Das Paradox des verschlüsselten Denkens: Wenn der Schutz geistigen Eigentums Daten preisgibt

Am 10. August 2026 wurde auf arXiv das Preprint 'Stealing Reasoning Traces from Proprietary LLM APIs' eingereicht, eine Arbeit über die Schwachstellen, die dem Schutz der Gedankenkette von Sprachmodellen von Haus aus anhaften. Den Autoren zufolge verfahren die großen API-Anbieter, darunter Anthropic, OpenAI und Google, nach demselben Muster: Der Text des Reasonings wird nicht im Klartext zurückgegeben, sondern als verschlüsselter Block, den der Client späteren Anfragen wieder beilegt. Das Abstract benennt ein architektonisches Problem: Diese verschlüsselten Blöcke seien, in den Worten der Autoren (eigene Übersetzung), "vollständig kompatibel und austauschbar zwischen verschiedenen Sitzungen, Nutzern und Modellen innerhalb des Ökosystems desselben Anbieters".

Genau diese Austauschbarkeit ermöglicht einen Angriff, bei dem ein von einem Spitzenmodell erzeugter verschlüsselter Block in den API-Aufruf eines kleineren, schwächer geschützten Modells desselben Anbieters eingesetzt wird — und dieses gibt ihn im Klartext zurück. Die Auswertung von 315.320 Blöcken förderte 367 personenbezogene Datenartefakte und 182 Zugangsdaten zutage. Die Arbeit ist ein noch nicht begutachtetes Preprint, und die Zahlen zu den wiederhergestellten Daten sind nicht unabhängig überprüft; die Aufschlüsselung der 182 Zugangsdaten stammt allein aus der Sekundärquelle. Laut Cyber Security News befinden sich darunter 62 API-Schlüssel, 33 Passwörter und 30 E-Mail-Adressen, gewonnen aus öffentlich zugänglichen Agenten-Transkripten. Der Angriff benötigt nichts weiter als einen normalen API-Zugang, umgeht die Schutzmechanismen gegen Distillation und kann gefährliche Informationen oder unsichtbare Prompt Injections offenlegen.

Wie es um die Korrekturen steht, bleibt undurchsichtig. Cyber Security News schreibt in der Berichterstattung vom 11. August, alle drei Anbieter hätten serverseitige Gegenmaßnahmen ergriffen, sodass sich die Proof-of-Concepts nicht mehr reproduzieren ließen; AI Weekly hält am selben Tag dagegen, es sei kein architektonischer Eingriff erfolgt. Offizielle Stellungnahmen der beteiligten Unternehmen, die das eine oder das andere bestätigen würden, lagen zum Zeitpunkt der Prüfung nicht vor. Zudem war die für weitere technische Details genannte Projektseite stolen-thoughts.com nicht erreichbar (HTTP-Fehler 403), was eine vollständige indirekte Rekonstruktion der Methodik ausschließt.

Die Lücke geht nicht auf einen punktuellen Implementierungsfehler zurück, sondern auf eine Designentscheidung, die geistiges Eigentum über Vertraulichkeit stellt. Empfohlen wird, den Block kryptografisch an Modell, Sitzung und Ursprungsnutzer zu binden und Logs vor der Veröffentlichung zu bereinigen. Solange unklar ist, ob die ergriffenen Maßnahmen die Bindung zwischen verschlüsseltem Block und Ursprungskontext überhaupt berühren, lässt sich von außen nicht beurteilen, wie viel Risiko übrig bleibt.

— Olya