✨︎ Resumen (TL;DR):
- Ocho investigadores mostraron que un modelo hermano más débil podía transcribir las trazas cifradas de modelos de Anthropic, OpenAI y Google.
- Al procesar 315,320 bloques de 6,708 sesiones públicas, recuperaron 62 claves de API, 33 contraseñas y 30 correos personales, entre otros secretos.
- Los tres proveedores aplicaron mitigaciones y los ataques ya no se reproducen, pero los bloques antiguos requieren una rotación de llaves para dejar de ser legibles.
El 10 de agosto de 2026, ocho investigadores de MATS Research, el ELLIS Institute Tübingen y el Instituto Max Planck de Sistemas Inteligentes, entre otras instituciones, publicaron un estudio que mostró que un atacante podía tomar las trazas de razonamiento cifradas de Anthropic, OpenAI y Google, pasarlas a un modelo hermano más débil y barato y obtenerlas en texto plano. El método no rompió el cifrado: aprovechó la portabilidad de los bloques y las defensas desiguales contra la destilación, y permitió recuperar secretos reales en sesiones públicas. Los tres proveedores ya aplicaron mitigaciones y los ataques descritos ya no se reproducen, pero los bloques que ya circulan siguen expuestos hasta que roten las llaves con las que fueron firmados.
El cifrado dependía de una portabilidad amplia
Una traza de razonamiento cifrada es un registro paso a paso, o monólogo interno, que un modelo genera antes de responder. Anthropic, OpenAI y Google dejaron de entregarlo en texto plano para proteger su propiedad intelectual y ahora lo devuelven al cliente dentro de un bloque cifrado. La aplicación debe reenviar ese bloque en cada llamada, de modo que el servidor no necesita almacenar el estado de la conversación.
Esa arquitectura exige que el bloque sea portátil. En la implementación analizada, podía viajar entre sesiones, cuentas y modelos distintos del mismo proveedor. Esa permisividad permitió tomar una traza producida por un modelo de frontera y entregársela a un hermano menor sin las mismas defensas.
Los modelos de frontera reciben entrenamiento para no revelar su cadena de pensamiento. Los hermanos pequeños, optimizados para costo y velocidad, no cargan con la misma protección contra solicitudes de destilación. Los investigadores identificaron en cada familia el modelo más débil que todavía aceptaba las trazas de los demás:
- Claude: Haiku 4.5.
- OpenAI: GPT-5.6 Luna.
- Gemini: Gemini Robotics 1.6.
Esas eran las versiones de API disponibles a principios de julio de 2026. El modelo receptor actuaba como transcriptor: recibía el bloque y producía una versión legible, sin necesidad de romper su cifrado.
El paper Stealing Reasoning Traces from Proprietary LLM APIs documenta cuatro usos de ese hueco, entre ellos la destilación de modelos y el robo de secretos ajenos. Los autores avisaron a los proveedores antes de publicar y, desde agosto, ya no lograban reproducir los ataques descritos.
La extracción se pudo medir sin ver el original
Comprobar la fidelidad fue el punto débil del método. Los investigadores no tenían acceso al texto original que conservan los proveedores, así que no pudieron comparar la salida recuperada palabra por palabra. Sí pudieron medir el volumen de razonamiento extraído.
En 120 problemas de Codeforces, la cuenta de tokens del razonamiento recuperado siguió de cerca la cuenta de tokens de pensamiento que factura la API. El resultado no demuestra una coincidencia literal, pero sí ofrece una medida del material que el modelo pequeño estaba transcribiendo.
El costo tampoco era una barrera técnica. Decodificar 10,000 trazas con las tarifas estándar de Haiku 4.5 habría costado unos 720 dólares, según el cálculo del paper. El equipo gastó alrededor de 30,000 dólares en créditos de API para todo el trabajo.
GitHub y Hugging Face ya contenían los bloques
El segundo vector no exigía atacar a una cuenta: el material ya estaba publicado. Los investigadores reunieron 6,708 trayectorias de agentes disponibles en GitHub y Hugging Face que todavía conservaban bloques de razonamiento. De ellas reconstruyeron 315,320 trazas.
El barrido automático encontró al menos una fuga de privacidad en 1,028 bloques, el 0.3% del total. Medido por sesión, el porcentaje subió: 328 de las 6,708 sesiones, el 4.9%, filtraban algún dato sensible real.
Al contar únicamente sesiones de usuarios genuinos y excluir las de benchmark, el equipo recuperó 704 artefactos privados distintos, entre ellos:
- 62 claves de API
- 33 contraseñas
- 24 tokens de acceso
- 7 llaves privadas
- 30 correos personales
De esos 704 artefactos, 64 no aparecían en ninguna parte visible de la conversación. Quien publicó esas sesiones no podía verlos ni borrarlos, porque el bloque cifrado tampoco era legible para la persona que lo generó.
Un disparador se repitió en los casos documentados. Cuando el usuario pedía al agente limpiar o anonimizar la sesión, el modelo releía todo el historial dentro de su razonamiento oculto y volvía a escribir los valores que debía borrar.
Los autores acotaron el alcance del muestreo: fue una recolección dirigida, no una auditoría de todos los registros públicos. Las trayectorias de benchmark también inflan la cifra general de datos personales, porque algunas pruebas entregan al modelo una identidad sintética completa para que razone sobre ella. El equipo borró los secretos después de clasificarlos.
Un bloque reutilizado podía esconder instrucciones
El tercer vector invertía la dirección del ataque. Una persona maliciosa podía dejar en una sesión publicada un bloque de razonamiento que ya incorporaba una orden dañina. Si la víctima reanudaba esa corrida para no repetir el cómputo, el modelo trataba la traza inyectada como si fueran sus propios pensamientos previos.
En la prueba de concepto, la orden capturada pedía enviar una copia de los archivos de PowerPoint a un servidor externo. Al llevar esa traza a otro modelo junto con una petición sin relación, el script resultante agregaba la diapositiva solicitada y también subía la presentación al servidor del atacante. Nada de eso aparecía en la conversación visible, por lo que un monitor que solo leyera ese texto no lo detectaría.
El cuarto uso era el reverso de una salvaguarda que sí funciona. Un modelo puede razonar a fondo sobre un tema peligroso y entregar una respuesta final inofensiva, justo como fue entrenado. En una consulta sobre robo de vehículos, los autores vieron recomendaciones de seguridad en la respuesta visible, mientras el razonamiento oculto contenía el material problemático que el mismo procedimiento podía recuperar después.
El estudio no prueba que Kimi K3 copiara a Claude
Una cobertura de Wccftech tituló que el estudio entregaba a la administración Trump una prueba contundente de la acusación de que Moonshot destiló Kimi K3 a partir de los modelos de Anthropic. El apéndice donde aparece esa evidencia incluye una advertencia explícita de los autores: “Esta sección no puede establecer causalmente la destilación”.
El paper sí midió un comportamiento inusual. Al insertar el primer 1% de una traza decodificada de Opus 4.8 al inicio del razonamiento de Kimi K3, la respuesta visible de este modelo chino se acercó al texto de Opus en 29 de 30 problemas. El aumento promedio en la coincidencia de n-gramas fue de 0.15 en los problemas de ciencias y de 0.09 en los demás.
El modelo de control, Inkling, no mostró un efecto comparable. Los cruces de control entre los dos modelos abiertos tampoco dieron resultados significativos. En el análisis de perplejidad, Kimi K3 y GLM-5.2 modelaron los fragmentos de razonamiento de Opus y de GPT-5.6 Sol bastante mejor que Inkling o DeepSeek-V4-Flash.
Los propios autores enumeraron los límites del resultado: el análisis ocurrió después de que los proveedores corrigieron el hueco; el conjunto era pequeño y estaba sesgado hacia benchmarks; las trazas se recuperaron mediante un procedimiento aproximado, y las generaciones se produjeron en configuraciones de servicio que el equipo no controlaba. Por eso describen una compatibilidad conductual inusual, no una memorización demostrada.
El alcance también excluye a Fable 5. La tabla de compatibilidad del paper, con el estado de julio de 2026, muestra que sus trazas eran las únicas de la familia Claude que ningún otro modelo aceptaba reproducir. Sin un hermano más débil que las procesara, esta ruta concreta no llegaba a ese modelo.
Los experimentos con Kimi K3 usaron razonamiento de Opus 4.8 y de GPT-5.6 Sol, no de Fable 5. La discusión sobre la competencia china ya aparece en reuniones de la compañía con inversionistas antes de su salida a bolsa, pero este paper no entrega la prueba de destilación que la acusación necesitaría.
El parche frena el replay, no borra los bloques viejos
El antecedente llegó tres meses antes de la publicación. Matthew Green, criptógrafo y profesor de Johns Hopkins, publicó el 29 de mayo de 2026 que esos bloques cifrados podían reproducirse fuera de su contexto original, incluso entre cuentas distintas. También reportó el hallazgo mediante los programas de recompensas de dos empresas.
OpenAI le respondió que su reporte no era reproducible. Anthropic le dijo que no veía “implicaciones de seguridad en canales laterales o replays”, aunque podría ajustar su documentación para desarrolladores. Green tomó esas respuestas como permiso para publicar el hallazgo, y ese texto se convirtió en el punto de partida que cita el nuevo paper.
Los autores propusieron mitigaciones en dos frentes:
- Criptografía: vincular cada sobre con el usuario, la sesión y su posición en la conversación; además, rechazar en la puerta de enlace los bloques generados por un modelo distinto al que se está consultando.
- Modelo: entrenarlo para reconocer y rechazar solicitudes de transcripción.
El problema tiene un límite estructural. Cualquier modelo al que se le consulte debe descifrar y procesar el razonamiento previo para continuar la sesión. Por eso, un bloque cifrado nunca es un lugar seguro para guardar algo que el propio modelo necesita leer.
Los tres proveedores ya aplicaron mitigaciones y los ataques descritos ya no se reproducen. El problema que no resuelve el parche está en las copias que salieron antes del arreglo: esos bloques se firmaron con llaves que no codificaban al usuario ni la sesión.
El único remedio retroactivo que identifica el paper consiste en rotar esas llaves y rechazar cualquier sobre firmado con una llave retirada. Esa medida también invalidaría las continuaciones legítimas de sesiones antiguas. Mientras no ocurra, cada trayectoria de agente publicada en un repositorio sigue siendo legible para quien tenga acceso a un modelo compatible.
