Forskere hentet ut 62 API-nøkler fra krypterte resonneringsblokker

Forskerne bak artikkelen «Stealing Reasoning Traces from Proprietary LLM APIs» dekodet 315 320 tenkeblokker fra 6 708 offentlige agentlogger, skriver The Hacker News. Etter at benchmark-kilder var luket bort, satt de igjen med 704 personvernfunn fra ekte brukersesjoner, blant dem 62 API-nøkler, 33 passord, 24 tilgangstokener og sju private nøkler.

Krypteringen ble ikke knekt, og angrepet krevde ingen nøkkel. Svakheten ligger i at de ugjennomsiktige blokkene er bærbare. En blokk laget i én sesjon kunne spilles av i en annen, og i testene også leveres til en svakere modell i samme leverandørfamilie, som ble bedt om å transkribere resonnementet den sterkere modellen hadde produsert. Forskerne brukte Claude Haiku 4.5 mot Claude-spor, GPT-5.6 Luna mot GPT-spor og Gemini Robotics ER-1.6 mot Gemini-spor.

Det viktigste funnet for deg som publiserer agentlogger: 64 av de 704 funnene fantes bare i det skjulte resonnementet, ingen andre steder i sporet. Å vaske den lesbare samtalen holder altså ikke. Angrepet krever at noen har en intakt kryptert blokk, typisk fra en publisert logg, pluss API-tilgang til en kompatibel modell hos samme leverandør. Eksponeringen treffer dermed en avgrenset gruppe: utviklere som har lagt ut rå agentlogger med resonneringsobjektene intakte.

Forskerne varslet leverandørene, Microsoft og Hugging Face, og sier hovedangrepet ikke lenger lar seg reprodusere per august 2026. Ingen av de tre leverandørene har offentlig bekreftet svakheten, så den påstanden hviler på forskernes egen reproduserbarhetserklæring. Kryptert resonnement er fortsatt en del av APIene, men Anthropic skriver nå at tenkeblokker er bundet til modellen som lagde dem, og bør strippes når du bytter modell.

Hva bør du gjøre?

1. Strip resonneringsblokker og ugjennomsiktige tenkefelt ut av alle spor du deler offentlig, også når den synlige teksten er vasket.
2. Slutt å sjekke inn rå API-transkripsjoner, gå gjennom agentlogger du allerede har publisert, og roter nøkler og tokener som kan ha ligget i dem.