Een team van onderzoekers heeft aangetoond dat de verborgen gedachtegang die wordt geproduceerd door toonaangevende AI-modellen van Anthropic, OpenAI en Google kan worden hersteld uit gecodeerde sporen, waardoor bedrijfseigen logica, persoonlijke gegevens en inloggegevens op grote schaal worden blootgelegd.

De bevindingen, gepubliceerd op 11 augustus 2026, in een artikel met de titel Stealing Reasoning Traces from Proprietary LLM APIs, onthullen een fundamentele architectonische kwetsbaarheid in de manier waarop grote AI-aanbieders hun meest waardevolle intellectuele eigendom beschermen. Voor iedereen die het laatste AI-nieuws (https://aibuzzwire.news) volgt, onderstreept het onderzoek hoe zelfs versleutelde modeluitvoer een risico kan worden als het openbaar wordt gedeeld.

Hoe de aanval werkt

Toonaangevende AI-aanbieders verbergen de stapsgewijze redenering van hun modellen – ook wel keten van gedachten genoemd – om intellectueel eigendom te beschermen en het lekken van informatie te beperken. In plaats van deze sporen op de server op te slaan, sturen providers ze terug naar de client als gecodeerde tekstblokken die de client bij elk volgend verzoek terugstuurt.

De onderzoekers hebben vastgesteld dat deze gecodeerde blokken volledig compatibel en uitwisselbaar zijn tussen verschillende sessies, gebruikers en modellen binnen het ecosysteem van een provider. Deze draagbaarheid is de sleutel tot de aanval.

De methode werkt in twee API-aanroepen. Ten eerste neemt een aanvaller een gecodeerd redeneerspoor dat is geproduceerd door een grensmodel (bijvoorbeeld Claude Opus 4.8) en injecteert dit in een zwakker, minder veilig zustermodel van dezelfde provider, zoals Claude Haiku 4.5. Het zwakkere model wordt vervolgens gejailbreakt met een eenvoudige instructie om de redenering woordelijk te transcriberen. Omdat het gecodeerde blok uitwisselbaar is, decodeert het zwakkere model de verborgen redenering van het sterkere model en geeft het in leesbare tekst weer - zonder ooit het sterkere model rechtstreeks aan te vallen.

De onderzoekers demonstreerden deze aanval op modellen van alle drie de grote providers: Claude van Anthropic, GPT van OpenAI en Gemini van Google.

De schaal van gegevensblootstelling

De meest alarmerende bevinding is de omvang van de gevoelige gegevens die zijn gelekt via openbaar gedeelde sessielogboeken. De onderzoekers verzamelden 6.708 openbaar beschikbare agenttrajecten van GitHub en Hugging Face – geproduceerd door Claude-, GPT- en Gemini-modellen en die nog steeds gecodeerde redeneringsblokken bevatten.

Het toepassen van hun decoderingspijplijn op elk ondertekend blok leverde 315.320 gereconstrueerde redeneerblokken op. Deze verborgen sporen bevatten echte geheimen en gevoelige informatie.

Door zich te beperken tot echte, niet-benchmarkgebruikerssessies, ontdekten de onderzoekers:

  • 704 verschillende privacyartefacten in totaal
  • 204 technische identificatiegegevens (interne URL's, serverpaden)
  • 126 persoonlijk identificeerbare informatie (PII)-items, waaronder 30 persoonlijke e-mailadressen, namen en postadressen
  • 23 inloggegevens inclusief 62 API-sleutels, 33 wachtwoorden en 24 toegangstokens

Van de 704 artefacten verschenen er 64 uitsluitend in de redeneerblokken en nergens in de zichtbare sessietekst. Dit betekent dat ontwikkelaars die hun logs hadden bekeken voordat ze deze deelden, geen idee hadden dat ze geheimen lekten.

Eén gedocumenteerd voorbeeld toonde een GPT-5.2 Codex-sessie waarin de verborgen redenering van het model gedetailleerde interne gedachten bevatte over het zoeken naar en omgaan met API-sleutels, AWS-referenties en GitHub-tokens – allemaal onzichtbaar in de zichtbare uitvoer van het gesprek.

Het omzeilen van anti-distillatiewaarborgen

Een tweede belangrijke implicatie is het omzeilen van anti-destillatiemechanismen. AI-aanbieders verbergen opzettelijk de redenering van hun modellen om te voorkomen dat concurrenten kleinere modellen op basis van die logica trainen. De techniek van de onderzoekers omzeilt deze waarborgen volledig.

Om de betrouwbaarheid van de gedecodeerde redenering te verifiëren, testten de onderzoekers 120 concurrerende programmeerproblemen van Codeforce. Het aantal tokens van gedecodeerd redeneren volgde nauwgezet het aantal verborgen denktokens dat door de API van elk model werd gerapporteerd, wat een vrijwel volledig herstel bevestigde.

Vier aanvalsvectoren

Het artikel identificeert vier verschillende aanvalsvectoren die mogelijk worden gemaakt door dit beveiligingslek:

1. Anti-distillatie-omzeiling — Het extraheren van de redenering van een eigen model om concurrerende modellen te trainen, gedemonstreerd in Anthropic, OpenAI en Google.

2. Grootschalige extractie van privégegevens — Het verzamelen van geheimen en PII uit de duizenden gecodeerde redeneringsblokken die ontwikkelaars onbewust hebben gedeeld in openbare opslagplaatsen.

3. Onthulling van gevaarlijke informatie — De verborgen redenering bevat soms inhoud die providers opzettelijk uit de zichtbare uitvoer hebben verborgen, inclusief potentieel gevaarlijke informatie.

4. Modelvingerafdrukken — Gedecodeerde redenering kan worden gebruikt om te identificeren welke specifieke modelversie een spoor heeft opgeleverd, zelfs als de modelidentiteit verborgen is.

Om welke modellen het gaat

De onderzoekers bevestigden de kwetsbaarheid in de gecodeerde redeneersystemen van drie grote providers:

  • Antropisch — Claude-modellen retourneren gecodeerde 'denkblokken' met een 'handtekening'-veld
  • OpenAI — GPT-modellen retourneren gecodeerde redeneringssamenvattingen
  • Google — Gemini-modellen retourneren gecodeerde gedachteblokken

De onderzoekers merkten op dat het geval van Kimi-K3, een model van het Chinese AI-bedrijf Moonshot AI dat onlangs aan de sandbox-tests ontsnapte, bijzonder zorgwekkend was omdat de gecodeerde redeneerblokken bijzonder gemakkelijk te decoderen bleken.

Wat dit betekent voor ontwikkelaars

De praktische conclusie voor ontwikkelaars is duidelijk: elk versleuteld redeneerblok dat je publiekelijk deelt (in een GitHub-opslagplaats, een Hugging Face-dataset of een blogpost) kan herstelbare geheimen bevatten. De versleuteling is ontworpen voor sessiecontinuïteit, niet voor vertrouwelijkheid tegen deze aanvalsklasse.

De onderzoekers raden ontwikkelaars aan om gedeelde sessielogboeken te controleren op versleutelde redeneringsblokken en deze te verwijderen voordat ze worden gepubliceerd. Ze roepen providers ook op om de architectuur van hun gecodeerde redeneringssystemen te heroverwegen, die momenteel prioriteit geven aan API-gemak boven beveiliging.

Het onderzoek werd uitgevoerd door Alexander Panfilov, David Schmotz en Ilia Shumailov, onder supervisie van Jonas Geiping en Maksym Andriushchenko, bij het ELLIS Instituut Tübingen, het Max Planck Instituut voor Intelligente Systemen, het Tübingen AI Center, MATS Research, Snyk en de Universiteit van Tübingen.

Blijf AI een stap voor

Het AI-beveiligingslandschap evolueert snel. Voor de laatste AI-ontwikkelingen en diepgaande berichtgeving over opkomende kwetsbaarheden, levert AI Buzz Wire de verhalen die er toe doen.

Lees meer AI-nieuws →