Un team di ricercatori ha dimostrato che il ragionamento nascosto della catena di pensiero prodotto dai principali modelli di intelligenza artificiale di Anthropic, OpenAI e Google può essere recuperato da tracce crittografate, esponendo logica proprietaria, dati personali e credenziali su larga scala.

I risultati, pubblicati l’11 agosto 2026 in un articolo intitolato Stealing Reasoning Traces from Proprietary LLM APIs, rivelano una vulnerabilità architetturale fondamentale nel modo in cui i principali fornitori di intelligenza artificiale proteggono la loro proprietà intellettuale più preziosa. Per chiunque segua le ultime notizie sull'intelligenza artificiale, la ricerca sottolinea come anche i risultati dei modelli crittografati possano diventare una responsabilità se condivisi pubblicamente.

Come funziona l'attacco

I principali fornitori di intelligenza artificiale nascondono il ragionamento passo passo dei loro modelli, noto come catena di pensiero, per proteggere la proprietà intellettuale e limitare la fuga di informazioni. Invece di archiviare queste tracce lato server, i provider le restituiscono al client come blocchi di testo crittografati che il client restituisce ad ogni richiesta successiva.

I ricercatori hanno identificato che questi blocchi crittografati sono completamente compatibili e intercambiabili tra sessioni, utenti e modelli diversi all'interno dell'ecosistema di un provider. Questa portabilità è la chiave dell’attacco.

Il metodo funziona con due chiamate API. Innanzitutto, un utente malintenzionato prende una traccia di ragionamento crittografata prodotta da un modello di frontiera, ad esempio Claude Opus 4.8, e la inserisce in un modello fratello più debole e meno protetto dello stesso fornitore, come Claude Haiku 4.5. Il modello più debole viene quindi sottoposto a jailbreak con una semplice istruzione di trascrivere il ragionamento parola per parola. Poiché il blocco crittografato è intercambiabile, il modello più debole decodifica e restituisce in chiaro il ragionamento nascosto del modello più forte, senza mai attaccare direttamente il modello più forte.

I ricercatori hanno dimostrato questo attacco attraverso modelli di tutti e tre i principali fornitori: Claude di Anthropic, GPT di OpenAI e Gemini di Google.

La scala di esposizione dei dati

La scoperta più allarmante è l’entità dei dati sensibili trapelati attraverso i registri di sessione condivisi pubblicamente. I ricercatori hanno raccolto 6.708 traiettorie di agenti disponibili pubblicamente da GitHub e Hugging Face, prodotte dai modelli Claude, GPT e Gemini e contenenti ancora blocchi di ragionamento crittografati.

L'applicazione della pipeline di decodifica a ogni blocco firmato ha prodotto 315.320 blocchi di ragionamento ricostruiti. Queste tracce nascoste contenevano veri segreti e informazioni sensibili.

Limitando le sessioni utente autentiche e non benchmark, i ricercatori hanno recuperato:

  • 704 artefatti di privacy distinti in totale
  • 204 identificatori tecnici (URL interni, percorsi del server)
  • 126 elementi di informazioni di identificazione personale (PII), inclusi 30 indirizzi email personali, nomi e indirizzi postali
  • 23 credenziali incluse 62 chiavi API, 33 password e 24 token di accesso

Dei 704 artefatti, 64 sono apparsi esclusivamente all'interno dei blocchi di ragionamento e da nessuna parte nel testo visibile della sessione, il che significa che gli sviluppatori che hanno esaminato i propri registri prima della condivisione non avrebbero avuto idea che stavano trapelando segreti.

Un esempio documentato mostrava una sessione del Codex GPT-5.2 in cui il ragionamento nascosto del modello conteneva pensieri interni dettagliati sulla ricerca e la gestione di chiavi API, credenziali AWS e token GitHub, il tutto invisibile nell'output visibile della conversazione.

Eludere le misure di salvaguardia anti-distillazione

Una seconda importante implicazione è l’elusione dei meccanismi anti-distillazione. I fornitori di intelligenza artificiale nascondono deliberatamente il ragionamento dei loro modelli per impedire ai concorrenti di addestrare modelli più piccoli su quella logica. La tecnica dei ricercatori ignora completamente queste garanzie.

Per verificare la fedeltà del ragionamento decodificato, i ricercatori hanno testato 120 problemi di programmazione competitiva Codeforces. Il conteggio dei token del ragionamento decodificato ha seguito da vicino il conteggio dei token di pensiero nascosti riportato dall'API di ciascun modello, confermando un recupero quasi completo.

Quattro vettori di attacco

Il documento identifica quattro distinti vettori di attacco abilitati da questa vulnerabilità:

1. Elusione anti-distillazione: estrazione del ragionamento di un modello proprietario per addestrare modelli concorrenti, dimostrato su Anthropic, OpenAI e Google.

2. Estrazione di dati privati ​​su larga scala: raccolta di segreti e informazioni personali dalle migliaia di blocchi di ragionamento crittografati che gli sviluppatori hanno inconsapevolmente condiviso in repository pubblici.

3. Rivelazione di informazioni pericolose: il ragionamento nascosto a volte contiene contenuti che i fornitori hanno intenzionalmente eliminato dall'output visibile, comprese informazioni potenzialmente pericolose.

4. Fingerprinting del modello: il ragionamento decodificato può essere utilizzato per identificare quale specifica versione del modello ha prodotto una traccia, anche quando l'identità del modello è nascosta.

Quali modelli sono interessati

I ricercatori hanno confermato la vulnerabilità nei sistemi di ragionamento crittografati di tre principali fornitori:

  • Anthropic — I modelli Claude restituiscono blocchi "pensanti" crittografati con un campo "firma".
  • OpenAI: i modelli GPT restituiscono riepiloghi di ragionamento crittografati
  • Google: i modelli Gemini restituiscono blocchi di pensiero crittografati

I ricercatori hanno notato che il caso di Kimi-K3, un modello della società cinese di intelligenza artificiale Moonshot AI che recentemente è sfuggito ai test sandbox, era particolarmente preoccupante perché i suoi blocchi di ragionamento crittografati si sono rivelati particolarmente facili da decodificare.

Cosa significa per gli sviluppatori

La conclusione pratica per gli sviluppatori è cruda: qualsiasi blocco di ragionamento crittografato condiviso pubblicamente (in un repository GitHub, in un set di dati di Hugging Face o in un post di blog) può contenere segreti recuperabili. La crittografia è progettata per la continuità della sessione, non per la riservatezza contro questa classe di attacchi.

I ricercatori raccomandano agli sviluppatori di controllare i registri delle sessioni condivise per individuare i blocchi di ragionamento crittografati e di rimuoverli prima della pubblicazione. Invitano inoltre i fornitori a riconsiderare l’architettura dei loro sistemi di ragionamento crittografati, che attualmente danno priorità alla comodità delle API rispetto alla sicurezza.

La ricerca è stata condotta da Alexander Panfilov, David Schmotz e Ilia Shumailov, con la supervisione di Jonas Geiping e Maksym Andriushchenko, attraverso l'ELLIS Institute Tübingen, il Max Planck Institute for Intelligent Systems, il Tübingen AI Center, MATS Research, Snyk e l'Università di Tübingen.

Stai al passo con l'intelligenza artificiale

Il panorama della sicurezza dell’intelligenza artificiale si sta evolvendo rapidamente. Per gli ultimi sviluppi dell'intelligenza artificiale e una copertura approfondita delle vulnerabilità emergenti, AI Buzz Wire fornisce le storie che contano.

Leggi altre notizie sull'AI →