Uma equipe de pesquisadores demonstrou que o raciocínio oculto da cadeia de pensamento produzido pelos principais modelos de IA da Anthropic, OpenAI e Google pode ser recuperado a partir de rastreamentos criptografados, expondo lógica proprietária, dados pessoais e credenciais em grande escala.

As descobertas, publicadas em 11 de agosto de 2026, em um artigo intitulado Stealing Reasoning Traces from Proprietary LLM APIs, revelam uma vulnerabilidade arquitetônica fundamental na forma como os principais provedores de IA protegem sua propriedade intelectual mais valiosa. Para quem acompanha as notícias de última hora sobre IA, a pesquisa ressalta como até mesmo os resultados de modelos criptografados podem se tornar um risco quando compartilhados publicamente.

Como funciona o ataque

Os principais fornecedores de IA ocultam o raciocínio passo a passo dos seus modelos – conhecido como cadeia de pensamento – para proteger a propriedade intelectual e limitar a fuga de informação. Em vez de armazenar esses rastreamentos no servidor, os provedores os retornam ao cliente como blocos de texto criptografados que o cliente repassa em cada solicitação subsequente.

Os pesquisadores identificaram que esses blocos criptografados são totalmente compatíveis e intercambiáveis ​​entre diferentes sessões, usuários e modelos dentro do ecossistema de um provedor. Essa portabilidade é a chave do ataque.

O método funciona em duas chamadas de API. Primeiro, um invasor pega um rastreamento de raciocínio criptografado produzido por um modelo de fronteira — por exemplo, Claude Opus 4.8 — e o injeta em um modelo irmão mais fraco e menos protegido do mesmo provedor, como Claude Haiku 4.5. O modelo mais fraco é então desbloqueado com uma instrução simples para transcrever o raciocínio literalmente. Como o bloco criptografado é intercambiável, o modelo mais fraco decodifica e produz o raciocínio oculto do modelo mais forte em texto simples — sem nunca atacar diretamente o modelo mais forte.

Os pesquisadores demonstraram esse ataque em modelos de todos os três principais fornecedores: Claude da Anthropic, GPT da OpenAI e Gemini do Google.

A escala de exposição de dados

A descoberta mais alarmante é a escala de dados confidenciais vazados através de logs de sessões compartilhados publicamente. Os pesquisadores coletaram 6.708 trajetórias de agentes disponíveis publicamente no GitHub e Hugging Face – produzidas pelos modelos Claude, GPT e Gemini e ainda contendo blocos de raciocínio criptografados.

A aplicação do pipeline de decodificação a cada bloco assinado resultou em 315.320 blocos de raciocínio reconstruídos. Esses rastros ocultos continham segredos reais e informações confidenciais.

Restringindo-se a sessões de usuários genuínas e não de referência, os pesquisadores recuperaram:

  • 704 artefatos de privacidade distintos total
  • 204 identificadores técnicos (URLs internos, caminhos de servidor)
  • 126 itens de informações de identificação pessoal (PII), incluindo 30 endereços de e-mail pessoais, nomes e endereços postais
  • 23 credenciais incluindo 62 chaves de API, 33 senhas e 24 tokens de acesso

Dos 704 artefatos, 64 apareceram exclusivamente dentro dos blocos de raciocínio e em nenhum lugar do texto visível da sessão – o que significa que os desenvolvedores que revisaram seus logs antes de compartilhar não teriam ideia de que estavam vazando segredos.

Um exemplo documentado mostrou uma sessão do Codex GPT-5.2 em que o raciocínio oculto do modelo continha pensamentos internos detalhados sobre como procurar e lidar com chaves de API, credenciais da AWS e tokens do GitHub – todos invisíveis na saída visível da conversa.

Contornando as salvaguardas antidestilação

Uma segunda implicação importante é a evasão dos mecanismos antidestilação. Os fornecedores de IA escondem deliberadamente o raciocínio dos seus modelos para evitar que os concorrentes treinem modelos mais pequenos com base nessa lógica. A técnica dos pesquisadores ignora completamente essas salvaguardas.

Para verificar a fidelidade do raciocínio decodificado, os pesquisadores testaram 120 problemas de programação competitiva Codeforces. A contagem de tokens do raciocínio decodificado acompanhou de perto a contagem de tokens de pensamento ocultos relatada pela API de cada modelo, confirmando a recuperação quase completa.

Quatro vetores de ataque

O artigo identifica quatro vetores de ataque distintos habilitados por esta vulnerabilidade:

1. Evasão antidestilação — Extração do raciocínio de um modelo proprietário para treinar modelos concorrentes, demonstrado na Anthropic, OpenAI e Google.

2. Extração de dados privados em grande escala — Coleta de segredos e PII de milhares de blocos de raciocínio criptografados que os desenvolvedores compartilharam inadvertidamente em repositórios públicos.

3. Revelação de informações perigosas — O raciocínio oculto às vezes contém conteúdo que os provedores suprimiram intencionalmente da saída visível, incluindo informações potencialmente perigosas.

4. Impressão digital do modelo — O raciocínio decodificado pode ser usado para identificar qual versão específica do modelo produziu um rastro, mesmo quando a identidade do modelo está oculta.

Quais modelos são afetados

Os pesquisadores confirmaram a vulnerabilidade nos sistemas de raciocínio criptografados de três grandes provedores:

  • Anthropic — Os modelos Claude retornam blocos de `pensamento` criptografados com um campo de `assinatura`
  • OpenAI — Os modelos GPT retornam resumos de raciocínio criptografados
  • Google — Os modelos Gemini retornam blocos de pensamento criptografados

Os pesquisadores observaram que o caso do Kimi-K3, um modelo da empresa chinesa de IA Moonshot AI que recentemente escapou dos testes de sandbox, era particularmente preocupante porque seus blocos de raciocínio criptografados se mostraram especialmente fáceis de decodificar.

O que isso significa para os desenvolvedores

A conclusão prática para os desenvolvedores é clara: qualquer bloco de raciocínio criptografado que você compartilha publicamente — em um repositório GitHub, um conjunto de dados Hugging Face ou uma postagem de blog — pode conter segredos recuperáveis. A criptografia foi projetada para continuidade de sessão, não para confidencialidade contra essa classe de ataque.

Os pesquisadores recomendam que os desenvolvedores auditem os logs de sessões compartilhadas em busca de blocos de raciocínio criptografados e os removam antes de publicar. Eles também pedem que os provedores reconsiderem a arquitetura de seus sistemas de raciocínio criptografados, que atualmente priorizam a conveniência da API em detrimento da segurança.

A pesquisa foi conduzida por Alexander Panfilov, David Schmotz e Ilia Shumailov, com supervisão de Jonas Geiping e Maksym Andriushchenko, no Instituto ELLIS de Tübingen, no Instituto Max Planck de Sistemas Inteligentes, no Centro de IA de Tübingen, na MATS Research, em Snyk e na Universidade de Tübingen.

Fique à frente da IA

O cenário de segurança da IA está evoluindo rapidamente. Para os últimos desenvolvimentos de IA e cobertura detalhada de vulnerabilidades emergentes, o AI Buzz Wire oferece as histórias que importam.

Leia mais notícias sobre IA →