Kein Produkt — ein Sicherheitspapier, veröffentlicht am 10. August 2026, und bereits 97 Punkte bei Hacker News. Acht Autor*innen, darunter Ilia Shumailov und Jonas Geiping, zeigen, dass die verschlüsselten Reasoning‑Blöcke, die Anthropic, OpenAI und Google an API‑Clients zurückgeben, über Sitzungen, Nutzer*innen und Modelle desselben Anbieters hinweg austauschbar sind.
Der Angriff ist peinlich einfach
Nehmen Sie den vom Frontier‑Modell erzeugten Ciphertext. Geben Sie ihn an ein schwächeres Geschwistermodell mit lockereren Leitplanken weiter. Lassen Sie es den Block zurücklesen. Daraufhin erscheint die verborgene Gedankenkette des stärkeren Modells im Klartext.
Das Team sammelte 6.708 öffentliche Agent‑Trajektorien von GitHub und Hugging Face, dekodierte 315.320 Reasoning‑Blöcke und extrahierte 367 PII‑Artefakte sowie 182 Zugangsdaten — API‑Schlüssel, Passwörter, Zugriffstoken, echte E‑Mail‑Adressen. Entwickler veröffentlichten diese Protokolle, weil die Blöcke wie undurchsichtiger Müll aussahen.
Wo das Loch in der API sitzt
Es ist das Feld encrypted_content / Reasoning‑Block in jeder öffentlichen API des Anbieters — jeder, der es aufruft, kann dies reproduzieren. Zwei gravierendere Folgen: Eine Anfrage, die das Modell laut ablehnt, kann dennoch gefährlichen Inhalt im verborgenen Trace hinterlassen, und ein Angreifer kann eine Nutzlast in einem verschlüsselten Block verbergen, um unsichtbare Prompt‑Injection in öffentlichen agentischen Rollouts zu ermöglichen.
Das Verbergen der Gedankenkette war die Standardantwort der Branche auf Destillation und IP‑Leckagen. Dies ist der erste Nachweis, dass der Standard auf Architekturebene und nicht auf Implementierungsebene gebrochen ist.