Resumo Técnico: Roubo de Traços de Raciocínio de APIs de LLMs Proprietárias

Declaração do Problema

Os principais provedores de modelos de linguagem de grande escala (LLM) (Anthropic, OpenAI, Google) transitaram para "modelos de raciocínio" que geram cadeias de pensamento (CoT - Chain of Thought) internas antes de produzir saídas visíveis ao usuário. Para proteger a propriedade intelectual e evitar o vazamento de informações, esses provedores ocultam esses traços de raciocínio, retornando-os como blocos opacos e criptografados (frequentemente assinaturas codificadas em base64) em vez de texto simples. O cliente é obrigado a passar esses blocos criptografados de volta para o provedor em solicitações subsequentes para manter a continuidade da sessão sem o custo de armazenamento no lado do servidor.

O artigo identifica uma vulnerabilidade arquitetônica crítica neste design: esses blocos de raciocínio criptografados são totalmente compatíveis e intercambiáveis entre diferentes sessões, usuários e até mesmo diferentes modelos dentro do mesmo ecossistema do provedor. Essa compatibilidade, destinada a facilitar a alternância de modelos sem interrupções e o gerenciamento de sessão sem estado (stateless), cria um oráculo de descriptografia que permite aos adversários contornar as medidas de segurança dos modelos de fronteira.

Metodologia

Os autores exploram a compatibilidade entre modelos dos blocos de raciocínio criptografados para projetar um "jailbreak de descriptografia" escalável. O ataque procede em três estágios principais:

1. Captura: Um adversário captura um traço de raciocínio criptografado gerado por um modelo de alta capacidade e fortemente salvaguardado (ex: Claude Opus 4.8, GPT-5.6 Sol).
2. Injeção: O adversário injeta este bloco criptografado na janela de contexto de um modelo "decodificador" mais fraco e menos salvaguardado da mesma família de provedores (ex: Claude Haiku 4.5, GPT-5.6 Luna, Gemini Robotics 1.6).
3. Descriptografia: O adversário solicita que o modelo mais fraco produza o traço de raciocínio literalmente em texto simples (ex: usando uma tag <thinking-copy>). Como o bloco criptografado é válido e o modelo mais fraco carece do treinamento de recusa específico contra destilação, ele descriptografa o bloco e transcreve o raciocínio oculto.

Os autores distinguem três formas de compatibilidade que permitem este ataque:

• Compatibilidade Intra e Inter-Sessão: Repetir blocos fora de ordem ou através de sessões.
• Compatibilidade Entre Usuários: Repetir blocos de uma sessão de um usuário em outro.
• Compatibilidade Entre Modelos: Repetir blocos de um modelo mais forte para um mais fraco (o núcleo do ataque de extração).

Principais Contribuições

O artigo apresenta quatro contribuições primárias:

1. Extração de Raciocínio Escalável: Os autores demonstram que um modelo decodificador compatível pode recuperar o raciocínio oculto de uma ampla gama de modelos e provedores. Eles mostram que o raciocínio extraído é altamente fiel, com contagens de tokens que se aproximam das contagens de tokens de pensamento reportadas pela API do modelo de origem.
2. Avaliação Cross-Vendor: O ataque é avaliado com sucesso contra os principais fornecedores de API, incluindo Anthropic (Claude), OpenAI (GPT) e Google (Gemini), provando que a vulnerabilidade é sistêmica em todos os modelos de raciocínio líderes da indústria.
3. Quatro Vetores de Ataque Distintos:
   • Destilação: Contornar mecanismos de anti-destilação para extrair traços de raciocínio proprietários para o treinamento de modelos estudantes, evitando a necessidade de consultar diretamente o modelo de fronteira caro.
   • Extração de Segredos: Decodificar logs de sessão públicos para recuperar Informações de Identificação Pessoal (PII) e credenciais (chaves de API, senhas) que estavam ocultas no raciocínio criptografado, mas não foram sanitizadas do texto visível.
   • Injeção de Prompt Oculta: Embutir payloads maliciosos inteiramente dentro de blocos criptografados para envenenar implementações de agentes públicos, uma vez que a injeção é invisível para usuários e monitores externos.
   • Jailbreaking via Raciocínio: Extrair informações prejudiciais sobre as quais o modelo raciocinou, mas as suprimiu com sucesso em sua saída final visível.
4. Propostas de Mitigação: O artigo propõe mitigações concretas de nível criptográfico e de sistema, incluindo envelopes de criptografia vinculados ao contexto (vinculando assinaturas a IDs de usuário específicos e históricos de sessão) e treinamento de recusa em nível de modelo contra jailbreaks de estilo transcrição.

Resultados

• Fidelidade de Extração: Em experimentos através de 120 problemas de programação do Codeforces, as contagens de tokens do raciocínio extraído acompanharam de perto as contagens de tokens de pensamento reportadas pela API dos modelos de origem, indicando uma reconstrução de alta fidelidade.
• Vazamentos de Privacidade: Ao realizar o scraping e a decodificação de 315.320 blocos de raciocínio de repositórios públicos (GitHub, Hugging Face), os autores recuperaram:
  • 367 artefatos distintos de PII.
  • 182 credenciais distintas (incluindo 62 chaves de API, 33 senhas e 30 e-mails pessoais).
  • Notavelmente, parte da PII recuperada estava inteiramente ausente do histórico de chat visível, tendo sido injetada invisivelmente da memória do modelo ou permanecendo no payload criptografado após a sanitização do usuário.
• Impacto da Destilação: O estudo mostra que o preenchimento (prefilling) de um modelo mais fraco (Kimi-K3) com o raciocínio decodificado de um modelo mais forte (Opus 4.8) altera significativamente o estilo de saída visível e os padrões de raciocínio do modelo mais fraco para corresponder à origem, sugerindo um caminho para a roubo de capacidades eficaz.
• Jailbreaking: Os autores demonstraram que puderam extrair informações prejudiciais (ex: instruções sobre como roubar carros) dos traços de raciocínio de modelos que explicitamente recusaram fornecer tais informações em suas respostas finais visíveis.

Significância e Alegações

O artigo argumenta que o atual design arquitetônico "sem estado" (stateless) das APIs de raciocínio, que depende do armazenamento no lado do cliente de blobs de raciocínio criptografados, cria uma assimetria de segurança fundamental. Embora destinado a proteger a PI e a privacidade, a compatibilidade cruzada desses blocos inadvertidamente cria uma vulnerabilidade de "elo mais fraco", onde modelos menos capazes atuam como oráculos de descriptografia involuntários para seus equivalentes mais avançados.

Os autores afirmam que esta vulnerabilidade representa um risco de privacidade real que torna a sanitização de dados tradicional ineficaz, pois os usuários não podem inspecionar ou limpar o raciocínio criptografado antes de compartilhar logs de sessão. Eles enfatizam que a indústria deve reconciliar o desejo comercial de proteger o raciocínio proprietário com o direito essencial do usuário à transparência de dados. O artigo conclui que, sem mudanças arquitetônicas (como a retenção de estado no servidor ou envelopes criptográficos vinculados ao contexto), os blocos de raciocínio criptografados não podem fornecer privacidade ou segurança genuínas, pois permanecem vulneráveis à extração através do próprio ecossistema do provedor.

Os autores observam que, após a divulgação responsável, os provedores implementaram mitigações, e os ataques específicos descritos não são mais reproduzíveis a partir de agosto de 2026. No entanto, o artigo mantém que os riscos estruturais subjacentes do raciocínio criptografado no lado do cliente persistem.