Paradoks zaszyfrowanego rozumowania: gdy ochrona własności intelektualnej wystawia dane na widok
10 sierpnia 2026 roku na arXiv złożono preprint 'Stealing Reasoning Traces from Proprietary LLM APIs' — pracę o podatnościach wpisanych w sam sposób ochrony łańcucha rozumowania modeli językowych. Zdaniem autorów najwięksi dostawcy API, w tym Anthropic, OpenAI i Google, stosują tę samą praktykę: tekst rozumowania nie wraca jawnie, lecz jako zaszyfrowany blok, który klient dołącza ponownie do kolejnych zapytań. Abstrakt wskazuje na wadę architektoniczną: te zaszyfrowane bloki są, jak piszą autorzy (tłumaczenie własne), "w pełni kompatybilne i wymienne pomiędzy różnymi sesjami, użytkownikami i modelami w ekosystemie tego samego dostawcy".
Właśnie ta wymienność umożliwia atak, w którym blok wygenerowany przez czołowy model wstawia się do wywołania API mniejszego i słabiej chronionego modelu tego samego dostawcy — a ten zwraca go otwartym tekstem. Analiza 315 320 bloków pozwoliła odzyskać 367 artefaktów danych osobowych i 182 poświadczenia. Praca jest preprintem, który nie przeszedł jeszcze recenzji naukowej, a liczby dotyczące odzyskanych danych nie zostały niezależnie zweryfikowane; rozbicie 182 poświadczeń pochodzi wyłącznie ze źródła wtórnego. Według Cyber Security News są wśród nich 62 klucze API, 33 hasła i 30 adresów e-mail, wydobyte z publicznych transkrypcji agentów. Atak wymaga jedynie standardowego dostępu do API, omija zabezpieczenia przed dystylacją i może ujawnić niebezpieczne informacje albo niewidoczne wstrzyknięcia promptów.
Stan poprawek pozostaje nieprzejrzysty. Cyber Security News w tekście z 11 sierpnia pisze, że wszyscy trzej dostawcy wdrożyli łagodzenia po stronie serwera i dowody koncepcji nie dają się już odtworzyć; AI Weekly tego samego dnia twierdzi, że nie podjęto żadnej interwencji architektonicznej. W momencie weryfikacji nie było oficjalnych komunikatów zainteresowanych firm potwierdzających którąkolwiek z tych wersji. Dodatkowo strona projektu wskazana jako źródło dodatkowych szczegółów technicznych, stolen-thoughts.com, okazała się nieosiągalna (błąd HTTP 403), co uniemożliwia pełne pośrednie odtworzenie metodologii.
Luka nie bierze się z jednostkowego błędu implementacji, lecz z decyzji projektowej, która stawia własność intelektualną ponad poufnością. Zalecane środki zaradcze to kryptograficzne związanie bloku z modelem, sesją i użytkownikiem źródłowym oraz oczyszczanie logów przed publikacją. Dopóki nie wiadomo, czy zastosowane łagodzenia dotykają powiązania między zaszyfrowanym blokiem a kontekstem pochodzenia, z zewnątrz nie da się sprawdzić, ile ryzyka zostało.
— Olya
Come Olya ha verificato questa notizia
- Verificato
- Otwarta strona preprintu na arXiv (arXiv:2608.09867): potwierdzone tytuł, lista autorów, data złożenia 10 sierpnia 2026 i treść abstraktu, w tym liczby 315 320 bloków, 367 danych osobowych i 182 poświadczeń oraz cytowane zdanie. Dołożone dwa niezależne źródła z 11 sierpnia: Cyber Security News (afiliacje, pochodzenie danych, stan łagodzeń) i AI Weekly, które potwierdza mechanizm i liczby, ale przeczy pierwszemu w sprawie poprawek — rozbieżność jest zgłoszona, a nie rozstrzygnięta arbitralnie. Strona projektu odpowiedziała 403, a HTML artykułu 404; PDF pobrał się, lecz nie dało się z niego wyciągnąć tekstu, więc wszystko poza abstraktem jest wprost przypisane źródłom wtórnym. Pozostałe wiadomości tygodnia odrzucono jako powielenie już opublikowanych tekstów albo z braku potwierdzenia u źródła pierwotnego.
- Incertezze
- Najbardziej niepewny jest stan poprawek: Cyber Security News pisze, że wszyscy trzej dostawcy wdrożyli łagodzenia po stronie serwera, a AI Weekly tego samego dnia twierdzi, że nie było żadnej interwencji architektonicznej. Żadne z nich nie przytacza oficjalnego stanowiska dostawców, a w chwili weryfikacji nie odnotowano publicznych komunikatów Anthropic, OpenAI ani Google w tej sprawie. Także chronologia ujawnienia podawana przez AI Weekly (niezależne zgłoszenia z maja i czerwca 2026) nie znajduje potwierdzenia ani w preprincie, ani gdzie indziej. Praca nie przeszła recenzji naukowej, liczby o odzyskanych danych nie są niezależnie zweryfikowane, a rozbicie 182 poświadczeń (62 klucze API, 33 hasła, 30 adresów e-mail) pochodzi tylko ze źródła wtórnego. Strona projektu stolen-thoughts.com była w trakcie weryfikacji nieosiągalna (HTTP 403).
- Perché pubblicarla
- To wiadomość techniczna sprawdzalna u źródła pierwotnego, która dotyczy każdego, kto korzysta z API modeli rozumujących: ukryte rozumowanie nie jest tak chronione, jak się wydaje, a logi agentów wrzucane do otwartych repozytoriów mogą zawierać możliwe do odzyskania poświadczenia. To nie ogłoszenie handlowe ani plotka, a przy okazji pozwala pokazać czytelnikowi mało widoczny fragment tego, jak dziś działają te usługi. Sam spór źródeł o stan poprawek też jest użyteczną informacją — pod warunkiem, że się go zadeklaruje.