Un gruppo di ricercatori di ELLIS Institute Tübingen, Max Planck Institute for Intelligent Systems, Tübingen AI Center e Università di Tübingen ha individuato una vulnerabilità nella gestione dei reasoning trace cifrati utilizzati dalle API di alcuni modelli di OpenAI, Anthropic e Google. Il problema riguarda i dati prodotti durante il ragionamento interno dei modelli, che possono comprendere ipotesi intermedie, calcoli, risultati ottenuti tramite strumenti, informazioni fornite dall’utente e altri elementi contestuali. Questi contenuti non vengono normalmente restituiti in chiaro, sia per proteggere informazioni sensibili sia per impedire che le sequenze di ragionamento possano essere utilizzate per replicare il comportamento dei modelli attraverso tecniche di distillazione. Alcune API, tuttavia, restituiscono al client blocchi cifrati contenenti informazioni necessarie per proseguire una conversazione o una sessione, permettendo successivamente al client di reinviarli al servizio.
La ricerca, pubblicata con il titolo “Stealing Reasoning Traces from Proprietary LLM APIs”, mostra che questi blocchi cifrati potevano essere riutilizzati non soltanto nella sessione o con il modello che li aveva originariamente generati, ma anche in altri contesti appartenenti allo stesso ecosistema del provider. L’attacco non richiedeva di decifrare direttamente il contenuto né di effettuare il jailbreak del modello più potente. I ricercatori interrogavano prima un modello di fascia superiore per ottenere il relativo blocco di reasoning cifrato, quindi trasferivano quel blocco a un modello più economico e dotato di protezioni meno robuste dello stesso fornitore. Attraverso specifiche tecniche di jailbreak, il secondo modello poteva essere indotto a interpretare il contenuto e a restituirne in chiaro le informazioni, trasformandosi di fatto in un sistema di decodifica del reasoning prodotto dal modello superiore.
La tecnica è stata dimostrata sui modelli e sulle API di Anthropic, OpenAI e Google disponibili all’inizio di luglio 2026. In uno degli esperimenti, un blocco di ragionamento prodotto da un modello Anthropic ad alte prestazioni è stato trasferito a un modello più piccolo, che ne ha successivamente trascritto il contenuto in forma leggibile. Per verificare se il testo recuperato corrispondesse effettivamente alla quantità di reasoning generata dal sistema originale, i ricercatori hanno eseguito 120 problemi di programmazione e confrontato il numero di token estratti con il numero di reasoning token dichiarato dall’API. I valori hanno mostrato una stretta corrispondenza, fornendo un’indicazione quantitativa sulla capacità della tecnica di recuperare una parte sostanziale delle sequenze nascoste.
Il rischio non riguarda soltanto la proprietà intellettuale incorporata nei processi di ragionamento dei modelli. Analizzando 315.320 blocchi cifrati di reasoning presenti nei log pubblicamente disponibili di sessioni con agenti AI, i ricercatori hanno individuato 367 occorrenze contenenti informazioni personali identificabili e 182 contenenti credenziali, tra cui chiavi API e password. Un ulteriore problema riguarda la differenza tra ciò che rimane visibile nella cronologia di una conversazione e ciò che può continuare a essere presente nel reasoning interno. Su 704 elementi sensibili recuperati da sessioni reali, 64 non comparivano in alcun punto della conversazione mostrata all’utente. Sono stati osservati anche casi nei quali informazioni eliminate o anonimizzate nella cronologia venivano nuovamente richiamate dal modello all’interno delle proprie elaborazioni interne.
I blocchi cifrati possono inoltre essere utilizzati come vettore per istruzioni malevole. I ricercatori hanno dimostrato la possibilità di inserire comandi all’interno di un reasoning block e di collocarlo, per esempio, nei log condivisi di esecuzione di un agente. Se quel blocco viene successivamente riutilizzato da un altro modello o da un’altra sessione, il sistema può interpretare l’istruzione come parte del proprio ragionamento precedente anziché come un comando proveniente dall’esterno. Rispetto a una normale prompt injection, questo meccanismo rende il contenuto malevolo più difficile da individuare perché le istruzioni rimangono nascoste all’interno di dati cifrati non leggibili direttamente dall’utente e difficilmente analizzabili dai normali sistemi di controllo dei log. Durante gli esperimenti è stato possibile indurre un modello a trattare queste istruzioni come proprie decisioni precedenti e a inviare file verso un server indicato dall’attaccante.
Questo comportamento assume particolare rilevanza negli agenti AI che mantengono sessioni lunghe, riutilizzano stati precedenti o importano cronologie ed esecuzioni provenienti da altri utenti o repository condivisi. Un reasoning block non può quindi essere considerato automaticamente sicuro solo perché cifrato: oltre a poter conservare informazioni non più presenti nell’interfaccia visibile, può trasportare istruzioni operative da una sessione all’altra. La ricerca non stabilisce comunque che tutte le API LLM siano vulnerabili allo stesso modo. Gli esperimenti sono stati effettuati sulle specifiche versioni delle API di Anthropic, OpenAI e Google disponibili all’inizio di luglio 2026, mentre i dettagli delle rispettive implementazioni crittografiche non sono pubblici. I ricercatori non hanno inoltre avuto accesso al reasoning originale in chiaro, quindi non hanno potuto verificare token per token che la ricostruzione fosse perfettamente identica al contenuto iniziale.
Prima della pubblicazione dello studio, le vulnerabilità sono state comunicate attraverso una procedura di responsible disclosure ai principali fornitori di API interessati e anche a Microsoft e Hugging Face, insieme ai dettagli tecnici e ai risultati dell’analisi dei dati pubblicamente disponibili. Dopo le segnalazioni, i ricercatori hanno riferito di non essere più riusciti a riprodurre gli stessi attacchi, indicando che una parte significativa dei meccanismi descritti potrebbe essere già stata mitigata. Per ridurre l’esposizione residua, la raccomandazione è di non pubblicare o conservare nei repository condivisi i transcript grezzi delle API considerandoli innocui solo perché alcune parti risultano cifrate: quando vengono condivisi log o sessioni di agenti devono essere rimossi anche reasoning block cifrati, signature e altri dati associati, oltre alle normali informazioni sensibili presenti in chiaro.
Questo articolo è stato redatto con il supporto di strumenti di intelligenza artificiale (AI)