Парадокс зашифрованих міркувань: коли захист інтелектуальної власності відкриває дані

10 серпня 2026 року на arXiv було подано препринт 'Stealing Reasoning Traces from Proprietary LLM APIs' — роботу про вразливості, вбудовані в сам спосіб захисту ланцюжка міркувань мовних моделей. За словами авторів, найбільші постачальники API, серед них Anthropic, OpenAI і Google, дотримуються однакової практики: текст міркування повертається не у відкритому вигляді, а зашифрованим блоком, який клієнт знову додає до наступних запитів. Анотація вказує на архітектурний недолік: ці зашифровані блоки, за словами авторів (переклад наш), "повністю сумісні та взаємозамінні між різними сесіями, користувачами й моделями всередині екосистеми того самого постачальника".

Саме така взаємозамінність уможливлює атаку: зашифрований блок, згенерований флагманською моделлю, підставляють у виклик API меншої та гірше захищеної моделі того ж постачальника — і вона повертає його відкритим текстом. Аналіз 315 320 блоків дав змогу відновити 367 артефактів персональних даних і 182 набори облікових даних. Робота — препринт, який ще не пройшов рецензування, а цифри щодо відновлених даних незалежно не перевірені; розкладка 182 облікових даних походить лише з вторинного джерела. За даними Cyber Security News, серед них 62 ключі API, 33 паролі та 30 адрес електронної пошти, видобуті з публічних розшифровок роботи агентів. Атака потребує тільки звичайного доступу до API, обходить захист від дистиляції та може розкрити небезпечні відомості чи невидимі prompt injection.

Стан виправлень лишається непрозорим. Cyber Security News у матеріалі від 11 серпня стверджує, що всі три постачальники застосували заходи на боці сервера і докази концепції більше не відтворюються; AI Weekly того самого дня наполягає, що жодного архітектурного втручання не було. На момент перевірки офіційних заяв причетних компаній на користь тієї чи іншої версії не знайдено. До того ж сайт проєкту, вказаний як джерело додаткових технічних деталей, stolen-thoughts.com, виявився недоступним (помилка HTTP 403), що унеможливлює повне непряме відтворення методики.

Діра виникла не через окрему помилку реалізації, а через проєктне рішення, яке ставить інтелектуальну власність вище за конфіденційність. Рекомендовані контрзаходи — криптографічно прив'язати блок до моделі, сесії та користувача-джерела, а також очищати журнали перед публікацією. Доки незрозуміло, чи зачіпають ужиті заходи сам зв'язок між зашифрованим блоком і початковим контекстом, ззовні неможливо перевірити, скільки ризику лишилося.

— Olya