Lo ideal sería borrar las contraseñas y claves API de un chat público y luego publicarlas accidentalmente dentro de un bloque de razonamiento cifrado.

Los investigadores desmontaron la arquitectura API de Anthropic, OpenAI y Google. Estos servicios pueden devolver bloques opacos con razonamiento al cliente y luego devolverlos en solicitudes posteriores sin almacenar toda la cadena de razonamiento en el servidor.

El problema resultó ser la portabilidad de dichos bloques: durante las pruebas, podían usarse entre diferentes sesiones, usuarios e incluso modelos compatibles del mismo proveedor. Como resultado del razonamiento, un modelo fuerte fue transferido a un modelo más débil de la misma familia, que se convirtió en una especie de "decodificador".

La escala del experimento es impresionante.

Los investigadores recogieron

6.708 trayectorias de agentes públicos

de GitHub y Hugging Face y restaurado

315.320 bloques de razonamiento

. En 328 sesiones, o

4,9%

, se detectó al menos un elemento sensible.

En sesiones de usuarios reales encontramos:

* 62 claves API;

* 33 contraseñas;

* 24 tokens de acceso;

* 7 claves privadas;

* 30 correos electrónicos personales.

Además

64 elementos confidenciales faltaban por completo en el historial de chat visible

y sólo estaban dentro del razonamiento. Es decir, una limpieza regular del tronco no los habría notado.

La conclusión más desagradable: la seguridad de toda la línea de modelos puede estar determinada no por el modelo más seguro, sino por

el modelo compatible más débil

, que puede leer el mismo bloque de razonamiento.

Después de la revelación responsable, los proveedores hicieron cambios y los investigadores ya no pudieron reproducir los ataques descritos de la misma manera. Pero la lección arquitectónica permanece.

El razonamiento cifrado en los registros no puede considerarse automáticamente metadatos seguros.

Si el agente trabajó con secretos, claves API o datos privados, es mejor no publicar bloques de razonamiento junto con el seguimiento.

Investigación: *Robo de rastros de razonamiento de API patentadas de LLM*.

arxiv.org/abs/2608.09867