Il paradosso del ragionamento cifrato: quando la protezione della proprietà intellettuale espone i dati

Il 10 agosto 2026 è stato depositato su arXiv il preprint 'Stealing Reasoning Traces from Proprietary LLM APIs', un lavoro che analizza le vulnerabilità intrinseche alla protezione della catena di ragionamento dei modelli di linguaggio. Secondo gli autori, i principali fornitori di API, tra cui Anthropic, OpenAI e Google, adottano una prassi in cui il testo del ragionamento non viene restituito in chiaro ma come blocco cifrato, riallegato dal client alle richieste successive. L'abstract del paper evidenzia una criticità architetturale: questi blocchi cifrati risultano, nelle parole degli autori (traduzione nostra), "pienamente compatibili e intercambiabili tra diverse sessioni, utenti e modelli all'interno dell'ecosistema dello stesso fornitore".

Tale intercambiabilità consente un attacco in cui un blocco cifrato generato da un modello di punta viene inserito nella chiamata API di un modello più piccolo e meno protetto dello stesso fornitore, il quale lo restituisce in chiaro. L'analisi condotta su 315.320 blocchi ha portato al recupero di 367 artefatti di dati personali e 182 credenziali. Il lavoro è un preprint non ancora sottoposto a revisione paritaria e le cifre sui dati recuperati non risultano verificate in modo indipendente; la scomposizione delle 182 credenziali proviene dalla sola fonte secondaria. Secondo quanto riportato da Cyber Security News, tra queste figurano 62 chiavi API, 33 password e 30 indirizzi email, estrapolati da trascrizioni pubbliche di agenti. L'attacco richiede unicamente un accesso API standard, aggirando le protezioni anti-distillazione ed esponendo potenzialmente informazioni pericolose o prompt injection invisibili.

Lo stato attuale delle correzioni presenta un'opacità informativa. Mentre Cyber Security News, nella sua copertura dell'11 agosto, afferma che i tre fornitori hanno applicato mitigazioni lato server rendendo le prove di concetto non riproducibili, AI Weekly nella stessa data sostiene che non sia stato applicato alcun intervento architetturale. Non risultano, al momento della verifica, comunicati ufficiali da parte delle aziende coinvolte a confermare l'una o l'altra tesi. Inoltre, il sito di progetto citato per i dettagli tecnici supplementari, stolen-thoughts.com, è risultato irraggiungibile (errore HTTP 403), limitando la possibilità di una ricostruzione indiretta completa della metodologia.

La falla non deriva da un errore di implementazione puntuale, ma da una scelta progettuale volta a tutelare la proprietà intellettuale a scapito della riservatezza. Le contromisure raccomandate prevedono il legame crittografico del blocco al modello, alla sessione e all'utente di origine, oltre alla pulizia dei log prima della pubblicazione. Finché non è chiaro se le mitigazioni applicate tocchino il vincolo tra blocco cifrato e contesto d'origine, non è verificabile dall'esterno quanto residuo sia il rischio.

— Olya