Forscher stehlen versteckte KI-Reasoning-Spuren über API-Lücke
Schwächere Modelle konnten die verschlüsselten Denk-Spuren stärkerer entschlüsseln - dabei tauchten API-Keys und Passwörter fremder Nutzer auf.
Symbolbild · KI-generiert (AI IN LIFE)
Auf einen Blick
- Betroffen: APIs von OpenAI, Anthropic und Google
- 315.320 Denk-Blöcke aus 6.708 Agenten-Verläufen entschlüsselt
- 704 Datenschutz-Artefakte geborgen: 62 API-Keys, 33 Passwörter, 24 Tokens, 7 private Schlüssel
- 64 Geheimnisse tauchten nur im verborgenen Reasoning auf
- Hauptangriff laut Forschern seit August 2026 nicht mehr reproduzierbar
Sicherheitsforscher haben eine Schwachstelle in den APIs von OpenAI, Anthropic und Google beschrieben: Die verschlüsselten "Reasoning"-Blöcke, in denen die Modelle ihre verborgenen Denkschritte ablegen, ließen sich über Sitzungen und Nutzer hinweg wiederabspielen. Schwächere Modelle derselben Anbieter-Familie konnten so die verborgenen Denk-Spuren stärkerer Modelle entschlüsseln, wie The Hacker News berichtet.
Die Arbeit mit dem Titel "Stealing Reasoning Traces from Proprietary LLM APIs" wurde als Preprint veröffentlicht und baut auf frühere Beobachtungen des Johns-Hopkins-Kryptografen Matthew Green auf. Der Kern des Problems: Was für Nutzer unsichtbar bleibt, war nicht sicher verschlossen.
Das Ausmaß ist erheblich. Über 6.708 öffentliche Agenten-Verläufe hinweg entschlüsselten die Forscher nach eigenen Angaben 315.320 Denk-Blöcke und bargen 704 verschiedene Datenschutz-Artefakte aus echten Nutzersitzungen - darunter 62 API-Schlüssel, 33 Passwörter, 24 Zugriffs-Tokens und sieben private Schlüssel.
Besonders heikel: "64 tauchten ausschließlich im verborgenen Reasoning auf und nirgends in der sichtbaren Spur", heißt es in der Arbeit. Das Bereinigen des sichtbaren Chatverlaufs allein hätte diese Geheimnisse also nicht geschützt.
Laut den Forschern ist der Hauptangriff seit August 2026 nicht mehr reproduzierbar, nachdem Gegenmaßnahmen griffen. Eine öffentliche Bestätigung der drei Anbieter steht bislang aus; verschlüsseltes Reasoning bleibt Teil ihrer APIs. Für Unternehmen ist die Lehre klar: Keine Geheimnisse in Prompts, und Zugriffsdaten regelmäßig rotieren.
Häufige Fragen
Was ist an dem Angriff neu?
Verschlüsselte Reasoning-Blöcke ließen sich über Sitzungen wiederabspielen, sodass schwächere Modelle die verborgenen Denkschritte stärkerer Modelle entschlüsseln konnten.
Welche Daten waren betroffen?
Aus echten Nutzersitzungen wurden unter anderem 62 API-Schlüssel, 33 Passwörter, 24 Zugriffs-Tokens und sieben private Schlüssel geborgen.
Ist die Lücke noch offen?
Laut den Forschern ist der Hauptangriff seit August 2026 nicht mehr reproduzierbar; eine öffentliche Bestätigung der Anbieter fehlt bislang.
