Исследователи нашли уязвимость в API ведущих AI-провайдеров: через неё читаются зашифрованные цепочки рассуждений

Команда исследователей под руководством Александра Панфилова обнаружила способ извлекать зашифрованные цепочки рассуждений из API всех ведущих AI-провайдеров. Сканирование публично доступных сессий выявило десятки паролей и API-ключей в открытом доступе. Уязвимость затрагивает o-series от OpenAI, Claude от Anthropic и Gemini от Google.

Суть: как работал метод

Когда модели OpenAI o-series, Anthropic Claude или Google Gemini «думают» над сложной задачей, они генерируют внутренние токены рассуждений. Провайдеры шифруют эти цепочки, чтобы защитить интеллектуальную собственность и пользовательские данные. Исследователи нашли способ извлекать эти зашифрованные данные через уязвимость в API. Для большинства запросов количество извлечённых токенов совпадало с оплаченными — то есть захватывался полный внутренний процесс, а не фрагмент. Уязвимость впервые описал криптограф Мэтью Грин в мае 2026 года.

Детали: что удалось извлечь

Исследователи утверждают, что зашифрованные цепочки «полностью переносимы между сессиями, пользователями и моделями внутри одного провайдера». Младшая модель Anthropic Haiku 4.5 смогла прочитать мыслительный процесс более мощного Opus 4.8 через jailbreak. Аналогичный приём сработал с OpenAI и Gemini. Среди найденного — пароли, API-ключи и конфиденциальные данные из корпоративных сессий.

Контекст: почему это опасно для корпоративных пользователей

Компании, которые используют AI-модели для работы с конфиденциальными данными, должны учитывать: зашифрованные цепочки рассуждений — не гарантия приватности. Если в публичной сессии обнаружены пароли и API-ключи, корпоративные пользователи с гораздо большей вероятностью подвергаются риску утечки через тот же механизм. Провайдеры заявили, что «не видят угроз безопасности», но новое исследование может изменить их позицию. Это повышает расходы на внутренние AI-решения и аудит безопасности для крупных компаний.

Что дальше

Исследователи планируют опубликовать полный технический отчёт. Для корпоративных клиентов это повод пересмотреть, какие данные отправлять в AI-модели через внешние API. Вопрос в том, как провайдеры отреагируют на доказательства — изменят архитектуру или продолжат настаивать на безопасности текущего подхода. Для аналитиков это сигнал следить за расходами компаний на AI-безопасность в следующих кварталах.

Подробнее о связи AI и кибератак — в отдельном разборе. О том, как AI-отчёты забивают программы bug bounty, читайте в материале.