Reasoning-Traces stehlen: Wie funktioniert der Angriff?

Gestohlene Reasoning-Traces: Zwei API-Aufrufe rekonstruieren das Denken von Claude, GPT und Gemini

Michael Dobler

Autor Dr. Web

11. August 2026

2 Min. Lesezeit

Anthropic, OpenAI und Google geben das verborgene Reasoning ihrer Modelle als verschlüsselten Block an den Client zurück. Ein Forschungsteam um Alexander Panfilov spielt genau diesen Block in ein schwächeres Schwestermodell desselben Anbieters ein und bekommt den Klartext. Aus 315.320 so rekonstruierten Blöcken stammen 182 Zugangsdaten und 367 personenbezogene Datenpunkte.

drweb.de als bevorzugte Quelle auf Google hinzufügenQualitätsgeprüfte Inhalte direkt in Google News & DiscoverJetzt hinzufügen

Zwei API-Aufrufe genügen, um die Reasoning-Traces eines Spitzenmodells sichtbar zu machen. Der erste Aufruf holt eine Antwort samt verschlüsseltem Denkblock, der zweite reicht diesen Block an ein kleineres Modell desselben Anbieters weiter, das die Zeichenfolge in Klartext zurückgibt.^[1] Verborgen halten die Anbieter das Reasoning eigentlich, um geistiges Eigentum zu schützen und den Informationsabfluss zu begrenzen.

Das Wichtigste in Kürze

Verschlüsselte Reasoning-Blöcke passen quer über Sitzungen, Nutzerkonten und Modelle eines Anbieters. Genau darauf setzt der Angriff auf.
Das starke Modell wird nie direkt angegriffen. Seine Sperren gegen das Abschöpfen von Reasoning bleiben deshalb wirkungslos.
Die ausgewerteten Blöcke stammen aus öffentlich geteilten Agenten-Protokollen auf GitHub und Hugging Face, deren Autoren den Inhalt nie gesehen haben.
Ein vierter Angriffsweg versteckt Schadanweisungen vollständig im verschlüsselten Block und vergiftet damit öffentlich geteilte Agenten-Läufe.

Wie kommt fremdes Reasoning in den Klartext?

Tresor offen mit versiegeltem Brief, daneben Pappkarton mit beschriftetem Umschlag — Verschlüsselte Denkblöcke von Claude, ChatGPT und Gemini sind austauschbar und werden als verschlüsselte Blöcke zwischen Client und Server übertragen

Die verschlüsselten Denkblöcke sind untereinander austauschbar. Statt die Gedankenkette auf dem eigenen Server zu halten, geben Anthropic, OpenAI und Google diesen Text als verschlüsselten Block an den Client, der ihn bei jeder Folgeanfrage zurückschickt. Über Sitzungen, Nutzerkonten und Modelle desselben Anbieters hinweg passen diese Blöcke zusammen.^[1] Ein Block aus Claude Opus 4.8 landet damit anstandslos in einer Anfrage an Claude Haiku 4.5.

Den Klartext liefert das kleinere Geschwistermodell. Ein schwächeres Modell ist weniger streng abgesichert, folgt der Anweisung eher und gibt den eingespielten Block wörtlich als Text aus. Versteckte Anweisungen in Arbeitsabläufen sind dabei kein neues Muster, wie der Datenabfluss über Atlassians Assistenten Rovo zeigte.

Welche Daten stecken in den verborgenen Blöcken?

Entwicklerteams veröffentlichen die Blöcke ahnungslos mit. Beim Teilen eines Agenten-Protokolls auf GitHub oder Hugging Face wandert der verschlüsselte Denkblock in das Repository, ohne dass jemand seinen Inhalt kennt. Aus 6.708 solchen Protokollen rekonstruierte das Team 315.320 Reasoning-Blöcke und fand darin 367 personenbezogene Datenpunkte sowie 182 Zugangsdaten, darunter API-Schlüssel, Passwörter und Zugriffstoken.^[1]

64 dieser Datenpunkte aus echten Nutzersitzungen tauchten ausschließlich im Reasoning auf und nirgends in der sichtbaren Antwort. Wie lange gestohlene Zugangsdaten brauchbar bleiben, führte der Snowflake-Hack mit vier Jahre alten Passwörtern vor.

Verschlüsselung am Client ersetzt keine Zugriffskontrolle. Solange ein Denkblock aus Claude Opus in jeder fremden Sitzung funktioniert, ist er kein Geheimnis, sondern ein transportables Dokument.
— Markus Seyfferth, Chefredakteur Dr. Web

Reasoning-Traces: Aufwand, Ausbeute, Angriffswege

Zahlen aus der Untersuchung von Alexander Panfilov und Kollegen, veröffentlicht am 10. August 2026.

2 Aufrufe

So viele Anfragen an dieselbe Anbieter-API genügen, um einen fremden Reasoning-Trace im Klartext zu erhalten.

315.320

Rekonstruierte Reasoning-Blöcke aus 6.708 öffentlich geteilten Agenten-Protokollen auf GitHub und Hugging Face.

182

Zugangsdaten aus diesen Blöcken, dazu 367 personenbezogene Datenpunkte wie Namen, Adressen und interne URLs.

Vier Angriffswege und die Gegenmaßnahmen

Was der geteilte Denkblock ermöglicht

Das Reasoning eines Spitzenmodells wandert am Distillation-Schutz vorbei.

Zugangsdaten und personenbezogene Daten aus öffentlichen Protokollen werden lesbar.

Gefährliches Wissen bleibt im Denkblock stehen, obwohl die sichtbare Antwort ablehnt.

Schadanweisungen stecken unsichtbar im Block und vergiften geteilte Agenten-Läufe.

Was Entwicklerteams jetzt prüfen

Protokolle vor der Freigabe um jeden verschlüsselten Block bereinigen.

Bestehende Repositories mit einem Secret-Scanner durchsuchen.

Schlüssel rotieren, die je durch eine Reasoning-Sitzung gelaufen sind.

Was heißt das für Betreiber in Deutschland?

Zwei Regelwerke greifen sofort. Anbietern großer KI-Modelle mit systemischem Risiko schreibt Artikel 55 der KI-Verordnung ein angemessenes Maß an Cybersicherheit für das Modell samt physischer Infrastruktur vor, dazu die unverzügliche Meldung schwerwiegender Vorfälle an das Büro für Künstliche Intelligenz.^[2] Unternehmen, die Protokolle mit fremden Namen, Adressen oder Zugangsdaten öffentlich stellen, stehen unter Artikel 33 DSGVO und dessen 72-Stunden-Frist.^[3]

Bevor ein Agenten-Protokoll öffentlich wird, gehört der verschlüsselte Block heraus, nicht nur die sichtbare Antwort. Bestehende Repositories mit geteilten Sitzungsdaten brauchen einen Durchgang mit einem Secret-Scanner. Jeder Schlüssel aus einer Reasoning-Sitzung wird am besten rotiert. Isolierte Umgebungen wie Docker Sandboxes für KI-Agenten begrenzen den Schaden, ersetzen die Rotation aber nicht. Dieselbe Sorglosigkeit kostete zuletzt das KI-Notiztool tl;dv Zehntausende Sitzungsdaten.

Für die Anbieter bleibt die Aufgabe technisch klar: Der Denkblock braucht eine Bindung an Sitzung und Nutzerkonto, sonst bleibt die Verschlüsselung ein Etikett. Wie schnell regulatorischer Druck die Architektur von Sprachmodellen verändert, zeigte diese Woche bereits das Textwasserzeichen in jeder Claude-Antwort. Bis eine solche Bindung greift, bleibt die Bereinigung geteilter Protokolle der einzige verlässliche Schutz für jedes Team rund um generative KI.