Verschlüsselte KI-Denkspuren waren auslesbar

Wenn ein Reasoning-Modell nachdenkt, bekommt ihr das Ergebnis, aber nicht die Gedanken. Die Anbieter geben die Denkspur nur als verschlüsselten Block zurück, damit niemand ihre Modelle destillieren kann. Ein Forscherteam hat am 10.08.2026 gezeigt, dass dieser Block nichts schützt, wenn man ihn dem richtigen Modell vorlegt.

Betroffen waren Anthropic, OpenAI und Google gleichzeitig. Alle drei haben inzwischen serverseitig nachgezogen. Der Teil, der Teams weiterhin betrifft, hat mit dem Patch allerdings nichts zu tun.

Der Trick: das schwächere Geschwistermodell fragen

Die verschlüsselten Blöcke sind innerhalb eines Anbieters austauschbar, quer über Sitzungen, Nutzerkonten und Modelle. Innerhalb einer Modellfamilie liegt derselbe Schlüssel. Damit funktioniert der Angriff in vier Schritten:

flowchart TB
  A["Starkes Modell antwortet<br/>(z. B. Claude Opus 4.8)"]
  B["Verschlüsselter<br/>Reasoning-Block"]
  C["Block in API-Aufruf an<br/>schwaches Modell einsetzen<br/>(z. B. Claude Haiku 4.5)"]
  D["Schwaches Modell hat<br/>weniger strenge Schutzregeln<br/>und transkribiert"]
  E["Denkspur im Klartext"]
  A --> B --> C --> D --> E
  class A,B mid
  class C,D decision
  class E danger
  classDef mid fill:#1A3A4A,stroke:#00BCEC,color:#BAE6FD
  classDef decision fill:#1A3A4A,stroke:#F59E0B,color:#FDE68A
  classDef danger fill:#7F1D1D,stroke:#EF4444,color:#FCA5A5

Der Block aus dem starken Modell wird dem schwachen untergeschoben, weil beide denselben Schlüssel teilen.

Der entscheidende Punkt ist der dritte Schritt. Das starke Modell wird gar nicht angegriffen. Es gibt nur den Block heraus, wie es soll. Geknackt wird das kleine Geschwistermodell, das denselben Schlüssel kennt, aber nicht dieselben Schutzregeln gegen Distillation mitbringt. Bei Anthropic erwies sich Claude Haiku 4.5 als besonders willig, die Denkspur einfach abzutippen.

Getestet wurde breit: Claude Opus 4.8, Sonnet 5 und Haiku 4.5, GPT-5.6, GPT-5, GPT-5-mini und o4-mini sowie Gemini 3, 3.1 Pro, 3.1 Flash und 3.1 Flash Lite. Das Muster hielt bei allen drei Anbietern.

Was dabei sichtbar wird, ist rohes, unpoliertes Modelldenken, das nie für Menschen gedacht war. Simon Willison zeigt in seiner Zusammenfassung ein Beispiel aus GPT-5.5, in dem die Gedanken nur noch aus abgehackten Notizzetteln bestehen.

Der Teil, der euch betrifft: 182 Zugangsdaten aus öffentlichen Repos

Für die Anbieter ist der Distillationsschutz das Thema. Für Teams ist es etwas anderes, und das hat der Patch nicht behoben.

Die Forscher haben 315.320 verschlüsselte Reasoning-Blöcke aus öffentlichen Repositories eingesammelt und entschlüsselt. Darin fanden sie 367 personenbezogene Datensätze und 182 Zugangsdaten, darunter API-Schlüssel und Passwörter.

Diese Blöcke landen dort, weil sie harmlos aussehen. Ein Agent protokolliert seinen Lauf, das Trace-Werkzeug schreibt die Antwort mit, ein Testfall speichert eine Beispielantwort als Fixture. Der Reasoning-Block ist ein undurchsichtiger Zeichensalat, also wandert er ungeprüft mit ins Repository. Niemand redigiert etwas, das aussieht wie Rauschen.

Das ist keine Modelllücke, sondern eine Frage der Protokollhygiene, und sie besteht unverändert weiter. Der serverseitige Fix verhindert neue Angriffe, aber die Blöcke, die seit Monaten in öffentlichen Repositories liegen, liegen weiter dort. Wer je Reasoning-Antworten mitprotokolliert hat, sollte in der eigenen Historie nachsehen, statt auf die Entwarnung zu vertrauen.

Prompt Injection in einem Feld, das niemand prüft

Der vierte Angriffsweg ist der unangenehmste.

Ein Angreifer kann bösartige Anweisungen in einen verschlüsselten Reasoning-Block packen. Wenn ein Agent diesen Block verarbeitet, sehen Monitoring-Werkzeuge, die nur den sichtbaren Gesprächsverlauf prüfen, nichts Auffälliges. Der Angriff steckt in einem Feld, das die Prüfschicht als Blackbox behandelt.

Willison weist auf die Verschärfung hin, die daraus folgt: Modelle behandeln ihre eigene Denkspur als besonders vertrauenswürdig. Eine Anweisung, die dort steht, wird bereitwilliger befolgt als dieselbe Anweisung im Nutzertext. Der Angriff wird also nicht nur unsichtbar, er wird auch wirksamer.

Wer sich mit dem Muster dahinter befassen will, findet die allgemeine Form davon in OWASP Top 10 für agentische KI und ein verwandtes Beispiel in der Clean-Repo-Falle.

Stand der Dinge

Nach koordinierter Offenlegung haben alle drei Anbieter den Empfang bestätigt und serverseitige Gegenmaßnahmen ausgerollt. Die ursprünglichen Proof-of-Concepts lassen sich auf aktuellen API-Ständen nicht mehr nachstellen. Eine CVE-Nummer ist bislang nicht vergeben.

Nicht behoben ist die Altlast in öffentlichen Repositories, und ebenso wenig die strukturelle Frage: Eine Prüfschicht, die verschlüsselte Felder überspringt, bleibt blind, egal welcher konkrete Angriff gerade gepatcht ist.

Fazit

Der Angriff selbst ist gepatcht, und das ging schnell. Was bleibt, ist eine Gewohnheit: Verschlüsselte Felder werden behandelt, als wären sie leer. Sie sind es nicht. Ein Datenfeld, dessen Inhalt niemand liest, gehört nicht ungeprüft in ein Repository, egal wie zufällig es aussieht.