Pesquisadores identificaram uma vulnerabilidade arquitetural na forma como os principais provedores de modelos de linguagem grandes manipulam rastros de raciocínio passo a passo. Os provedores retornam esses rastros como blocos criptografados para os clientes, mas o estudo revela que esses blocos são totalmente compatíveis e intercambiáveis entre diferentes sessões, usuários e modelos dentro do ecossistema de um provedor.
- Os pesquisadores desenvolveram uma jailbreak de descriptografia escalável injetando um rastro de raciocínio criptografado de um modelo capaz em um modelo mais fraco e menos protegido do mesmo provedor para forçar a saída em texto puro.
- Esse método contorna mecanismos anti-distilação, permitindo a extração de rastros de raciocínio proprietários da Anthropic, OpenAI e Google.
- A vulnerabilidade permite a extração em larga escala de dados privados; a decodificação de 315.320 blocos de raciocínio raspados de repositórios públicos revelou 367 artefatos de PII e 182 credenciais.
- A falha revela inadvertidamente informações perigosas ocultas dentro do processo de raciocínio, mesmo quando a saída final do modelo rejeita com segurança uma solicitação.
- Atacantes podem usar essa falha para executar injeções de prompt invisíveis incorporando payloads maliciosos dentro de blocos criptografados para envenenar rollouts agênticos públicos.
Após a divulgação responsável, os autores propõem mitigações concretas em nível criptográfico e de sistema para proteger o raciocínio do lado do cliente.