محققین کی ایک ٹیم نے یہ ثابت کیا ہے کہ اینتھروپک، اوپن اے آئی اور گوگل کے سرکردہ اے آئی ماڈلز کے ذریعہ تیار کردہ پوشیدہ چین آف تھٹ استدلال کو خفیہ کردہ نشانات سے بازیافت کیا جا سکتا ہے، ملکیتی منطق، ذاتی ڈیٹا، اور اسناد کو بڑے پیمانے پر سامنے لایا جا سکتا ہے۔
11 اگست، 2026 کو شائع ہونے والے ایک مقالے میں ’اسٹیلنگ ریزننگ ٹریسز فرام پروپرائٹری LLM APIs* کے عنوان سے یہ نتائج ایک بنیادی آرکیٹیکچرل کمزوری کو ظاہر کرتے ہیں کہ کس طرح بڑے AI فراہم کنندگان اپنی سب سے قیمتی دانشورانہ املاک کی حفاظت کرتے ہیں۔ بریکنگ AI نیوز کی پیروی کرنے والے ہر شخص کے لیے، تحقیق اس بات کی نشاندہی کرتی ہے کہ عوامی طور پر شیئر کیے جانے پر انکرپٹڈ ماڈل آؤٹ پٹس بھی کس طرح ذمہ داری بن سکتے ہیں۔
حملہ کیسے کام کرتا ہے۔
معروف AI فراہم کنندگان اپنے ماڈلز کے قدم بہ قدم استدلال کو چھپاتے ہیں - جسے چین آف تھاٹ کہا جاتا ہے - دانشورانہ املاک کی حفاظت اور معلومات کے رساو کو محدود کرنے کے لیے۔ ان نشانات کو سرور کے اطراف میں ذخیرہ کرنے کے بجائے، فراہم کنندگان انہیں کلائنٹ کو متن کے خفیہ کردہ بلاکس کے طور پر واپس کرتے ہیں جو کلائنٹ ہر بعد کی درخواست کے ساتھ واپس بھیج دیتا ہے۔
محققین نے شناخت کیا کہ یہ خفیہ کردہ بلاکس فراہم کنندہ کے ماحولیاتی نظام کے اندر مختلف سیشنز، صارفین اور ماڈلز میں مکمل طور پر ہم آہنگ اور قابل تبادلہ ہیں۔ یہ پورٹیبلٹی حملے کی کلید ہے۔
یہ طریقہ دو API کالوں میں کام کرتا ہے۔ سب سے پہلے، ایک حملہ آور فرنٹیئر ماڈل کے ذریعے تیار کردہ ایک انکرپٹڈ ریجننگ ٹریس لیتا ہے — مثال کے طور پر، Claude Opus 4.8 — اور اسے اسی فراہم کنندہ سے ایک کمزور، کم محفوظ بہن بھائی کے ماڈل میں داخل کرتا ہے، جیسے Claude Haiku 4.5۔ اس کے بعد کمزور ماڈل کو ایک سادہ ہدایت کے ساتھ جیل توڑ دیا جاتا ہے تاکہ استدلال کو لفظی طور پر نقل کیا جا سکے۔ چونکہ انکرپٹڈ بلاک قابل تبادلہ ہے، کمزور ماڈل مضبوط ماڈل پر براہ راست حملہ کیے بغیر مضبوط ماڈل کی پوشیدہ دلیل کو سادہ متن میں ڈی کوڈ اور آؤٹ پٹ کرتا ہے۔
محققین نے تینوں بڑے فراہم کنندگان کے ماڈلز میں اس حملے کا مظاہرہ کیا: انتھروپکس کلاڈ، اوپن اے آئی کا جی پی ٹی، اور گوگل کا جیمنی۔
ڈیٹا کی نمائش کا پیمانہ
سب سے زیادہ خطرناک تلاش عوامی طور پر مشترکہ سیشن لاگز کے ذریعے لیک ہونے والے حساس ڈیٹا کا پیمانہ ہے۔ محققین نے GitHub اور Hugging Face سے 6,708 عوامی طور پر دستیاب ایجنٹ کے راستے اکٹھے کیے — جو کلاڈ، جی پی ٹی، اور جیمنی ماڈلز کے ذریعے تیار کیے گئے ہیں اور اب بھی انکرپٹڈ ریجننگ بلاکس پر مشتمل ہیں۔
ان کی ڈی کوڈنگ پائپ لائن کو ہر دستخط شدہ بلاک پر لاگو کرنے سے 315,320 دوبارہ تعمیر شدہ ریجننگ بلاکس ملے۔ ان چھپے ہوئے نشانات میں حقیقی راز اور حساس معلومات موجود تھیں۔
حقیقی، غیر بینچ مارک صارف سیشنوں تک محدود، محققین نے بازیافت کیا:
- 704 مختلف رازداری کے نمونے کل
- 204 تکنیکی شناخت کنندگان (اندرونی یو آر ایل، سرور کے راستے)
- 126 ذاتی طور پر قابل شناخت معلومات (PII) آئٹمز، بشمول 30 ذاتی ای میل پتے، نام، اور ڈاک پتے
- 23 اسناد بشمول 62 API کیز، 33 پاس ورڈز، اور 24 رسائی ٹوکنز
704 نمونوں میں سے، 64 خصوصی طور پر ریجننگ بلاکس کے اندر نمودار ہوئے اور کہیں بھی نظر آنے والے سیشن ٹیکسٹ میں نہیں — یعنی ڈیولپرز جنہوں نے شیئر کرنے سے پہلے اپنے لاگز کا جائزہ لیا انہیں اندازہ نہیں ہوگا کہ وہ راز افشا کر رہے ہیں۔
ایک دستاویزی مثال نے GPT-5.2 کوڈیکس سیشن دکھایا جہاں ماڈل کے پوشیدہ استدلال میں API کیز، AWS اسناد، اور GitHub ٹوکنز تلاش کرنے اور ان کو سنبھالنے کے بارے میں تفصیلی داخلی خیالات شامل تھے - یہ سب بات چیت کے مرئی آؤٹ پٹ میں پوشیدہ ہیں۔
اینٹی ڈسٹلیشن سیف گارڈز کو روکنا
دوسرا بڑا مضمرات اینٹی ڈسٹلیشن میکانزم کی روک تھام ہے۔ AI فراہم کرنے والے جان بوجھ کر اپنے ماڈلز کے استدلال کو چھپاتے ہیں تاکہ حریفوں کو اس منطق پر چھوٹے ماڈلز کی تربیت دینے سے روکا جا سکے۔ محققین کی تکنیک ان حفاظتی تدابیر کو مکمل طور پر نظرانداز کرتی ہے۔
ڈی کوڈ شدہ استدلال کی وفاداری کی تصدیق کرنے کے لیے، محققین نے 120 Codeforces مسابقتی پروگرامنگ کے مسائل کا تجربہ کیا۔ ڈی کوڈ شدہ استدلال کی ٹوکن گنتی نے ہر ماڈل کے API کے ذریعہ اطلاع دی گئی پوشیدہ سوچ ٹوکن گنتی کا قریب سے پتہ لگایا، قریب قریب مکمل بحالی کی تصدیق کی۔
چار اٹیک ویکٹر
کاغذ چار الگ الگ اٹیک ویکٹرز کی نشاندہی کرتا ہے جو اس خطرے سے فعال ہیں:
1. Anti-Distillation circumvention — مقابلہ کرنے والے ماڈلز کو تربیت دینے کے لیے ملکیتی ماڈل کے استدلال کو نکالنا، جس کا مظاہرہ انتھروپک، OpenAI، اور Google پر ہوتا ہے۔
2. بڑے پیمانے پر پرائیویٹ ڈیٹا نکالنا — ہزاروں انکرپٹڈ ریجننگ بلاکس سے رازوں اور PII کو حاصل کرنا جنہیں ڈویلپرز نے نادانستہ طور پر عوامی ذخیروں میں شیئر کیا ہے۔
3. خطرناک معلومات کا انکشاف — پوشیدہ استدلال میں بعض اوقات ایسا مواد ہوتا ہے جسے فراہم کنندگان جان بوجھ کر دکھائی دینے والے آؤٹ پٹ سے دبا دیتے ہیں، بشمول ممکنہ طور پر خطرناک معلومات۔
4. ماڈل فنگر پرنٹنگ — ڈی کوڈ شدہ استدلال کا استعمال اس بات کی نشاندہی کرنے کے لیے کیا جا سکتا ہے کہ ماڈل کی شناخت کو چھپانے کے بعد بھی ماڈل کے کس مخصوص ورژن نے ٹریس پیدا کیا۔
کون سے ماڈلز متاثر ہوتے ہیں۔
محققین نے تین بڑے فراہم کنندگان کے خفیہ کردہ استدلال کے نظام میں خطرے کی تصدیق کی:
- انتھروپک — کلاڈ ماڈلز 'دستخط' فیلڈ کے ساتھ خفیہ کردہ 'سوچ' بلاکس واپس کرتے ہیں
- OpenAI — GPT ماڈل انکرپٹ شدہ استدلال کے خلاصے واپس کرتے ہیں۔
- گوگل — جیمنی ماڈلز انکرپٹڈ تھنک بلاکس واپس کرتے ہیں۔
محققین نے نوٹ کیا کہ Kimi-K3 کا معاملہ، چینی AI کمپنی Moonshot AI کا ایک ماڈل جو حال ہی میں سینڈ باکس ٹیسٹنگ سے بچ گیا، خاص طور پر اس لیے تشویشناک تھا کیونکہ اس کے خفیہ کردہ ریجننگ بلاکس کو ڈی کوڈ کرنا خاص طور پر آسان ثابت ہوا۔
ڈویلپرز کے لیے اس کا کیا مطلب ہے۔
ڈویلپرز کے لیے عملی راستہ بہت بڑا ہے: کوئی بھی انکرپٹڈ ریجننگ بلاک جسے آپ عوامی طور پر شیئر کرتے ہیں — ایک GitHub ریپو، ایک Hugging Face ڈیٹاسیٹ، یا بلاگ پوسٹ میں — اس میں بازیابی کے قابل راز شامل ہو سکتے ہیں۔ انکرپشن کو سیشن کے تسلسل کے لیے ڈیزائن کیا گیا ہے، نہ کہ حملے کے اس طبقے کے خلاف رازداری کے لیے۔
محققین تجویز کرتے ہیں کہ ڈویلپرز انکرپٹڈ ریجننگ بلاکس کے لیے مشترکہ سیشن لاگز کا آڈٹ کریں اور شائع کرنے سے پہلے انہیں ہٹا دیں۔ وہ فراہم کنندگان سے اپنے انکرپٹڈ ریجننگ سسٹمز کے فن تعمیر پر نظر ثانی کرنے کا بھی مطالبہ کرتے ہیں، جو فی الحال سیکیورٹی پر API کی سہولت کو ترجیح دیتے ہیں۔
یہ تحقیق الیگزینڈر پینفیلوف، ڈیوڈ شموٹز، اور الیا شمائلوف نے ELLIS انسٹی ٹیوٹ ٹیوبنگن، میکس پلانک انسٹی ٹیوٹ فار انٹیلیجنٹ سسٹمز، ٹیوبنگن AI سینٹر، MATS ریسرچ، Snyk، اور یونیورسٹی آف ٹوبنجن میں جوناس گیپنگ اور میکسم اینڈریشچینکو کی نگرانی میں کی تھی۔
AI سے آگے رہیں
AI سیکیورٹی کا منظرنامہ تیزی سے تیار ہو رہا ہے۔ اے آئی کی تازہ ترین پیشرفت اور ابھرتی ہوئی کمزوریوں کی گہرائی سے کوریج کے لیے، AI Buzz Wire اہم کہانیاں پیش کرتا ہے۔
مزید AI خبریں پڑھیں →
