KI SpotlightNewsPaper enthüllt Angriff auf verschlüsselte Reasoning-Traces
Forscher entschlüsseln verborgene Chain-of-Thought-Blöcke über schwächere Schwestermodelle – Anbieter haben reagiert.
Mit KI erstellt◆ Fakten auf einen Blick
- Ein Paper mit dem Titel 'Stealing Reasoning Traces from Proprietary LLM APIs' wurde im August 2026 veröffentlicht.
- Die Methode nutzt verschlüsselte Chain-of-Thought-Blöcke, die von kommerziellen LLM-APIs zurückgegeben werden, und spielt sie in ein schwächeres Schwestermodell ein, das per Jailbreak die verborgenen Überlegungen preisgibt.
- Der Angriff benötigt nur zwei API-Aufrufe und kann ohne direkten Angriff auf das stärkere Modell erfolgen.
- Die extrahierten Reasoning-Traces können sensible Informationen wie Passwörter, API-Schlüssel und personenbezogene Daten enthalten.
- Die Autoren geben an, dass der Hauptangriff nach Offenlegung und Mitigations der Anbieter ab August 2026 nicht mehr reproduzierbar ist.
Paper enthüllt Angriff auf verschlüsselte Reasoning-Traces
Im August 2026 wurde das Paper „Stealing Reasoning Traces from Proprietary LLM APIs“ veröffentlicht. Es beschreibt eine Methode, um verschlüsselte Chain-of-Thought-Blöcke kommerzieller LLM-APIs zu entschlüsseln. Die verschlüsselten Blöcke, die Dienste wie Claude, GPT-4 oder Gemini zurückgeben, werden nicht direkt angegriffen. Stattdessen spielen die Forscher sie in ein schwächeres Schwestermodell ein. Dieses akzeptiert die portablen Reasoning-Objekte und verarbeitet sie. Ein anschließender Jailbreak bringt das schwächere Modell dazu, die verborgenen Überlegungen des stärkeren Modells im Klartext preiszugeben. Der Angriff benötigt nur zwei API-Aufrufe und umgeht die Sicherheitsschicht des stärkeren Modells. Ein Beispiel ist der Fall Kimi-K3, bei dem die wiederhergestellten Überlegungen interne Schritte zur Lösung einer Mathematikaufgabe zeigen.
Angriff nach Anbieter-Mitigations nicht mehr reproduzierbar
Die Autoren geben an, dass der in dem Paper demonstrierte Hauptangriff nach der Offenlegung gegenüber den betroffenen Modellanbietern und nach deren Mitigations ab August 2026 nicht mehr reproduzierbar ist. Das Paper ist daher nicht als Beleg dafür zu lesen, dass derselbe Extraktionsweg weiterhin offensteht. Vielmehr zeigt es, dass Reasoning-State zu einer Sicherheitsgrenze geworden ist, die Anbieter inzwischen absichern.
