Falha em APIs da OpenAI, Anthropic e Google permitiu que IAs mais fracas decodificassem modelos mais fortes

Pesquisadores descobriram uma vulnerabilidade na forma como APIs de inteligência artificial da OpenAI, Anthropic e Google transportavam blocos de raciocínio oculto entre chamadas. A técnica permitiu reconstruir conteúdo interno dos modelos e recuperar informações sensíveis presentes em logs públicos, incluindo chaves de API, senhas, tokens de acesso e chaves privadas.

O problema afetava objetos de raciocínio criptografados utilizados pelas APIs para preservar o estado de processamento entre diferentes chamadas. Durante os testes, os pesquisadores descobriram que um bloco produzido em uma sessão poderia ser reutilizado em outra e, em determinadas condições, entregue até mesmo a um modelo mais fraco da mesma família para tentar revelar seu conteúdo.

O estudo, intitulado “Stealing Reasoning Traces from Proprietary LLM APIs”, descreve quatro possíveis formas de abuso: obtenção de raciocínio proprietário para destilação de modelos, extração de dados privados presentes em traces publicados por outros usuários, recuperação de conteúdo nocivo oculto por trás de uma resposta visível considerada segura e armazenamento de prompt injections dentro dos próprios blocos opacos.

Ao analisar 6.708 trajetórias públicas de agentes de IA, a equipe decodificou 315.320 blocos de raciocínio. Depois de remover dados relacionados a benchmarks, foram identificados 704 artefatos de privacidade distintos provenientes de sessões reais, incluindo 62 chaves de API, 33 senhas, 24 tokens de acesso e sete chaves privadas.

O ataque entre usuários, entretanto, não fornecia acesso indiscriminado a conversas privadas. Para executá-lo, era necessário primeiro obter um bloco de raciocínio criptografado — por exemplo, publicado em um log de agente — e possuir acesso via API a um modelo compatível do mesmo provedor.

A vulnerabilidade não envolvia quebra da criptografia nem obtenção das chaves utilizadas para proteger esses objetos. O ataque explorava o fato de que blocos opacos intactos continuavam sendo aceitos e processados pela infraestrutura do próprio provedor.

Esses mecanismos existem para permitir que aplicações preservem o raciocínio entre chamadas quando o histórico da conversa é administrado manualmente ou de forma stateless. A OpenAI utiliza itens de raciocínio criptografados, a Anthropic transporta o raciocínio completo acompanhado de uma assinatura criptografada e o Google utiliza thought signatures criptografadas.

Durante os experimentos, os pesquisadores descobriram que esses objetos podiam ser transportados entre sessões, usuários e modelos. Isso possibilitou utilizar modelos compatíveis menos avançados como uma espécie de decodificador aproximado — chamado pelos autores de “fuzzy decoder” — instruído a transcrever o raciocínio produzido por um modelo mais poderoso.

Os testes utilizaram Claude Haiku 4.5 para traces da família Claude, GPT-5.6 Luna para traces GPT e Gemini Robotics ER-1.6 para traces Gemini.

A possibilidade de reutilização entre usuários tornou logs públicos de agentes um dos principais riscos identificados pelo estudo. Dos 704 artefatos encontrados fora de benchmarks, 64 estavam exclusivamente no raciocínio oculto e não apareciam no conteúdo visível. Isso significa que remover informações sensíveis apenas do texto legível antes da publicação poderia não ser suficiente caso os blocos opacos fossem preservados.

O risco demonstrado, porém, possui limites importantes. A pesquisa se concentra principalmente em desenvolvedores que publicaram logs brutos de agentes contendo os objetos de raciocínio intactos, e não demonstra comprometimento generalizado de todos os usuários dessas APIs.

A portabilidade dos blocos também possibilitou uma prova de conceito de prompt injection invisível. Os pesquisadores criaram um objeto de raciocínio opaco contendo uma instrução maliciosa e posteriormente o reutilizaram em uma tarefa não relacionada. O modelo receptor acabou adicionando uma ação de upload controlada pelo atacante sem que a instrução maliciosa aparecesse no texto visível.

Os autores alertam que não possuem acesso ao texto original dos raciocínios proprietários e, portanto, não podem garantir que todas as reconstruções sejam cópias exatas. A fidelidade foi avaliada por meio da quantidade de tokens de raciocínio e comparações qualitativas, com o tamanho dos conteúdos extraídos geralmente acompanhando as contagens de tokens informadas pelos provedores.

As descobertas foram comunicadas à OpenAI, Anthropic, Google, Microsoft e Hugging Face. Segundo os pesquisadores, os ataques demonstrados deixaram de funcionar após a implementação de mitigações, e a principal técnica de extração já não era reproduzível em agosto de 2026.

A documentação atual indica que os mecanismos de raciocínio criptografado continuam presentes nas APIs, mas seu tratamento foi alterado. A OpenAI ainda orienta desenvolvedores a reutilizar itens de raciocínio criptografados ao administrar manualmente históricos stateless. O Google afirma que sua infraestrutura gerencia a compatibilidade do raciocínio quando uma sessão muda de modelo.

A Anthropic, por sua vez, informa atualmente que os blocos de thinking ficam vinculados ao modelo que os produziu e devem ser removidos durante uma troca de modelo, pois outros modelos os ignoram.

Apesar das correções relatadas pelos pesquisadores, permanecem algumas questões em aberto. Até o momento descrito pelo estudo, não havia reconhecimento público da vulnerabilidade pelos três provedores nem confirmação independente de que as alterações atuais em suas APIs estão diretamente relacionadas à pesquisa.

Também não está claro se os blocos de raciocínio que já haviam sido publicados em repositórios públicos continuam passíveis de decodificação. Essa questão é diferente de determinar se novos ataques ainda podem ser executados contra as APIs atuais.

O trabalho amplia uma pesquisa publicada em maio pelo criptógrafo Matthew Green, da Johns Hopkins, que demonstrou que blocos de raciocínio criptografados poderiam ser reutilizados entre sessões e contas, mas não apresentou um método confiável para extração de segredos. O novo estudo transforma esse comportamento de replay em uma técnica mais ampla e demonstra suas possíveis consequências para privacidade.

Não há evidências apresentadas no relatório de que a vulnerabilidade tenha sido explorada maliciosamente. Como medida preventiva, desenvolvedores devem remover blocos e campos opacos de raciocínio antes de compartilhar traces e evitar publicar transcrições brutas de APIs, mesmo quando o conteúdo textual visível já tiver sido sanitizado.