Auf den Punkt: Ein Forschungspapier zeigt, dass verschlüsselte Reasoning-Blöcke von OpenAI-, Anthropic- und Google-Modellen aus geteilten Agenten-Protokollen extrahiert werden konnten und dabei über 700 sensible Fundstücke wie API-Schlüssel und Passwörter offenlegten, die teils nur im verborgenen Denkblock und nicht im sichtbaren Chatverlauf auftauchten.
Ein am 12. August veröffentlichtes Forschungspapier beschreibt, wie sich verschlüsselte Denkschritte großer KI-Modelle zwischen Sitzungen, Nutzern und sogar unterschiedlichen Modellversionen wiederverwenden und im Klartext auslesen ließen. Betroffen waren Modelle von OpenAI, Anthropic und Google.
Die Forscher nutzten aus, dass sich ein schwächeres Modell derselben Anbieterfamilie dazu bringen ließ, die eigentlich verborgenen Reasoning-Inhalte eines stärkeren Modells als Klartext auszugeben. Beispiele sind Claude Haiku 4.5 für Claude-Inhalte oder GPT-5.6 Luna für GPT-Inhalte. Aus 6.708 öffentlich einsehbaren Agenten-Protokollen dekodierten sie insgesamt 315.320 solcher verschlüsselter Denkblöcke. Nach Abzug reiner Benchmark-Quellen verblieben 704 eigenständige, sensible Fundstücke aus echten Nutzersitzungen: 62 API-Schlüssel, 33 Passwörter, 24 Zugangstoken und sieben private Schlüssel.
Bei 64 dieser Funde erschienen die sensiblen Daten ausschließlich im verborgenen Denkblock, nicht im sichtbaren Gesprächsverlauf. Eine reine Bereinigung des sichtbaren Textes vor einer Veröffentlichung von Protokollen hätte in diesen Fällen also nicht ausgereicht, um Zugangsdaten zu schützen. Die eingesetzte Verschlüsselung selbst wurde dabei nicht gebrochen: Die Angreifer benötigten keinen kryptografischen Schlüssel, sondern nutzten lediglich aus, dass die undurchsichtigen Reasoning-Blöcke von den Anbieter-APIs unverändert angenommen und weiterverarbeitet wurden.
Für CISOs ergibt sich daraus eine konkrete Handlungsanweisung für alle Teams, die Agenten-Protokolle, Debugging-Logs oder API-Mitschnitte von LLM-Interaktionen intern teilen oder extern veröffentlichen, etwa für Bug-Bounty-Zwecke, Support-Fälle oder Forschungskooperationen. Reasoning-Blöcke sind kein reiner Anzeigeartefakt, sondern können unabhängig vom sichtbaren Text sensible Inhalte wie Zugangsdaten enthalten, die bei bloßer Textredaktion des Chatverlaufs übersehen werden.
Die Forscher meldeten ihre Erkenntnisse den betroffenen Anbietern. Der zentrale Extraktionsangriff soll nach den daraufhin umgesetzten Gegenmaßnahmen nicht mehr funktionieren, eine öffentliche Bestätigung durch OpenAI, Anthropic oder Google lag zum Zeitpunkt der Veröffentlichung jedoch nicht vor. Unklar bleibt zudem, ob bereits öffentlich einsehbare, ältere Denkblöcke weiterhin auslesbar sind. Hinweise auf eine tatsächliche Ausnutzung außerhalb der Forschungsarbeit fanden sich nicht. Entwicklern und Sicherheitsteams wird empfohlen, Reasoning-Blöcke aus geteilten Protokollen konsequent zu entfernen und keine rohen API-Mitschnitte zu veröffentlichen, selbst wenn der sichtbare Gesprächstext bereits bereinigt wurde.
Quelle: www.it-daily.net · Erschienen 16. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.