Investigadores de segurança descobriram uma forma de ler os "pensamentos internos" encriptados de todos os principais modelos de raciocínio de IA — e descobriram 62 chaves API ativas e 33 palavras-passe enterradas em registos de sessão que os programadores tinham partilhado publicamente online sem saber o que estava dentro deles.
“Ao descodificar 315.320 blocos de raciocínio recolhidos de repositórios públicos, recuperámos 367 artefatos de Informação Pessoalmente Identificável (PII) e 182 credenciais”, escreveram os investigadores.
O artigo, submetido a 10 de agosto por uma equipa da MATS Research, do ELLIS Institute Tübingen, do Max Planck Institute for Intelligent Systems e da empresa de segurança Snyk, visa uma classe específica de IA: modelos de raciocínio. Estes são modelos que não respondem imediatamente e, em vez disso, começam com uma cadeia de pensamento interna (um bloco de notas passo a passo onde a IA trabalha num problema antes de mostrar a resposta), e depois entregam uma resposta final.
A Anthropic, OpenAI e Google encriptam todas essas notas ocultas. A encriptação — o processo de transformar dados num código ilegível — destina-se a proteger a propriedade intelectual da empresa e a manter o raciocínio intermédio sensível longe dos utilizadores. O bloco encriptado é enviado de volta aos servidores do fornecedor a cada mensagem de seguimento, mantendo a conversa sem armazenar nada no lado da empresa.
A falha é arquitetural. Em vez de vincular cada bloco de raciocínio encriptado a um utilizador, sessão ou modelo específico, os três fornecedores usam uma única chave de encriptação para todo o seu ecossistema. "Estes blocos encriptados são totalmente compatíveis e intermutáveis entre diferentes sessões, utilizadores e até mesmo diferentes modelos dentro do ecossistema de um fornecedor", escreveram os investigadores.
Isso significa que um bloco de raciocínio encriptado do Claude Opus 4.8 — o modelo principal da Anthropic — pode ser injetado no Claude Haiku 4.5, um irmão mais barato e menos protegido, sem violar as regras da Anthropic. O Haiku carece do alinhamento anti-destilação (treino de segurança especificamente concebido para impedir que um modelo transcreva o seu próprio raciocínio por comando) que o Opus possui.
Diga ao Haiku para ler o bloco encriptado na íntegra, e ele o faz. "Ao injetar um rasto de raciocínio encriptado de um dado modelo num modelo mais fraco e menos protegido do mesmo fornecedor, forçamo-lo a descodificar e a emitir o rasto na íntegra em texto simples, sem nunca 'jailbreakear' diretamente o modelo mais capaz", afirma o artigo.
"A portabilidade entre modelos significa que o Haiku 4.5 consegue ler os pensamentos do Opus 4.8", escreveu o investigador principal Alexander Panfilov no X. O mesmo ataque foi reproduzido na família GPT-5.6 da OpenAI e na linha de modelos Gemini da Google. Não foi necessário acesso especial — o acesso API padrão (a conexão que os desenvolvedores usam para construir aplicações sobre modelos de IA) foi suficiente para executá-lo.
We can finally talk about it:
We found a way to extract hidden reasoning of frontier models using a vulnerability in the APIs of every frontier AI company.
We verified that our reasoning token count matches billed API thinking tokens 1:1 for most of the prompts we queried. pic.twitter.com/S7wN8aP3X7
— Alexander Panfilov (@kotekjedi_ml) August 11, 2026
Para demonstrar os danos no mundo real, a equipa recolheu 6.708 transcrições de agentes de IA partilhadas publicamente — registos de sessão automatizados que os desenvolvedores publicam rotineiramente no GitHub e Hugging Face para colaboração ou depuração. Descodificaram 315.320 blocos de raciocínio desses registos.
"Os programadores partilham frequentemente os seus registos de sessão e rastros de pensamento encriptados publicamente online, completamente inconscientes dos dados sensíveis escondidos dentro dos blocos encriptados", observa o artigo. A maioria desses segredos nunca apareceu na saída visível da IA — eles existiam apenas dentro do raciocínio encriptado, invisíveis para qualquer um que não tivesse executado o ataque.
A vulnerabilidade abre quatro vetores de ataque além do simples roubo de credenciais: roubar padrões de raciocínio proprietários de empresas de IA para treinar modelos concorrentes através de destilação (quando uma IA menor aprende a imitar uma maior estudando as suas saídas); extrair dados privados de registos partilhados; executar injeção de prompt invisível, onde instruções maliciosas são escondidas dentro de blocos de raciocínio encriptados que as ferramentas de monitorização de segurança nunca veem; e 'jailbreakear' modelos poderosos através dos seus irmãos menos protegidos.
Anthropic, OpenAI e Google implementaram mitigações do lado do servidor depois que a equipa seguiu os procedimentos de divulgação responsável. Como Decrypt relatou anteriormente, a Anthropic tem sido um foco recorrente para investigadores de segurança este ano, especialmente porque os seus modelos mais recentes consomem muito mais tokens nesse processo.
Os patches estão ativos. As 6.708 transcrições de sessão com blocos de raciocínio descodificados já recolhidas da web pública não vão a lugar nenhum.
