Sicherheitsforscher extrahieren versteckte Denkprozesse von ChatGPT, Claude und Gemini über APIs

Sicherheitsforscher haben nach eigenen Angaben eine Schwachstelle in den APIs von OpenAI, Anthropic und Google gefunden. Darüber sollen sich verschlüsselte Reasoning-Traces auslesen lassen, obwohl Anbieter diese internen Denkschritte normalerweise verbergen oder nur in zusammengefasster Form anzeigen.

Darüber berichtet The Decoder unter Verweis auf ein Team um Alexander Panfilov. Demnach hätten die Forscher eine Methode beschrieben, mit der sich die verschlüsselten Denkprozesse von Reasoning-Modellen über die APIs mehrerer großer Anbieter extrahieren lassen. Laut Bericht schreiben die Forscher, die Zahl der extrahierten Tokens stimme „bei den meisten Abfragen exakt“ mit den abgerechneten Thinking-Tokens überein. In öffentlich geteilten Sessions fanden sie demnach außerdem Dutzende Passwörter und API-Schlüssel.

Zwischen Modellen eines Anbieters übertragbar

Nach Darstellung der Forscher sind die verschlüsselten Denkprozesse „vollständig portabel über Sessions, Nutzer und Modelle hinweg innerhalb eines Anbieters“. Als Beispiel nennt der Bericht Anthropics Haiku 4.5 und Opus 4.8: Haiku 4.5 soll die Gedanken von Opus 4.8 lesen können. Per Jailbreaking habe sich Haiku dazu bringen lassen, die rohen Denkprozesse von Opus wörtlich zu transkribieren. Laut The Decoder habe derselbe Ansatz auch bei OpenAI und Gemini funktioniert.

Frühere Warnung ignoriert

Die Vorgeschichte reicht dem Bericht zufolge bis in den Mai zurück. Der Kryptografie-Experte Matthew Green habe entdeckt, dass sich verschlüsselte Reasoning-Blobs außerhalb ihres ursprünglichen Kontexts wiedergeben lassen, und die Anbieter darauf hingewiesen. Deren Reaktion sei laut Panfilov gewesen, man sehe „keine Sicherheitsimplikationen bei Seitenkanälen oder Replays“. Die neue Untersuchung komme nun zu dem Schluss, dass diese Einschätzung falsch gewesen sei.

Forscher sehen Hinweise auf mögliche Datenextraktion

Über die unmittelbare Sicherheitslücke hinaus sehen die Forscher laut Bericht auch Hinweise darauf, dass sich solche Daten für das Training anderer Modelle extrahieren lassen könnten. Konkrete Belege oder Details dazu nennt der zugrunde liegende Bericht an dieser Stelle jedoch nicht. Veröffentlicht wurde der Artikel von The Decoder am 11. August 2026.