De paradox van het versleutelde redeneren: als bescherming van intellectueel eigendom juist data blootlegt

Op 10 augustus 2026 verscheen op arXiv de preprint 'Stealing Reasoning Traces from Proprietary LLM APIs', een studie naar de kwetsbaarheden die vastzitten aan de manier waarop de redeneerketen van taalmodellen wordt beschermd. Volgens de auteurs hanteren de grote API-aanbieders, waaronder Anthropic, OpenAI en Google, dezelfde werkwijze: de tekst van de redenering wordt niet leesbaar teruggegeven maar als versleuteld blok, dat de client bij volgende verzoeken opnieuw meestuurt. De samenvatting van het artikel wijst op een architectonisch mankement: die versleutelde blokken zijn, in de woorden van de auteurs (eigen vertaling), "volledig compatibel en uitwisselbaar tussen verschillende sessies, gebruikers en modellen binnen het ecosysteem van dezelfde aanbieder".

Juist die uitwisselbaarheid maakt een aanval mogelijk waarbij een versleuteld blok van een topmodel in de API-aanroep van een kleiner, minder beschermd model van dezelfde aanbieder wordt geschoven — dat model geeft het vervolgens leesbaar terug. Analyse van 315.320 blokken leverde 367 stukjes persoonsgegevens en 182 inloggegevens op. Het werk is een preprint die nog geen peer review heeft doorlopen, en de cijfers over de teruggehaalde data zijn niet onafhankelijk geverifieerd; de uitsplitsing van de 182 inloggegevens komt uitsluitend uit de secundaire bron. Volgens Cyber Security News gaat het onder meer om 62 API-sleutels, 33 wachtwoorden en 30 e-mailadressen, gehaald uit openbare transcripties van agents. De aanval vraagt niet meer dan gewone API-toegang, omzeilt de beschermingen tegen distillatie en kan gevaarlijke informatie of onzichtbare prompt injection blootleggen.

Hoe het met de reparaties staat, is ondoorzichtig. Cyber Security News schrijft in zijn stuk van 11 augustus dat alle drie de aanbieders maatregelen aan de serverkant hebben genomen waardoor de proofs of concept niet meer reproduceerbaar zijn; AI Weekly houdt op dezelfde dag vol dat er geen enkele architectonische ingreep heeft plaatsgevonden. Op het moment van de controle waren er van de betrokken bedrijven geen officiële verklaringen die het een of het ander bevestigen. Bovendien bleek de projectsite die voor aanvullende technische details wordt genoemd, stolen-thoughts.com, onbereikbaar (HTTP-fout 403), waardoor een volledige indirecte reconstructie van de methode niet mogelijk was.

Het lek komt niet voort uit een losse implementatiefout, maar uit een ontwerpkeuze die intellectueel eigendom boven vertrouwelijkheid stelt. De aanbevolen tegenmaatregelen zijn het blok cryptografisch te binden aan het model, de sessie en de gebruiker van herkomst, en logs op te schonen voordat ze worden gepubliceerd. Zolang onduidelijk is of de genomen maatregelen de band tussen versleuteld blok en oorspronkelijke context raken, valt van buitenaf niet vast te stellen hoeveel risico er overblijft.

— Olya