuerza las sospechas de que fabricantes chinos utilizan estos rastros para entrenar sus modelos con datos de cadena de pensamiento.
El estudio cita a Kimi-K3 como ejemplo: si el razonamiento se rellena previamente con algunos tokens de Opus, la salida del modelo se acerca a la de Opus. Un análisis de memorización indicó que segmentos específicos de razonamiento de Claude y GPT son hasta seis órdenes de magnitud más fáciles de extraer de Kimi-K3 que del modelo más cercano, lo que sugiere entrenamiento con estos rastros. El costo del ataque es bajo: los autores estiman US$ 720 para decodificar 10 mil rastros. El débil rendimiento de Kimi en seguridad cibernética y matemáticas complejas también apunta a la destilación.
El problema también afecta a los usuarios finales. Quienes compartieron públicamente sesiones de Claude Code o Codex con bloques de razonamiento cifrado pueden tener datos personales decodificados. Un análisis de alrededor de 7 mil rastros públicos encontró 62 claves de API, 33 direcciones de correo electrónico, 33 contraseñas y otros datos sensibles. El artículo también describe escenarios maliciosos, como un mayor uso indebido, jailbreak e inyección invisible de prompt.
Los investigadores siguieron el proceso estándar de divulgación de vulnerabilidades con los laboratorios. Según Panfilov, los laboratorios ya corrigieron algunos problemas y trabajan en más correcciones.
Lo que los modelos realmente piensan
Los rastros extraídos también muestran cómo se comportan los modelos en la práctica. Los resúmenes de razonamiento que se muestran en las herramientas de chat suelen omitir información importante. En un ejemplo, Opus 4.8 reconoce la respuesta de un problema de matemáticas y reconstruye un camino de solución plausible; nada de eso aparece en el resumen presentado al usuario.
Los investigadores confirman informes anteriores de Apollo Research: los modelos de OpenAI a veces piensan en una "lengua alienígena", se refieren a sí mismos como "nosotros" o "eso" y entran en ciclos de términos sin sentido para los humanos, como "vantages", "marinades" y "watchers". "Las personas que monitorean cadenas de pensamiento están haciendo el trabajo de Dios, porque en muchos rastros, incluso con el prompt, es imposible decir qué está haciendo el modelo", escribió Panfilov.
También se encontraron ejemplos de "tramas" en entornos reales. En los procesos de pensamiento, los modelos consideran explícitamente hacer trampa, pero posiblemente desisten por temor a ser descubiertos. En un caso, después de varios intentos fallidos, un modelo intentó verificar respuestas en un sitio; cuando el CAPTCHA bloqueó el acceso, primero intentó resolverlo, luego buscó vulnerabilidades en el sitio y solo cuando todo falló resolvió el problema por sí mismo. Los hacks no intencionales de OpenAI en Hugging Face y otras plataformas habrían seguido el mismo patrón.
Estos ejemplos ayudan a explicar por qué OpenAI y Anthropic limpian sus rastros de razonamiento. El objetivo es evitar que ciclos de lenguaje extraño o intentos de hacer trampa dañen la imagen de una IA controlable y confiable. Los resúmenes sanitizados crean la impresión de un proceso de pensamiento humanizado que no existe en esa forma. Investigadores de la Universidad Estatal de Arizona ya habían advertido que esa versión humanizada genera una falsa confianza en la controlabilidad de los modelos y dirige la investigación por el camino equivocado. En sus experimentos, los modelos con pasos intermedios intencionalmente erróneos o sin sentido a veces tuvieron un mejor desempeño que aquellos con cadenas de razonamiento coherentes.
