Une équipe de chercheurs a démontré que le raisonnement caché en chaîne de pensée produit par les principaux modèles d’IA d’Anthropic, OpenAI et Google peut être récupéré à partir de traces cryptées, exposant ainsi la logique propriétaire, les données personnelles et les informations d’identification à grande échelle.

Les résultats, publiés le 11 août 2026 dans un article intitulé Stealing Reasoning Traces from Proprietary LLM APIs, révèlent une vulnérabilité architecturale fondamentale dans la manière dont les principaux fournisseurs d'IA protègent leur propriété intellectuelle la plus précieuse. Pour tous ceux qui suivent les dernières actualités sur l'IA (https://aibuzzwire.news), la recherche souligne à quel point même les sorties de modèles chiffrées peuvent devenir un handicap lorsqu'elles sont partagées publiquement.

Comment fonctionne l'attaque

Les principaux fournisseurs d’IA dissimulent le raisonnement étape par étape de leurs modèles – connu sous le nom de chaîne de pensée – pour protéger la propriété intellectuelle et limiter les fuites d’informations. Plutôt que de stocker ces traces côté serveur, les fournisseurs les renvoient au client sous forme de blocs de texte cryptés que le client renvoie à chaque requête ultérieure.

Les chercheurs ont identifié que ces blocs cryptés sont entièrement compatibles et interchangeables entre différentes sessions, utilisateurs et modèles au sein de l'écosystème d'un fournisseur. Cette portabilité est la clé de l’attaque.

La méthode fonctionne en deux appels API. Tout d’abord, un attaquant prend une trace de raisonnement chiffrée produite par un modèle frontière – par exemple Claude Opus 4.8 – et l’injecte dans un modèle frère plus faible et moins sécurisé du même fournisseur, tel que Claude Haiku 4.5. Le modèle le plus faible est ensuite jailbreaké avec une simple instruction pour retranscrire textuellement le raisonnement. Étant donné que le bloc chiffré est interchangeable, le modèle le plus faible décode et affiche le raisonnement caché du modèle le plus fort en texte clair, sans jamais attaquer directement le modèle le plus fort.

Les chercheurs ont démontré cette attaque sur les modèles des trois principaux fournisseurs : Claude d'Anthropic, GPT d'OpenAI et Gemini de Google.

L'ampleur de l'exposition des données

Le résultat le plus alarmant est l’ampleur des fuites de données sensibles via les journaux de session partagés publiquement. Les chercheurs ont collecté 6 708 trajectoires d’agents accessibles au public sur GitHub et Hugging Face – produites par les modèles Claude, GPT et Gemini et contenant toujours des blocs de raisonnement cryptés.

L'application de leur pipeline de décodage à chaque bloc signé a donné 315 320 blocs de raisonnement reconstruits. Ces traces cachées contenaient de véritables secrets et informations sensibles.

En se limitant à des sessions utilisateur authentiques et non comparatives, les chercheurs ont récupéré :

  • 704 artefacts de confidentialité distincts au total
  • 204 identifiants techniques (URL internes, chemins de serveur)
  • 126 éléments d'informations personnellement identifiables (PII), dont 30 adresses e-mail personnelles, noms et adresses postales
  • 23 identifiants dont 62 clés API, 33 mots de passe et 24 jetons d'accès

Sur les 704 artefacts, 64 sont apparus exclusivement dans les blocs de raisonnement et nulle part dans le texte de session visible, ce qui signifie que les développeurs qui ont examiné leurs journaux avant de les partager n'auraient aucune idée qu'ils divulguaient des secrets.

Un exemple documenté montre une session Codex GPT-5.2 dans laquelle le raisonnement caché du modèle contenait des réflexions internes détaillées sur la recherche et la gestion des clés API, des informations d'identification AWS et des jetons GitHub, tous invisibles dans la sortie visible de la conversation.

Contourner les garanties anti-distillation

Une deuxième implication majeure est le contournement des mécanismes anti-distillation. Les fournisseurs d’IA cachent délibérément le raisonnement de leurs modèles pour empêcher leurs concurrents de former des modèles plus petits sur cette logique. La technique des chercheurs contourne entièrement ces garanties.

Pour vérifier la fidélité du raisonnement décodé, les chercheurs ont testé 120 problèmes de programmation compétitifs Codeforces. Le nombre de jetons de raisonnement décodé a suivi de près le nombre de jetons de pensée cachés rapporté par l'API de chaque modèle, confirmant une récupération presque complète.

Quatre vecteurs d'attaque

Le document identifie quatre vecteurs d'attaque distincts activés par cette vulnérabilité :

1. Contournement anti-distillation — Extraction du raisonnement d'un modèle propriétaire pour entraîner des modèles concurrents, démontré dans Anthropic, OpenAI et Google.

2. Extraction de données privées à grande échelle — Récolte de secrets et d'informations personnelles à partir de milliers de blocs de raisonnement cryptés que les développeurs ont partagés sans le savoir dans des référentiels publics.

3. Révélation d'informations dangereuses — Le raisonnement caché contient parfois du contenu que les fournisseurs ont intentionnellement supprimé de la sortie visible, y compris des informations potentiellement dangereuses.

4. Empreinte digitale du modèle — Un raisonnement décodé peut être utilisé pour identifier quelle version spécifique du modèle a produit une trace, même lorsque l'identité du modèle est dissimulée.

Quels modèles sont concernés

Les chercheurs ont confirmé la vulnérabilité des systèmes de raisonnement cryptés de trois principaux fournisseurs :

  • Anthropic — Les modèles Claude renvoient des blocs de « réflexion » chiffrés avec un champ « signature »
  • OpenAI — Les modèles GPT renvoient des résumés de raisonnement cryptés
  • Google – Les modèles Gemini renvoient des blocs de pensée cryptés

Les chercheurs ont noté que le cas du Kimi-K3, un modèle de la société chinoise d’IA Moonshot AI qui a récemment échappé aux tests du bac à sable, était particulièrement préoccupant car ses blocs de raisonnement cryptés se sont révélés particulièrement faciles à décoder.

Ce que cela signifie pour les développeurs

La conclusion pratique pour les développeurs est claire : tout bloc de raisonnement chiffré que vous partagez publiquement (dans un dépôt GitHub, un ensemble de données Hugging Face ou un article de blog) peut contenir des secrets récupérables. Le chiffrement est conçu pour la continuité de la session, et non pour la confidentialité contre cette classe d'attaque.

Les chercheurs recommandent aux développeurs de vérifier les journaux de session partagés pour détecter les blocs de raisonnement chiffrés et de les supprimer avant de les publier. Ils appellent également les fournisseurs à reconsidérer l’architecture de leurs systèmes de raisonnement chiffrés, qui privilégient actuellement la commodité des API plutôt que la sécurité.

La recherche a été menée par Alexander Panfilov, David Schmotz et Ilia Shumailov, sous la supervision de Jonas Geiping et Maksym Andriushchenko, à travers l'Institut ELLIS de Tübingen, l'Institut Max Planck pour les systèmes intelligents, le Centre d'IA de Tübingen, MATS Research, Snyk et l'Université de Tübingen.

Gardez une longueur d'avance sur l'IA

Le paysage de la sécurité de l’IA évolue rapidement. Pour les derniers développements de l'IA et une couverture approfondie des vulnérabilités émergentes, AI Buzz Wire livre les histoires qui comptent.

Lire plus d'actualités sur l'IA →