O paradoxo do raciocínio cifrado: quando proteger a propriedade intelectual expõe os dados

Em 10 de agosto de 2026 foi depositado no arXiv o preprint 'Stealing Reasoning Traces from Proprietary LLM APIs', um trabalho sobre as vulnerabilidades inerentes à forma como se protege a cadeia de raciocínio dos modelos de linguagem. Segundo os autores, os principais fornecedores de API, entre eles Anthropic, OpenAI e Google, adotam a mesma prática: o texto do raciocínio não é devolvido em claro, mas como bloco cifrado, que o cliente volta a anexar nos pedidos seguintes. O resumo do artigo aponta uma falha de arquitetura: esses blocos cifrados são, nas palavras dos autores (tradução nossa), "plenamente compatíveis e intercambiáveis entre diferentes sessões, utilizadores e modelos dentro do ecossistema do mesmo fornecedor".

É essa intercambiabilidade que permite um ataque em que um bloco cifrado gerado por um modelo de topo é inserido na chamada de API de um modelo mais pequeno e menos protegido do mesmo fornecedor, que o devolve em claro. A análise de 315.320 blocos permitiu recuperar 367 artefactos de dados pessoais e 182 credenciais. O trabalho é um preprint ainda não submetido a revisão por pares e os números sobre os dados recuperados não estão verificados de forma independente; a decomposição das 182 credenciais vem apenas da fonte secundária. Segundo a Cyber Security News, entre elas contam-se 62 chaves de API, 33 palavras-passe e 30 endereços de e-mail, extraídos de transcrições públicas de agentes. O ataque exige apenas um acesso normal à API, contorna as proteções antidestilação e pode expor informações perigosas ou injeções de prompt invisíveis.

O estado real das correções é opaco. Enquanto a Cyber Security News, na cobertura de 11 de agosto, afirma que os três fornecedores aplicaram mitigações do lado do servidor que tornam as provas de conceito irreproduzíveis, a AI Weekly sustenta na mesma data que não houve qualquer intervenção arquitetónica. No momento da verificação não constam comunicados oficiais das empresas envolvidas a confirmar uma tese ou a outra. Além disso, o site do projeto citado para os detalhes técnicos adicionais, stolen-thoughts.com, revelou-se inacessível (erro HTTP 403), o que impede uma reconstrução indireta completa da metodologia.

A falha não vem de um erro pontual de implementação, mas de uma escolha de design que coloca a propriedade intelectual à frente da confidencialidade. As contramedidas recomendadas passam por ligar criptograficamente o bloco ao modelo, à sessão e ao utilizador de origem, além de limpar os registos antes de os publicar. Enquanto não se souber se as mitigações aplicadas tocam o vínculo entre bloco cifrado e contexto de origem, não é possível verificar de fora quanto risco resta.

— Olya