Schwächere KI-Modelle konnten verschlüsselte Denkspuren auslesen : Fehler in Reasoning-APIs von OpenAI, Anthropic und Google gefährdete geheime Daten
Verschlüsselte Denkspuren sollten interne KI-Überlegungen schützen und zugleich über mehrere API-Aufrufe hinweg erhalten. Genau diese Konstruktion eröffnete jedoch einen ungewöhnlichen Angriffsweg: KI-Wissenschaftler konnten Reasoning-Blöcke zwischen Sitzungen verschieben und mit schwächeren Modellen teilweise wieder lesbar machen.
Betroffen waren Programmierschnittstellen (APIs) von OpenAI,Anthropic und Google, über die KI-Anwendungen den internen Denkzustand eines Modells zwischen mehreren Anfragen erhalten können. Dazu liefert die API Teile dieses Reasonings nicht als lesbaren Text zurück, sondern als verschlüsselte beziehungsweise nicht einsehbare Datenblöcke. Eine Anwendung speichert diese Blöcke und sendet sie bei einer späteren Anfrage wieder an den Anbieter. Das Modell kann dadurch an seinen vorherigen Überlegungen anknüpfen, ohne dass der Entwickler deren Inhalt kennen muss.
Die Angreifer mussten diese Verschlüsselung jedoch gar nicht knacken. Entscheidend war, dass die Systeme einen gültigen Reasoning-Block nicht ausreichend an die ursprüngliche Sitzung, den ursprünglichen Nutzer oder das erzeugende Modell banden. In den Tests ließ sich ein solcher Block deshalb in eine andere Sitzung übertragen und dort erneut verarbeiten. Teilweise akzeptierte sogar ein anderes, schwächeres Modell desselben Anbieters den fremden Block – und konnte daraus Teile des eigentlich verborgenen Reasonings rekonstruieren.
Schwächeres Modell als „unscharfer Decoder“
Das Team hinter der Arbeit Stealing Reasoning Traces from Proprietary LLM APIs nutzte diese Portabilität für einen ungewöhnlichen Angriff. Ein verschlüsselter Reasoning-Block eines leistungsfähigeren Modells wurde einem kompatiblen schwächeren Modell übergeben und dieses aufgefordert, den ursprünglichen Gedankengang zu rekonstruieren.
Als sogenannte „fuzzy decoder“ dienten laut Studie Claude Haiku 4.5 für Claude-Denkspuren, GPT-5.6 Luna für GPT-Traces und Gemini Robotics ER-1.6 für Gemini-Daten. Die Autoren weisen allerdings darauf hin, dass ihnen der originale Klartext der proprietären Denkprozesse nicht vorlag. Eine hundertprozentig wortgetreue Rekonstruktion lässt sich daher nicht nachweisen. Vergleiche mit ausgewiesenen Reasoning-Token-Zahlen zeigten jedoch, dass die Länge der extrahierten Inhalte weitgehend mit den ursprünglichen Denkprozessen korrelierte.
Die Forscher demonstrierten vier Angriffsmöglichkeiten:
- Diebstahl proprietärer Reasoning-Daten, etwa zur Destillation leistungsfähiger Modelle
- Extraktion privater Informationen aus veröffentlichten Agenten-Traces
- Rekonstruktion schädlicher Inhalte, obwohl die sichtbare Modellantwort unproblematisch erschien
- Verbergen von Prompt Injections in undurchsichtigen Reasoning-Blöcken
Hunderttausende Denkblöcke analysiert
Besonders problematisch wird die Schwachstelle bei veröffentlichten Logs von KI-Agenten. In 6.708 öffentlich verfügbaren Agenten-Trajektorien dekodierte das Team insgesamt 315.320 Thinking-Blöcke. Nach dem Ausschluss von Benchmark-Daten identifizierten die Autoren 704 unterschiedliche Datenschutzartefakte aus realen Nutzersitzungen. Darunter befanden sich 62 API-Schlüssel, 33 Passwörter, 24 Zugriffstoken und sieben private Schlüssel.
64 der gefundenen sensiblen Informationen standen ausschließlich im verborgenen Reasoning und waren im sichtbaren Chatverlauf nicht zu sehen. Das ist besonders problematisch: Selbst wenn Entwickler Passwörter, API-Schlüssel oder andere vertrauliche Angaben aus einem veröffentlichten Gesprächsprotokoll entfernen, können diese Daten weiterhin im mitgespeicherten Reasoning-Block stecken.
Ein Angreifer konnte damit jedoch nicht einfach auf beliebige fremde Chats zugreifen. Er musste zunächst an einen solchen Reasoning-Block gelangen, etwa weil dieser zusammen mit einem Agenten-Protokoll veröffentlicht worden war. Anschließend benötigte er Zugriff auf ein Modell desselben Anbieters, das diesen Block akzeptierte und verarbeiten konnte.
Unsichtbare Prompt Injection im Reasoning-Block
Die Portabilität eröffnete noch einen zweiten Angriffsweg. Das Team erzeugte einen opaken Reasoning-Block mit einer versteckten bösartigen Anweisung und schleuste diesen anschließend in eine unabhängige Aufgabe ein. Das empfangende Modell fügte daraufhin eine vom Angreifer gewünschte Upload-Aktion hinzu, obwohl die eigentliche Manipulationsanweisung für den Nutzer nicht sichtbar war. Opaque Reasoning-Objekte könnten damit nicht nur sensible Informationen enthalten, sondern auch als Transportmedium für versteckte Steuerbefehle dienen.
Angriffe nach Gegenmaßnahmen nicht mehr reproduzierbar
Die Autoren meldeten die Schwachstelle an OpenAI, Anthropic und Google sowie an Microsoft und Hugging Face. Nach ihren eigenen Tests lassen sich die beschriebenen Hauptangriffe seit August 2026 nicht mehr reproduzieren. Das spricht dafür, dass die Anbieter ihre Systeme angepasst haben. Offen bleibt allerdings, welche Änderungen konkret vorgenommen wurden. OpenAI, Anthropic und Google haben die Schwachstelle bislang nicht öffentlich bestätigt oder erläutert, welche Schutzmaßnahmen auf diese Untersuchung zurückgehen. Auch die aktuellen technischen Dokumentationen stellen keinen direkten Bezug zu der Studie her.
Verschlüsselte Reasoning-Daten werden weiterhin eingesetzt, allerdings gelten inzwischen offenbar strengere Regeln für ihren Umgang. OpenAI sieht weiterhin vor, gespeicherte Reasoning-Elemente bei späteren API-Aufrufen erneut mitzusenden, wenn eine Anwendung den Gesprächsverlauf selbst verwaltet. Google erklärt, dass beim Wechsel zwischen Modellen die Kompatibilität der sogenannten Thought Signatures serverseitig geprüft und verwaltet wird. Anthropic geht noch einen Schritt weiter: Thinking-Blöcke sollen nur mit dem Modell weiterverwendet werden, das sie ursprünglich erzeugt hat. Bei einem Modellwechsel empfiehlt der Anbieter, diese Blöcke aus dem Verlauf zu entfernen.
Konsequenzen für Entwickler
Die Studie dokumentiert keine bekannten Angriffe in freier Wildbahn. Sie zeigt jedoch, dass vermeintlich nicht einsehbare Metadaten nicht automatisch ungefährlich sind. Entwickler sollten deshalb Reasoning-Blöcke und andere opaque Reasoning-Felder aus veröffentlichten Traces entfernen und keine vollständigen API-Protokolle in öffentliche Repositories einchecken – selbst dann nicht, wenn sichtbare Texte zuvor von Zugangsdaten bereinigt wurden.
Die neue Untersuchung baut auf einer Arbeit des Johns-Hopkins-Kryptografen Matthew Green vom Mai auf. Green hatte damals bereits festgestellt, dass sich verschlüsselte Reasoning-Blöcke aus einer KI-Sitzung in eine andere Sitzung und sogar in ein anderes Nutzerkonto übertragen und dort erneut verwenden ließen. Es fehlte jedoch noch eine verlässliche Methode, um den verborgenen Inhalt dieser Blöcke wieder lesbar zu machen.
Genau hier setzt die neue Studie an: Die Forscher zeigen, wie sich das bereits bekannte Wiederverwenden der Reasoning-Blöcke nutzen lässt, um deren Inhalte in größerem Umfang zu rekonstruieren. Damit wird aus einem zunächst eher technischen Replay-Problem ein konkretes Datenschutzrisiko – insbesondere dann, wenn solche Blöcke sensible Informationen enthalten und nicht fest an den ursprünglichen Nutzer, die Sitzung oder das erzeugende Modell gebunden sind.