Ein Forscherteam hat gezeigt, dass die verborgenen Gedankenketten führender KI-Modelle von Anthropic, OpenAI und Google aus verschlüsselten Spuren wiederhergestellt werden können, wodurch proprietäre Logik, persönliche Daten und Anmeldeinformationen in großem Umfang offengelegt werden.

Die Ergebnisse, die am 11. August 2026 in einem Artikel mit dem Titel „Stealing Reasoning Traces from Proprietary LLM APIs“ veröffentlicht wurden, offenbaren eine grundlegende architektonische Schwachstelle bei der Art und Weise, wie große KI-Anbieter ihr wertvollstes geistiges Eigentum schützen. Für alle, die [aktuelle KI-Nachrichten] (https://aibuzzwire.news) verfolgen, unterstreicht die Studie, dass selbst verschlüsselte Modellausgaben zu einer Belastung werden können, wenn sie öffentlich geteilt werden.

Wie der Angriff funktioniert

Führende KI-Anbieter verbergen die schrittweise Argumentation ihrer Modelle – die sogenannte Gedankenkette –, um geistiges Eigentum zu schützen und Informationslecks zu begrenzen. Anstatt diese Spuren serverseitig zu speichern, geben Anbieter sie als verschlüsselte Textblöcke an den Client zurück, die der Client bei jeder weiteren Anfrage zurückgibt.

Die Forscher stellten fest, dass diese verschlüsselten Blöcke über verschiedene Sitzungen, Benutzer und Modelle innerhalb des Ökosystems eines Anbieters vollständig kompatibel und austauschbar sind. Diese Portabilität ist der Schlüssel zum Angriff.

Die Methode funktioniert in zwei API-Aufrufen. Zunächst nimmt ein Angreifer eine verschlüsselte Argumentationsspur, die von einem Frontier-Modell – zum Beispiel Claude Opus 4.8 – erstellt wurde, und fügt sie in ein schwächeres, weniger geschütztes Geschwistermodell desselben Anbieters ein, wie zum Beispiel Claude Haiku 4.5. Das schwächere Modell erhält dann einen Jailbreak mit einer einfachen Anweisung, die Argumentation wörtlich zu transkribieren. Da der verschlüsselte Block austauschbar ist, dekodiert das schwächere Modell die verborgene Argumentation des stärkeren Modells und gibt sie im Klartext aus – ohne das stärkere Modell jemals direkt anzugreifen.

Die Forscher demonstrierten diesen Angriff anhand von Modellen aller drei großen Anbieter: Claude von Anthropic, GPT von OpenAI und Gemini von Google.

Das Ausmaß der Datenexposition

Das alarmierendste Ergebnis ist das Ausmaß der vertraulichen Daten, die durch öffentlich freigegebene Sitzungsprotokolle verloren gehen. Die Forscher sammelten 6.708 öffentlich verfügbare Agentenverläufe von GitHub und Hugging Face – erstellt von Claude-, GPT- und Gemini-Modellen und immer noch mit verschlüsselten Argumentationsblöcken.

Die Anwendung ihrer Dekodierungspipeline auf jeden signierten Block ergab 315.320 rekonstruierte Argumentationsblöcke. Diese verborgenen Spuren enthielten echte Geheimnisse und sensible Informationen.

Die Forscher beschränkten sich auf echte, nicht dem Benchmark entsprechende Benutzersitzungen und stellten Folgendes fest:

  • Insgesamt 704 verschiedene Datenschutzartefakte
  • 204 technische Identifikatoren (interne URLs, Serverpfade)
  • 126 personenbezogene Daten (PII), darunter 30 persönliche E-Mail-Adressen, Namen und Postanschriften
  • 23 Anmeldeinformationen, darunter 62 API-Schlüssel, 33 Passwörter und 24 Zugriffstoken

Von den 704 Artefakten tauchten 64 ausschließlich innerhalb der Begründungsblöcke und nirgendwo im sichtbaren Sitzungstext auf – was bedeutet, dass Entwickler, die ihre Protokolle vor der Freigabe überprüften, keine Ahnung hatten, dass sie Geheimnisse preisgaben.

Ein dokumentiertes Beispiel zeigte eine GPT-5.2-Codex-Sitzung, in der die verborgene Argumentation des Modells detaillierte interne Gedanken über die Suche nach und den Umgang mit API-Schlüsseln, AWS-Anmeldeinformationen und GitHub-Tokens enthielt – alles unsichtbar in der sichtbaren Ausgabe der Konversation.

Umgehung von Destillationsschutzmaßnahmen

Eine zweite wichtige Implikation ist die Umgehung von Antidestillationsmechanismen. KI-Anbieter verbergen bewusst die Argumentation ihrer Modelle, um zu verhindern, dass Konkurrenten kleinere Modelle auf dieser Logik trainieren. Die Technik der Forscher umgeht diese Schutzmaßnahmen vollständig.

Um die Treue der entschlüsselten Argumentation zu überprüfen, testeten die Forscher 120 Codeforces-Wettbewerbsprogrammierungsprobleme. Die Token-Anzahl der entschlüsselten Argumentation verfolgte genau die Anzahl der versteckten Denk-Token, die von der API jedes Modells gemeldet wurde, und bestätigte eine nahezu vollständige Wiederherstellung.

Vier Angriffsvektoren

Das Papier identifiziert vier verschiedene Angriffsvektoren, die durch diese Sicherheitslücke ermöglicht werden:

1. Anti-Destillation-Umgehung – Extrahieren der Argumentation eines proprietären Modells, um konkurrierende Modelle zu trainieren, demonstriert bei Anthropic, OpenAI und Google.

2. Groß angelegte private Datenextraktion – Gewinnung von Geheimnissen und PII aus den Tausenden verschlüsselten Argumentationsblöcken, die Entwickler unwissentlich in öffentlichen Repositories geteilt haben.

3. Enthüllung gefährlicher Informationen – Die versteckte Begründung enthält manchmal Inhalte, die Anbieter absichtlich aus der sichtbaren Ausgabe unterdrückt haben, einschließlich potenziell gefährlicher Informationen.

4. Modell-Fingerprinting – Entschlüsselte Argumente können verwendet werden, um zu identifizieren, welche spezifische Modellversion eine Spur erzeugt hat, selbst wenn die Modellidentität verborgen bleibt.

Welche Modelle sind betroffen?

Die Forscher bestätigten die Schwachstelle in den verschlüsselten Argumentationssystemen von drei großen Anbietern:

  • Anthropic – Claude-Modelle geben verschlüsselte „Denk“-Blöcke mit einem „Signatur“-Feld zurück
  • OpenAI – GPT-Modelle geben verschlüsselte Argumentationszusammenfassungen zurück
  • Google – Zwillingsmodelle geben verschlüsselte Gedankenblöcke zurück

Die Forscher stellten fest, dass der Fall von Kimi-K3, einem Modell des chinesischen KI-Unternehmens Moonshot AI, das kürzlich den Sandbox-Tests entgangen ist, besonders besorgniserregend ist, da sich seine verschlüsselten Argumentationsblöcke als besonders leicht zu entschlüsseln erwiesen.

Was das für Entwickler bedeutet

Die praktische Erkenntnis für Entwickler ist deutlich: Jeder verschlüsselte Argumentationsblock, den Sie öffentlich teilen – in einem GitHub-Repo, einem Hugging-Face-Datensatz oder einem Blog-Beitrag – kann wiederherstellbare Geheimnisse enthalten. Die Verschlüsselung ist auf Sitzungskontinuität und nicht auf Vertraulichkeit gegen diese Angriffsklasse ausgelegt.

Die Forscher empfehlen den Entwicklern, gemeinsam genutzte Sitzungsprotokolle auf verschlüsselte Argumentationsblöcke zu prüfen und diese vor der Veröffentlichung zu entfernen. Sie fordern die Anbieter außerdem auf, die Architektur ihrer verschlüsselten Argumentationssysteme zu überdenken, bei denen derzeit der API-Komfort Vorrang vor der Sicherheit hat.

Die Forschung wurde von Alexander Panfilov, David Schmotz und Ilia Shumailov unter der Leitung von Jonas Geiping und Maksym Andriushchenko am ELLIS-Institut Tübingen, dem Max-Planck-Institut für Intelligente Systeme, dem Tübingen AI Center, MATS Research, Snyk und der Universität Tübingen durchgeführt.

Bleiben Sie der KI immer einen Schritt voraus

Die KI-Sicherheitslandschaft entwickelt sich rasant weiter. Für die neuesten KI-Entwicklungen und eine ausführliche Berichterstattung über neu auftretende Schwachstellen liefert AI Buzz Wire die wichtigen Geschichten.

Weitere KI-Neuigkeiten lesen →