Anbieter verschlüsseln die Denkspuren ihrer KI-Modelle, um Betriebsgeheimnisse zu schützen. Ein Forschungsteam aus Tübingen spielte die verschlüsselten Blöcke von Claude Opus 4.8 in das schwächere Schwestermodell Claude Haiku ein und ließ sich das verborgene Reasoning im Klartext ausgeben. Aus 315.320 öffentlich geteilten Denkspuren barg die Gruppe 704 Geheimnisse, darunter 62 API-Schlüssel.
drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen
Verschlüsseltes KI-Reasoning galt als Tresor. Die Modelle von Anthropic, OpenAI und Google verbergen ihre Gedankengänge in verschlüsselten Blöcken, die der Client bei jeder Anfrage zurückschickt. Genau diese Blöcke lassen sich austauschen, wie ein Team um das ELLIS Institute Tübingen und das Max-Planck-Institut für intelligente Systeme zeigt.[1]
Das Wichtigste in Kürze
- Anbieter geben das Reasoning als verschlüsselten Block an den Client zurück. Dieser Block funktioniert quer über Sitzungen, Nutzer und Modelle desselben Anbieters.
- Ein starkes Modell liefert die Denkspur, ein schwächeres Schwestermodell gibt sie nach einem Jailbreak im Klartext aus.
- Aus 315.320 öffentlich geteilten Blöcken barg das Team 704 Geheimnisse, darunter 62 API-Schlüssel und 33 Passwörter.
- Nach der Meldung an die Anbieter griff derselbe Angriff nicht mehr, für bereits öffentliche Logs bleibt das Risiko.
Wie lesen die Forscher das verschlüsselte Reasoning aus?
Die verschlüsselten Reasoning-Blöcke eines Anbieters sind untereinander austauschbar. Die Forscher spielen die Denkspur eines starken Modells in ein schwächeres Schwestermodell ein und bringen dieses per Jailbreak dazu, den Text wörtlich auszugeben, ohne das starke Modell selbst anzugreifen.
Im Beispiel der Gruppe erzeugt Claude Opus 4.8 eine Lösung samt verborgener Rechnung. Denselben Block schickt das Team an das kleinere Claude Haiku, mit der Anweisung, die angehängte Denkspur wörtlich abzuschreiben. Das schwächere Modell führt die Anweisung aus und gibt den Gedankengang des großen Modells preis. Die eingebauten Sperren gegen Distillation greifen nie, weil niemand das starke Modell direkt angreift. Technisch ist der Trick eine Spielart der Prompt-Injection, bei der das Modell einen fremden Inhalt für eine eigene Anweisung hält.
Welche Daten stecken in öffentlichen Denkspuren?
Entwickler teilen die Sitzungs-Logs ihrer KI-Agenten öffentlich, ohne zu ahnen, was in den verschlüsselten Blöcken steht. Offen geteilte Logs werden so zur Fundgrube für jeden, der die Blöcke einliest.
Die Gruppe sammelte 6.708 frei zugängliche Agent-Logs von GitHub und Hugging Face und rekonstruierte daraus 315.320 Reasoning-Blöcke. Darin fanden sich 704 einzelne Geheimnisse: 62 API-Schlüssel, 33 Passwörter, 24 Access-Tokens und 30 E-Mail-Adressen, dazu Namen, Anschriften und interne Adressen.[2] Solche Zugangsdaten aus Konfigurationsdateien ersparen einem Angreifer den eigentlichen Einbruch.
Der Angriff öffnet zwei weitere Türen. Selbst wenn ein Modell eine gefährliche Anfrage sichtbar ablehnt, kann die verborgene Denkspur die riskante Antwort trotzdem enthalten. In einem Block versteckte Befehle verseuchen fremde Agenten unbemerkt, ähnlich den jüngsten Angriffen auf KI-Agenten.
Der Angriff in drei Schritten
Was in öffentlichen Logs steckte
Ein verschlüsselter Block ist kein Safe, solange er sich beliebig in ein zweites Modell einspielen lässt. Jede Denkspur, die im öffentlichen Repository landet, ist ab sofort eine offene Postkarte.
— Michael Dobler, Herausgeber Dr. Web
Was bedeutet der Fund für Unternehmen im DACH-Raum?
Öffentlich geteilte Agent-Logs bedeuten einen möglichen DSGVO-Vorfall und den Verlust von Geschäftsgeheimnissen, denn in den Denkspuren stecken personenbezogene Daten und interne Prompts.
Die geborgenen E-Mail-Adressen und Anschriften machen ein öffentliches Repository schnell zur meldepflichtigen Datenpanne nach Artikel 33 DSGVO. Interne Prompts und Kalkulationen in der Denkspur verlieren als Geschäftsgeheimnis jeden Schutz, sobald sie öffentlich einsehbar sind.
Durchsuchen Sie Ihre öffentlichen Repositories nach Agent-Logs mit signierten Blöcken und rotieren Sie jeden Schlüssel, der dort auftaucht. Ein Reasoning-Block verdient dieselbe Vorsicht wie ein Klartext-Passwort. Die Anbieter der großen KI-Modelle wiederum müssen die Blöcke fest an Sitzung und Nutzer binden, sonst wandern sie weiter von Modell zu Modell.
Quellen
[1] Panfilov, Schmotz, Shumailov u. a.: „Stealing Reasoning Traces from Proprietary LLM APIs“ (arXiv:2608.09867, 10. August 2026)
[2] Projektseite mit dekodierten Beispielen: „Stolen Thoughts“
Mehr Newshunger?
- Codex verschlüsselt jetzt die Prompts seiner Sub-Agenten
- Schwere Sicherheitslücken häufen sich rund um KI-Modell-Release
- Langflow-Lücke: IBMs KI-Baukasten vergibt Superuser-Token an jeden Aufrufer
- KI-Agent erfindet falsche Identitäten im Sicherheitstest
- DeepSeek Harness: Chinas KI-Labor attackiert Claude Code und Codex
