Ein Forschungsteam aus Universitäten und Sicherheitsfirmen hat gezeigt, wie sich die verschlüsselten Denkprotokolle von OpenAI, Anthropic und Google auslesen lassen. Die Blöcke funktionieren übergreifend bei allen Modellen eines Anbieters und lassen sich in ein schwächeres System einschleusen, das sie im Klartext ausgibt. Aus öffentlich einsehbaren Datensätzen gewannen die Forschenden bereits 367 personenbezogene Daten und 182 Zugangsdaten.
Schwaches Modell verrät fremde Reasoning-Blöcke
Große KI-Anbieter verbergen die internen Denkschritte ihrer Modelle, indem sie sie als verschlüsselte Textblöcke zurückgeben, die Programme bei jeder Folgeanfrage wieder mitschicken. Die Studie Stealing Reasoning Traces from Proprietary LLM APIs, veröffentlicht am 10. August 2026 auf arXiv, zeigt: Diese Blöcke nutzen einen gemeinsamen Schlüssel je Modellfamilie, statt an eine einzelne Sitzung, einen Nutzer oder ein bestimmtes Modell gebunden zu sein. Ein verschlüsselter Block eines leistungsstarken Modells lässt sich deshalb einem schwächeren, schlechter abgesicherten Modell desselben Anbieters unterschieben. Dieses entschlüsselt den Inhalt und gibt ihn wortwörtlich aus, ganz ohne einen direkten Jailbreak des starken Modells. Betroffen sind laut dem Team um Maksym Andriushchenko Modelle von Anthropic, OpenAI und Google gleichermaßen. Am 116 Seiten langen Papier arbeiteten unter anderem Alexander Panfilov, David Schmotz und Jonas Geiping von der Universität Tübingen, dem Max-Planck-Institut für Intelligente Systeme, dem ELLIS Institute Tübingen sowie den Sicherheitsfirmen MATS Research und Snyk mit. Die Methode erlaubt zudem Distillationsangriffe: Wer die rohen Denkschritte eines starken Modells extrahiert, kann damit ein eigenes, günstigeres Modell trainieren – genau jene Praxis, gegen die Anbieter ihre Reasoning-Ausgabe ursprünglich verschlüsselt hatten. Zusätzlich lässt sich aus den Blöcken gefährliches Zwischen-Reasoning auslesen, selbst wenn die finale Antwort eine Anfrage sichtbar ablehnt.
Öffentliche Repositories enthalten Hunderte Zugangsdaten
Das Team analysierte 315.320 verschlüsselte Reasoning-Blöcke, die Entwicklerinnen und Entwickler unwissentlich in öffentlichen Code-Repositories und Datensätzen abgelegt hatten. Nach der Entschlüsselung fanden sich darin 367 personenbezogene Datensätze und 182 Zugangsdaten – die genaue Zusammensetzung der Fundstellen ist unabhängig nicht verifiziert, da die Studie die betroffenen Repositories aus Datenschutzgründen nicht veröffentlicht. Berichten zufolge zählen zu den Zugangsdaten mindestens 62 API-Schlüssel, 33 Passwörter und 30 private E-Mail-Adressen. Besonders betroffen sind Firmen, die eigene KI-Agenten auf Basis der APIs bauen: Viele Agenten-Frameworks speichern Reasoning-Blöcke zwischen einzelnen Gesprächsschritten zwischen, etwa um den Kontext über mehrere Werkzeugaufrufe hinweg zu erhalten. Landen solche Zwischenstände versehentlich in einem öffentlichen Repository oder einem Trainingsdatensatz für ein eigenes Modell, wandern die darin verschlüsselten Geheimnisse ungeprüft mit. Nach Angaben der Forschenden reicht dafür oft schon ein einzelner vergessener Debug-Log, in dem ein Agent beim Testen eigene Umgebungsvariablen oder Zugangstoken zitiert hatte. Wer Reasoning-Blöcke aus API-Antworten speichert oder weiterreicht, verteilt damit unbemerkt sensible Informationen mit, die im Klartext nie sichtbar waren.
Sicherheitscommunity bewertet Einstufung unterschiedlich
Nicht alle Fachleute teilen die Einordnung als neue Schwachstelle. In der Diskussion auf Hacker News schreibt ein Kommentator, wenn derselbe Block über Sitzungen und Nutzer hinweg entschlüsselbar sei, handle es sich nicht um echte Verschlüsselung, sondern um Verschleierung mit einem gemeinsamen Schlüssel – ein Konfigurationsproblem, kein Forschungskuriosum. Das Forschungsteam selbst verweist darauf, dass unabhängige Sicherheitsforschende bereits im Mai und Juni 2026 ähnliche Schwächen bei wiederverwendbaren verschlüsselten Reasoning-Blöcken dokumentiert hatten, ohne dass die drei Anbieter seitdem architektonische Korrekturen veröffentlichten. Die Lücke reiht sich damit in eine Serie herstellerübergreifender KI-Sicherheitsfunde des vergangenen Monats ein: Erst Anfang August hatte die Sicherheitsfirma Zenity eine Zero-Klick-Lücke in fünf KI-Browsern von Anthropic, Google, OpenAI, Perplexity und Microsoft offengelegt.
Offen bleibt, ob OpenAI, Anthropic und Google die Verschlüsselung künftig an einzelne Sitzungen oder Nutzer binden oder auf serverseitige Prüfsummen setzen – beide vom Forschungsteam vorgeschlagenen Abhilfen verändern die aktuelle Architektur grundlegend. Bis eine der drei Firmen eine Korrektur bestätigt, bleibt jeder öffentlich gespeicherte Reasoning-Block ein potenzielles Datenleck für die eigene Codebasis.
