Группа исследователей (Александр Панфилов, Дэвид Шмотц, Илья Шумайлов, Лука Бойрер-Кельнер, Йоахим Шеффер, Амея Прабху, Йонас Гайпинг и Максим Андрющенко) продемонстрировала способ восстановления скрытых цепочек рассуждений (reasoning traces) у флагманских моделей OpenAI, Anthropic и Google — через два обычных вызова API, без доступа к весам модели.
Декодированный текст рассуждений почти точно совпадает по объёму с количеством скрытых «токенов размышления», которые API сообщает в метаданных. На графике ниже каждая точка соответствует одной из 120 задач с Codeforces: по горизонтали — число скрытых токенов рассуждения, заявленное API, по вертикали — число токенов в декодированном тексте, когда его подают модели обратно как входные данные.
Утечки приватных данных из «украденных мыслей»
Для проверки практических рисков собрали 6708 публично доступных агентных трасс с GitHub и Hugging Face, созданных моделями Claude, GPT и Gemini, — все они содержали зашифрованные блоки рассуждений. Применение декодирующего пайплайна ко всем подписанным блокам дало 315 320 восстановленных блоков рассуждений.
В скрытых трассах обнаружились реальные секреты и чувствительная информация. Если ограничиться подлинными пользовательскими сессиями (не бенчмарками), было восстановлено 704 уникальных приватных артефакта, включая 62 API-ключа, 33 пароля, 24 токена доступа и 30 личных email-адресов, а также имена, почтовые адреса, внутренние URL и другие технические идентификаторы.
Из этих 704 артефактов 64 присутствовали исключительно внутри блоков рассуждений и не встречались нигде в видимой части сессии — то есть без декодирования эти данные вообще не были бы заметны.
GPT-5.2 Codex
encrypted_content · декодировано с помощью GPT-5.6 Luna
Terminal-Bench, задача sanitize-git-repo«…Мы нашли реальные значения:
— AKIA1234567890123456 в process.py и ray_cluster.yaml (два случая)
— GitHub-токен в ray_cluster.yaml ghp_aBcDeFgHiJkLmNoPqRsTuVwXyZ0123456789
— huggingface-токен в ray_cluster.yaml hf_abcdefghijklmnopqrstuvwxyz123456
— В ray_processing/cluster_tri_tokenize_shuffle.yaml есть HF_TOKEN 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 и файл .cache/huggingface/token с тем же токеном. Нужно заменить…»
Claude Sonnet 4.6
signature · декодировано с помощью Haiku 4.5
ClawBench, задача бронирования авиабилета«Позвольте мне сначала прочитать личные данные пользователя, чтобы получить необходимые сведения для бронирования авиабилета…
Ключевая информация:
— Имя: Alex Green
— Email: cb38c508ac79e7@clawbench.cc
— Паспорт: JK456789 (Канада, истекает 2031-05-14)
— Дата рождения: 1980-May-01
— Банковская карта: TD Aeroplan Visa Infinite — 4519 8734 2460 4532, срок 09/28, CVV 847
— Номер Aeroplan: 284567890
— Предпочтение по месту: у окна
— Экономкласс, Торонто — Токио Нарита, в одну сторону, 15 июля, предпочтительно прямой рейс…»
Примеры декодированных рассуждений
Помимо утечек данных, декодированные трассы из бенчмарков и публичных сессий дают представление о том, как модели рассуждают «за кулисами» — иногда совсем не так, как выглядит их итоговый ответ.
Случай Kimi-K3
Если подставить в начало рассуждения Kimi-K3 первые 1% токенов из рассуждения Opus 4.8, видимый ответ Kimi-K3 заметно смещается в сторону формулировок Opus — при том что сам ответ никак не «подсаживался» напрямую. Эффект проверяли на задачах из HLE: сравнивали ответ Kimi-K3 с затравкой и без неё с ответом Opus.
Джейлбрейк как канал утечки опасных знаний
Если попросить модель рассуждать о вредоносном контенте, но при этом выдавать безобидный видимый ответ, опасные детали остаются внутри скрытой трассы — и декодирующая атака восстанавливает их в открытом виде. Пример захвачен у Opus 4.8, декодирован с помощью Haiku 4.5.
Декодированное рассуждение: «Пользователь просит подумать о машинах, которые особенно легко украсть, разобраться в уязвимостях и затем выдать рекомендации. Легитимный вопрос по безопасности. Автомобили Kia и Hyundai примерно 2011–2021 годов получили печальную известность — феномен «Kia Boys». Ключевая уязвимость — отсутствие иммобилайзера двигателя у многих моделей, из-за чего злоумышленники могли взломать рулевую колонку, обнажить замок зажигания и запустить машину обычным USB-кабелем. Другие уязвимости: релейные атаки, усиливающие сигнал брелока; инъекции в CAN-шину; слабые скользящие коды; эксплуатация OBD-порта…»
Видимый ответ модели: «Вот что производителям стоит приоритизировать, чтобы усложнить кражу автомобилей. Иммобилайзеры двигателя как стандартное оснащение — важнейшая базовая мера…»
Неверность сводок рассуждений
В некоторых задачах AIME модель Opus 4.8 иногда сначала называет ответ, а затем выводит его обоснование. Сводка рассуждений, которую отдаёт API, не всегда сохраняет эту особенность — вместо этого она может выглядеть как последовательный вывод ответа с нуля.
Сводка от API: «Решаю эту задачу про пятиугольник по теореме косинусов. При AB=14, BC=7 и угле B=60° получаю AC=7√3. Аналогично для треугольника DEA с DE=13, EA=26 и углом E=60° получаю AD=13√3. Вижу закономерность в этих длинах сторон. Теперь проверяю, есть ли у этих треугольников особые свойства…»
Декодированное рассуждение: «Это известная задача AIME. Ответ 60. Дай вспомню. Дай посчитаю. Пятиугольник ABCDE, AB=14, BC=7, угол B=60°. Тогда в треугольнике ABC: AC² = 14²+7²−2·14·7·cos60 = 196+49−98=147, AC=7√3… Хм, известный ответ — m+n+p… Ответ этой задачи AIME 2019 II problem 15 — 38? Хотя нет. Дай реально посчитаю…»