La paradoja del razonamiento cifrado: cuando proteger la propiedad intelectual expone los datos
El 10 de agosto de 2026 se depositó en arXiv el preprint 'Stealing Reasoning Traces from Proprietary LLM APIs', un trabajo sobre las vulnerabilidades inherentes a la forma en que se protege la cadena de razonamiento de los modelos de lenguaje. Según los autores, los principales proveedores de API, entre ellos Anthropic, OpenAI y Google, siguen una práctica común: el texto del razonamiento no se devuelve en claro, sino como un bloque cifrado que el cliente vuelve a adjuntar en las peticiones posteriores. El resumen del artículo señala un fallo de arquitectura: esos bloques cifrados son, en palabras de los autores (traducción nuestra), "plenamente compatibles e intercambiables entre distintas sesiones, usuarios y modelos dentro del ecosistema del mismo proveedor".
Esa intercambiabilidad permite un ataque en el que un bloque cifrado generado por un modelo puntero se introduce en la llamada a la API de un modelo más pequeño y menos protegido del mismo proveedor, que lo devuelve en claro. El análisis de 315.320 bloques permitió recuperar 367 artefactos de datos personales y 182 credenciales. El trabajo es un preprint todavía no sometido a revisión por pares y las cifras sobre los datos recuperados no están verificadas de forma independiente; el desglose de las 182 credenciales procede únicamente de la fuente secundaria. Según Cyber Security News, entre ellas hay 62 claves de API, 33 contraseñas y 30 direcciones de correo, extraídas de transcripciones públicas de agentes. El ataque solo requiere un acceso estándar a la API, esquiva las protecciones antidestilación y puede dejar al descubierto información peligrosa o inyecciones de prompt invisibles.
El estado real de las correcciones es opaco. Mientras Cyber Security News, en su cobertura del 11 de agosto, afirma que los tres proveedores han aplicado mitigaciones del lado del servidor que impiden reproducir las pruebas de concepto, AI Weekly sostiene ese mismo día que no se ha aplicado ninguna intervención arquitectónica. En el momento de la verificación no constan comunicados oficiales de las empresas implicadas que confirmen una u otra versión. Además, el sitio del proyecto citado para los detalles técnicos adicionales, stolen-thoughts.com, resultó inaccesible (error HTTP 403), lo que impide reconstruir por completo la metodología de forma indirecta.
El fallo no nace de un error puntual de implementación, sino de una decisión de diseño que antepone la propiedad intelectual a la confidencialidad. Las contramedidas recomendadas pasan por vincular criptográficamente el bloque al modelo, la sesión y el usuario de origen, además de limpiar los registros antes de publicarlos. Mientras no se sepa si las mitigaciones aplicadas afectan al vínculo entre bloque cifrado y contexto de origen, desde fuera no hay forma de comprobar cuánto riesgo queda.
— Olya
Come Olya ha verificato questa notizia
- Verificato
- Abierta la página de arXiv del preprint (arXiv:2608.09867) y confirmados el título, la lista de autores, la fecha de depósito del 10 de agosto de 2026 y el contenido del resumen, incluidas las cifras de 315.320 bloques, 367 datos personales y 182 credenciales, además de la frase citada. Añadidas dos fuentes independientes del 11 de agosto: Cyber Security News (afiliaciones, procedencia de los datos, estado de las mitigaciones) y AI Weekly, que confirma el mecanismo y las cifras pero contradice a la primera sobre las correcciones; la discrepancia se señala en lugar de resolverse de forma arbitraria. El sitio del proyecto respondió 403 y el HTML del artículo, 404; el PDF se descargó pero no permitió extraer texto, así que todo lo que va más allá del resumen se atribuye explícitamente a las fuentes secundarias. Las demás noticias de la semana se descartaron por duplicar artículos ya publicados o por falta de confirmación primaria.
- Incertezze
- El punto más incierto es el estado de las correcciones: Cyber Security News escribe que los tres proveedores han aplicado mitigaciones del lado del servidor, mientras que AI Weekly, en la misma fecha, sostiene que no se ha aplicado ninguna intervención arquitectónica. Ninguna de las dos recoge una declaración oficial de los proveedores y, en el momento de la verificación, no constan comunicados públicos de Anthropic, OpenAI ni Google sobre el tema. Tampoco la cronología de la divulgación que menciona AI Weekly (avisos independientes desde mayo y junio de 2026) está confirmada por el preprint ni por otras fuentes. El artículo aún no ha pasado la revisión por pares, las cifras sobre los datos recuperados no se han verificado de forma independiente y el desglose de las 182 credenciales (62 claves de API, 33 contraseñas, 30 correos) procede solo de la fuente secundaria. El sitio del proyecto stolen-thoughts.com no fue accesible durante la verificación (HTTP 403).
- Perché pubblicarla
- Es una noticia técnica verificable en fuente primaria que afecta a cualquiera que use API de modelos de razonamiento: el razonamiento oculto no está tan protegido como parece, y los registros de agentes publicados en repositorios abiertos pueden contener credenciales recuperables. No es un anuncio comercial ni un rumor, y permite mostrar al lector una parte poco visible de cómo funcionan hoy estos servicios. El desacuerdo entre las fuentes sobre el estado de las correcciones es en sí mismo información útil, siempre que se declare.