TL;DR:
- Ocho investigadores mostraron que las trazas de razonamiento cifradas que Anthropic, OpenAI y Google devuelven al cliente podían inyectarse en un modelo hermano más débil, que las transcribía en texto plano.
- Al decodificar 315,320 bloques sacados de 6,708 sesiones públicas de GitHub y Hugging Face, el equipo recuperó 62 claves de API, 33 contraseñas y 30 correos personales de usuarios reales.
- Los tres proveedores aplicaron mitigaciones y los ataques descritos ya no se reproducen, pero los bloques que ya circulan solo dejan de leerse si las empresas rotan las llaves con las que los firmaron.
Ocho investigadores de MATS Research, el ELLIS Institute Tübingen y el Instituto Max Planck de Sistemas Inteligentes, entre otras instituciones, publicaron el 10 de agosto de 2026 un trabajo que describe cómo leer el razonamiento interno que Anthropic, OpenAI y Google guardan bajo cifrado. La técnica no rompe el cifrado. Se apoya en que esos bloques viajan sin problema entre sesiones, cuentas y modelos distintos del mismo proveedor: el equipo tomaba una traza producida por un modelo de frontera, la inyectaba en un hermano más pequeño y barato, con menos defensas contra ese pedido, y lo llevaba a transcribirla en texto plano. El paper, "Stealing Reasoning Traces from Proprietary LLM APIs", documenta cuatro usos del hueco, entre ellos la destilación de modelos y el robo de secretos ajenos. Los autores avisaron a los proveedores antes de publicar y desde agosto ya no logran repetir los mismos ataques.
Un hermano menor sin las mismas defensas
Los modelos de razonamiento generan un monólogo interno antes de contestar. Para proteger esa propiedad intelectual, los tres proveedores dejaron de entregarlo en texto plano y lo empaquetan en un bloque cifrado que el cliente debe devolver en cada llamada, de modo que el servidor no tiene que almacenar el estado de la conversación. Ese diseño exige que el bloque sea portátil, y los proveedores optaron por la versión más permisiva de esa portabilidad.
La segunda pieza del ataque es de entrenamiento, no de criptografía. Los modelos de frontera están endurecidos para no revelar su cadena de pensamiento; los hermanos pequeños, optimizados para costo y velocidad, no cargan con las mismas defensas contra la destilación. El equipo identificó en cada familia al modelo más débil que aún aceptaba las trazas de los demás y lo usó como descifrador: Haiku 4.5 en Claude, GPT-5.6 Luna en OpenAI y Gemini Robotics 1.6 en Gemini, sobre las versiones de API disponibles a principios de julio de 2026.
¿Qué es una traza de razonamiento cifrada?
Es el registro paso a paso que un modelo genera antes de responder. Anthropic, OpenAI y Google dejaron de enviarlo en texto plano y ahora lo devuelven al cliente dentro de un bloque cifrado que la aplicación reenvía en cada turno, para no guardar ese estado en sus propios servidores, según describe el estudio.
Verificar la fidelidad de lo extraído fue el punto débil del método, y los autores lo dicen. Como no tienen acceso al texto original de los proveedores, no pueden comparar palabra por palabra. Lo que sí pudieron medir fue el volumen. En 120 problemas de Codeforces, la cuenta de tokens del razonamiento recuperado siguió de cerca la cuenta de tokens de pensamiento que factura la API. El costo tampoco es una barrera. Decodificar 10,000 trazas con las tarifas estándar de Haiku 4.5 saldría en unos 720 dólares, según el cálculo del propio paper, que gastó alrededor de 30,000 dólares en créditos de API para todo el trabajo.
Las sesiones que los desarrolladores publicaron traían claves adentro
El segundo vector no exige atacar a nadie, porque el material ya está publicado. Los investigadores juntaron 6,708 trayectorias de agentes publicadas en GitHub y Hugging Face que todavía conservaban bloques de razonamiento, y de ahí reconstruyeron 315,320 trazas.
El barrido automático marcó al menos una fuga de privacidad en 1,028 bloques, el 0.3% del total. Medido por sesión el panorama empeora: 328 de las 6,708, el 4.9%, filtraban algún dato sensible real. Contando solo las sesiones de usuarios genuinos, y dejando fuera las de benchmark, el equipo recuperó 704 artefactos privados distintos, entre ellos 62 claves de API, 33 contraseñas, 24 tokens de acceso, 7 llaves privadas y 30 correos personales.
Un disparador se repite en los casos documentados. Cuando el usuario le pide al agente que limpie o anonimice la sesión, el modelo relee todo el historial en su razonamiento oculto y ahí vuelve a escribir los valores que debía borrar. El paper aclara los límites de su propio muestreo. Fue una recolección dirigida, no una auditoría de todos los registros públicos, y las trayectorias de benchmark inflan la cuenta general de datos personales porque algunas pruebas entregan al modelo una identidad sintética completa para que razone sobre ella. Los secretos recuperados se borraron después de clasificarlos.
El mismo bloque sirve para meter instrucciones que nadie ve
El tercer y el cuarto vector invierten la dirección. En el tercero, un atacante deja en una sesión publicada un bloque de razonamiento que ya internalizó una orden maliciosa; la víctima retoma esa corrida para no repetir el cómputo y el modelo trata la traza inyectada como si fueran sus propios pensamientos previos. En la prueba de concepto del paper, la orden capturada era enviar una copia de los archivos de PowerPoint a un servidor externo. Al portarla a otro modelo con una petición sin relación, el script que salió agregaba la diapositiva pedida y además subía la presentación al servidor del atacante. Nada de eso aparecía en la conversación visible, así que un monitor que solo lee el texto observable no lo vería pasar.
El cuarto es el reverso de una salvaguarda que funciona. Un modelo puede razonar a fondo sobre un tema peligroso y devolver una respuesta final inofensiva, que es exactamente lo que se le entrenó a hacer. Los autores mostraron con una consulta sobre robo de vehículos que la respuesta visible se quedaba en recomendaciones de seguridad mientras el razonamiento oculto sí contenía el material problemático, recuperable después con el mismo procedimiento.
El paper no dice que Kimi K3 se destiló de Claude
Wccftech tituló su cobertura diciendo que el estudio entrega a la administración Trump una prueba contundente sobre la acusación de que Moonshot destiló su modelo Kimi K3 a partir de los modelos de Anthropic. El apéndice donde vive esa evidencia abre con un descargo de los autores: "Esta sección no puede establecer causalmente la destilación" [traducción propia].
Lo que sí midieron es un comportamiento raro. Al insertar el primer 1% de una traza decodificada de Opus 4.8 al inicio del razonamiento de Kimi K3, la respuesta visible del modelo chino se acercó al texto de Opus en 29 de 30 problemas, con un aumento promedio de 0.15 en la coincidencia de n-gramas en los problemas de ciencias y 0.09 en los demás. El modelo de control, Inkling, no mostró un efecto comparable, y los cruces de control entre los dos modelos abiertos tampoco resultaron significativos. En el análisis de perplejidad, Kimi K3 y GLM-5.2 modelaron los fragmentos de razonamiento de Opus y de GPT-5.6 Sol bastante mejor que Inkling o DeepSeek-V4-Flash.
Los propios autores enumeran por qué eso no cierra el caso: el análisis se hizo después de que los proveedores taparon el hueco, sobre un conjunto pequeño y sesgado hacia benchmarks, con trazas recuperadas por un procedimiento aproximado y generaciones producidas en configuraciones de servicio que no controlan. Hablan de compatibilidad conductual inusual, no de memorización probada.
Queda además un detalle de alcance. La acusación que recoge Wccftech apunta a Fable 5, y la tabla de compatibilidad del paper, con el estado de julio de 2026, muestra que las trazas de Fable 5 eran las únicas de la familia Claude que ningún otro modelo aceptaba reproducir. Sin un hermano más débil que las procesara, esta ruta concreta no llegaba a ese modelo. Los experimentos con Kimi K3 se hicieron con razonamiento de Opus 4.8 y de GPT-5.6 Sol, no de Fable 5. La competencia china ya es una pregunta incómoda para la compañía, que enfrenta ese planteamiento en sus reuniones con inversionistas antes de la salida a bolsa, pero el paper no le entrega una prueba.
Green avisó en mayo y Anthropic le dijo que no veía implicaciones de seguridad
El hilo empezó tres meses antes. Matthew Green, criptógrafo y profesor de Johns Hopkins, publicó el 29 de mayo de 2026 que esos bloques cifrados se podían reproducir fuera de su contexto original, incluso entre cuentas distintas, y lo reportó por los programas de recompensas de las dos empresas. OpenAI le respondió que su reporte no era reproducible. Anthropic le dijo que no ve "implicaciones de seguridad en canales laterales o replays" [traducción propia], aunque podría ajustar su documentación para desarrolladores. Green tomó esas respuestas como permiso para publicar el hallazgo, y ese texto es el punto de partida que cita el nuevo paper.
Las mitigaciones que proponen los autores van en dos frentes. Del lado criptográfico, amarrar cada sobre a su usuario, su sesión y su posición en la conversación, y rechazar en la puerta de enlace los bloques generados por un modelo distinto al que se está consultando. Del lado del modelo, entrenarlo para reconocer y rechazar los pedidos de transcripción. Los investigadores también marcan un techo estructural: cualquier modelo al que se le consulte tiene que descifrar y procesar el razonamiento previo, así que un bloque cifrado nunca será un lugar seguro para guardar algo.
La parte que no se arregla con un parche es la que ya está publicada. Los bloques anteriores al arreglo se firmaron con llaves que no codifican usuario ni sesión, y el único remedio retroactivo que identifica el paper es rotar esas llaves y negarse a descifrar cualquier sobre firmado con una retirada, al costo de invalidar también las continuaciones legítimas de sesiones viejas. Mientras eso no ocurra, cada trayectoria de agente subida a un repositorio público sigue siendo legible para quien tenga acceso a un modelo compatible.
