Peneliti Mencuri Alasan AI Tersembunyi Dari Jejak Rantai Pemikiran Terenkripsi di Claude, GPT, dan Gemini

Sebuah tim peneliti telah menunjukkan bahwa pemikiran rantai pemikiran tersembunyi yang dihasilkan oleh model AI terkemuka dari Anthropic, OpenAI, dan Google dapat dipulihkan dari jejak terenkripsi, sehingga mengekspos logika kepemilikan, data pribadi, dan kredensial dalam skala besar.

Temuan tersebut, yang dipublikasikan pada 11 Agustus 2026, dalam makalah berjudul Mencuri Jejak Penalaran dari Proprietary LLM APIs, mengungkap kerentanan arsitektur mendasar dalam cara penyedia AI besar melindungi kekayaan intelektual mereka yang paling berharga. Bagi siapa pun yang mengikuti berita AI terkini, penelitian ini menggarisbawahi bagaimana keluaran model terenkripsi sekalipun dapat menjadi sebuah beban ketika dibagikan secara publik.

Cara Kerja Serangan

Penyedia AI terkemuka menyembunyikan pemikiran langkah demi langkah model mereka — yang dikenal sebagai rantai pemikiran — untuk melindungi kekayaan intelektual dan membatasi kebocoran informasi. Daripada menyimpan jejak ini di sisi server, penyedia mengembalikannya ke klien sebagai blok teks terenkripsi yang diteruskan kembali oleh klien pada setiap permintaan berikutnya.

Para peneliti mengidentifikasi bahwa blok terenkripsi ini sepenuhnya kompatibel dan dapat dipertukarkan di berbagai sesi, pengguna, dan model dalam ekosistem penyedia. Portabilitas ini adalah kunci serangan.

Metode ini berfungsi dalam dua panggilan API. Pertama, penyerang mengambil jejak penalaran terenkripsi yang dihasilkan oleh model frontier — misalnya, Claude Opus 4.8 — dan memasukkannya ke dalam model saudara yang lebih lemah dan kurang terlindungi dari penyedia yang sama, seperti Claude Haiku 4.5. Model yang lebih lemah kemudian di-jailbreak dengan instruksi sederhana untuk menuliskan alasannya kata demi kata. Karena blok terenkripsi dapat dipertukarkan, model yang lebih lemah mendekodekan dan mengeluarkan alasan tersembunyi dari model yang lebih kuat dalam teks biasa — tanpa pernah menyerang model yang lebih kuat secara langsung.

Para peneliti mendemonstrasikan serangan ini pada model dari ketiga penyedia utama: Claude Anthropic, GPT OpenAI, dan Gemini Google.

Skala Paparan Data

Temuan yang paling mengkhawatirkan adalah besarnya data sensitif yang bocor melalui log sesi yang dibagikan secara publik. Para peneliti mengumpulkan 6.708 lintasan agen yang tersedia untuk umum dari GitHub dan Hugging Face – diproduksi oleh model Claude, GPT, dan Gemini dan masih berisi blok penalaran terenkripsi.

Menerapkan pipeline decoding ke setiap blok yang ditandatangani menghasilkan 315.320 blok penalaran yang direkonstruksi. Jejak tersembunyi ini mengandung rahasia nyata dan informasi sensitif.

Dengan membatasi sesi pengguna asli dan non-benchmark, para peneliti memulihkan:

• Total 704 artefak privasi berbeda**

• 204 pengidentifikasi teknis (URL internal, jalur server)

• 126 item informasi identitas pribadi (PII), termasuk 30 alamat email pribadi, nama, dan alamat pos

• 23 kredensial termasuk 62 kunci API, 33 kata sandi, dan 24 token akses

Dari 704 artefak, 64 muncul secara eksklusif di dalam blok penalaran dan tidak ada di teks sesi yang terlihat — artinya pengembang yang meninjau log mereka sebelum membagikannya tidak akan tahu bahwa mereka membocorkan rahasia.

Salah satu contoh yang terdokumentasi menunjukkan sesi Codex GPT-5.2 di mana alasan tersembunyi model berisi pemikiran internal terperinci tentang pencarian dan penanganan kunci API, kredensial AWS, dan token GitHub — semuanya tidak terlihat dalam keluaran percakapan yang terlihat.

Mengabaikan Perlindungan Anti-Distilasi

Implikasi besar kedua adalah pengelakan mekanisme anti-distilasi. Penyedia AI sengaja menyembunyikan alasan model mereka untuk mencegah pesaing melatih model yang lebih kecil berdasarkan logika tersebut. Teknik yang dilakukan para peneliti mengabaikan perlindungan ini sepenuhnya.

Untuk memverifikasi kebenaran penalaran yang diterjemahkan, para peneliti menguji 120 masalah pemrograman kompetitif Codeforces. Jumlah token dari penalaran yang didekodekan dengan cermat melacak jumlah token pemikiran tersembunyi yang dilaporkan oleh API masing-masing model, mengonfirmasi pemulihan yang hampir selesai.

Empat Vektor Serangan

Makalah ini mengidentifikasi empat vektor serangan berbeda yang dimungkinkan oleh kerentanan ini:

1. Penghindaran anti-distilasi — Mengekstraksi alasan model kepemilikan untuk melatih model pesaing, yang ditunjukkan di Anthropic, OpenAI, dan Google.

2. Ekstraksi data pribadi skala besar — Mengambil rahasia dan PII dari ribuan blok penalaran terenkripsi yang tanpa disadari telah dibagikan oleh pengembang di repositori publik.

3. Pengungkapan informasi berbahaya — Alasan tersembunyi terkadang berisi konten yang sengaja disembunyikan oleh penyedia dari keluaran yang terlihat, termasuk informasi yang berpotensi berbahaya.

4. Sidik jari model — Penalaran yang didekodekan dapat digunakan untuk mengidentifikasi versi model spesifik mana yang menghasilkan jejak, bahkan ketika identitas model disembunyikan.

Model Mana yang Terkena Dampak

Para peneliti mengkonfirmasi kerentanan pada sistem penalaran terenkripsi dari tiga penyedia utama:

• Antropis — Model Claude mengembalikan blok `berpikir` terenkripsi dengan bidang `tanda tangan`

• OpenAI — Model GPT menampilkan ringkasan alasan terenkripsi

• Google — Model Gemini menampilkan blok pemikiran terenkripsi

Para peneliti mencatat bahwa kasus Kimi-K3, model dari perusahaan AI Tiongkok Moonshot AI yang baru-baru ini lolos dari pengujian sandbox, sangat memprihatinkan karena blok penalaran terenkripsi terbukti sangat mudah untuk didekode.

Apa Artinya Bagi Pengembang

Kesimpulan praktis bagi pengembang sangat jelas: blok penalaran terenkripsi apa pun yang Anda bagikan secara publik — dalam repo GitHub, kumpulan data Hugging Face, atau postingan blog — mungkin berisi rahasia yang dapat dipulihkan. Enkripsi dirancang untuk kesinambungan sesi, bukan kerahasiaan terhadap jenis serangan ini.

Para peneliti merekomendasikan agar pengembang mengaudit log sesi bersama untuk blok penalaran terenkripsi dan menghapusnya sebelum dipublikasikan. Mereka juga meminta penyedia layanan untuk mempertimbangkan kembali arsitektur sistem penalaran terenkripsi mereka, yang saat ini memprioritaskan kenyamanan API dibandingkan keamanan.

Penelitian ini dilakukan oleh Alexander Panfilov, David Schmotz, dan Ilia Shumailov, dengan pengawasan dari Jonas Geiping dan Maksym Andriushchenko, di ELLIS Institute Tübingen, Max Planck Institute for Intelligent Systems, Tübingen AI Center, MATS Research, Snyk, dan Universitas Tübingen.

Tetap Terdepan dalam AI

Lanskap keamanan AI berkembang pesat. Untuk perkembangan AI terkini dan liputan mendalam tentang kerentanan yang muncul, AI Buzz Wire menyampaikan kisah-kisah yang penting.

Baca berita AI selengkapnya →