⚡ Não perca: notícia importante no ar! ⚡
Não deixe essa passar: clique e saiba tudo!
Apoie esse projeto de divulgacao de noticias! Clique aqui
Uma falha recentemente divulgada na forma como OpenAI, Anthropic e Google transportavam raciocínios de IA ocultos entre chamadas de API permitiu que os pesquisadores recuperassem raciocínios internos e segredos de logs de sessão, incluindo chaves de API e senhas.
A fraqueza afetou objetos de raciocínio criptografados usados pelas APIs de raciocínio dos provedores, onde um bloco criado em uma sessão poderia ser reproduzido em outra e, durante o teste, até mesmo entregue a um modelo mais fraco na mesma família de provedores para fazê-lo revelar o conteúdo oculto.
A equipe por trás do artigo Stealing Reasoning Traces from Proprietary LLM APIs demonstrou quatro caminhos de abuso: roubo de raciocínio proprietário para destilação de modelo, extração de dados privados de rastreamentos publicados por outros usuários, recuperação de conteúdo prejudicial escondido atrás de uma resposta visível segura e ocultação de injeções imediatas dentro de blocos de raciocínio opacos.
Ao longo de 6.708 trajetórias de agentes públicos, a equipe decodificou 315.320 blocos de pensamento. Depois de excluir fontes de benchmark, foram contados 704 artefatos de privacidade distintos de sessões genuínas de usuários, incluindo 62 chaves de API, 33 senhas, 24 tokens de acesso e sete chaves privadas.
O ataque entre usuários não forneceu acesso arbitrário a bate-papos privados. Era necessária a obtenção de um bloco de raciocínio criptografado, como aquele publicado em um log do agente, e acesso à API a um modelo compatível do mesmo provedor.
Os pesquisadores divulgaram as descobertas aos fornecedores de modelos afetados, Microsoft e Hugging Face, e dizem que os ataques demonstrados pararam de funcionar após mitigações. A declaração de reprodutibilidade deles diz que o principal ataque de extração não é mais reproduzível em agosto de 2026.
O relatório não documenta a exploração maliciosa em estado selvagem. Os desenvolvedores são aconselhados a retirar blocos de raciocínio e campos de raciocínio opacos de rastreamentos compartilhados e evitar comprometer transcrições brutas da API, mesmo quando o texto visível tiver sido limpo.
O problema começa com um design destinado a preservar o raciocínio nas chamadas de API quando o estado da conversa é gerenciado manualmente ou sem monitoração de estado. OpenAI pode retornar itens de raciocínio criptografados que os aplicativos reproduzem com histórico gerenciado manualmente, Anthropic carrega raciocínio completo em uma assinatura criptografada e Google usa assinaturas de pensamento criptografadas. Esses objetos preservam o estado de raciocínio sem expor o texto simples subjacente diretamente ao cliente.
A criptografia em si não foi quebrada e o ataque não exigiu a obtenção de uma chave de criptografia. Baseava-se na aceitação e processamento de blocos opacos intactos pelo provedor.
Durante os testes, o artigo descobriu que esses objetos são portáteis entre sessões, usuários e modelos, permitindo que um modelo compatível mais fraco atue como o que os autores chamam de decodificador "fuzzy": Claude Haiku 4.5 para rastreamentos de Claude, GPT-5.6 Luna para rastreamentos de GPT e Gemini Robotics ER-1.6 para rastreamentos de Gemini. O decodificador foi solicitado a transcrever o raciocínio produzido por um modelo mais forte.
Esse comportamento entre usuários transforma os logs de agentes publicados em um problema de segurança mais agudo. Dos 704 artefatos que não são de referência que a equipe recuperou, 64 apareceram apenas em raciocínio oculto e em nenhum lugar no traço visível. A higienização da conversa legível poderia, portanto, deixar segredos dentro de um bloco opaco que outra conta seria capaz de reproduzir.
A exposição que o estudo demonstra é limitada: atinge os desenvolvedores que publicaram logs de agentes brutos com os objetos de raciocínio intactos, um grupo identificável em vez de todos os usuários da API, e não necessariamente o único em risco.
A mesma portabilidade também permitiu uma prova de conceito de injeção imediata invisível. A equipe criou um bloco de raciocínio opaco que carregava uma instrução maliciosa e depois a reproduziu em uma tarefa não relacionada, fazendo com que o modelo receptor adicionasse uma ação de upload direcionada ao invasor sem colocar a instrução injetada em texto visível.
Os autores alertam que não possuem texto simples verdadeiro para o raciocínio proprietário, portanto, não podem garantir que cada traço reconstruído seja uma cópia exata. Suas verificações de fidelidade baseavam-se em contagens de tokens de raciocínio e comparações qualitativas, com comprimentos extraídos geralmente rastreando as contagens de tokens de pensamento relatadas pelos provedores.
A documentação atual do fornecedor mostra que o raciocínio criptografado continua fazendo parte dessas APIs, mas o manuseio mudou. OpenAI ainda diz aos desenvolvedores para reproduzir itens de raciocínio criptografados ao gerenciar manualmente o histórico sem estado, enquanto o Google diz que seu back-end gerencia a compatibilidade de pensamento quando uma sessão muda de modelo.
A Anthropic agora diz que os bloqueios de pensamento estão ligados ao modelo que os produziu e devem ser eliminados ao trocar de modelo porque outros modelos os ignoram.
Várias questões levantadas pela divulgação são deixadas em aberto pelos registros públicos. Nenhum reconhecimento público da falha de qualquer um dos três fornecedores surgiu até agora, e nenhum vinculou sua documentação atual a esta pesquisa.
A fraqueza afetou objetos de raciocínio criptografados usados pelas APIs de raciocínio dos provedores, onde um bloco criado em uma sessão poderia ser reproduzido em outra e, durante o teste, até mesmo entregue a um modelo mais fraco na mesma família de provedores para fazê-lo revelar o conteúdo oculto.
A equipe por trás do artigo Stealing Reasoning Traces from Proprietary LLM APIs demonstrou quatro caminhos de abuso: roubo de raciocínio proprietário para destilação de modelo, extração de dados privados de rastreamentos publicados por outros usuários, recuperação de conteúdo prejudicial escondido atrás de uma resposta visível segura e ocultação de injeções imediatas dentro de blocos de raciocínio opacos.
Ao longo de 6.708 trajetórias de agentes públicos, a equipe decodificou 315.320 blocos de pensamento. Depois de excluir fontes de benchmark, foram contados 704 artefatos de privacidade distintos de sessões genuínas de usuários, incluindo 62 chaves de API, 33 senhas, 24 tokens de acesso e sete chaves privadas.
O ataque entre usuários não forneceu acesso arbitrário a bate-papos privados. Era necessária a obtenção de um bloco de raciocínio criptografado, como aquele publicado em um log do agente, e acesso à API a um modelo compatível do mesmo provedor.
Os pesquisadores divulgaram as descobertas aos fornecedores de modelos afetados, Microsoft e Hugging Face, e dizem que os ataques demonstrados pararam de funcionar após mitigações. A declaração de reprodutibilidade deles diz que o principal ataque de extração não é mais reproduzível em agosto de 2026.
O relatório não documenta a exploração maliciosa em estado selvagem. Os desenvolvedores são aconselhados a retirar blocos de raciocínio e campos de raciocínio opacos de rastreamentos compartilhados e evitar comprometer transcrições brutas da API, mesmo quando o texto visível tiver sido limpo.
O problema começa com um design destinado a preservar o raciocínio nas chamadas de API quando o estado da conversa é gerenciado manualmente ou sem monitoração de estado. OpenAI pode retornar itens de raciocínio criptografados que os aplicativos reproduzem com histórico gerenciado manualmente, Anthropic carrega raciocínio completo em uma assinatura criptografada e Google usa assinaturas de pensamento criptografadas. Esses objetos preservam o estado de raciocínio sem expor o texto simples subjacente diretamente ao cliente.
A criptografia em si não foi quebrada e o ataque não exigiu a obtenção de uma chave de criptografia. Baseava-se na aceitação e processamento de blocos opacos intactos pelo provedor.
Durante os testes, o artigo descobriu que esses objetos são portáteis entre sessões, usuários e modelos, permitindo que um modelo compatível mais fraco atue como o que os autores chamam de decodificador "fuzzy": Claude Haiku 4.5 para rastreamentos de Claude, GPT-5.6 Luna para rastreamentos de GPT e Gemini Robotics ER-1.6 para rastreamentos de Gemini. O decodificador foi solicitado a transcrever o raciocínio produzido por um modelo mais forte.
Esse comportamento entre usuários transforma os logs de agentes publicados em um problema de segurança mais agudo. Dos 704 artefatos que não são de referência que a equipe recuperou, 64 apareceram apenas em raciocínio oculto e em nenhum lugar no traço visível. A higienização da conversa legível poderia, portanto, deixar segredos dentro de um bloco opaco que outra conta seria capaz de reproduzir.
A exposição que o estudo demonstra é limitada: atinge os desenvolvedores que publicaram logs de agentes brutos com os objetos de raciocínio intactos, um grupo identificável em vez de todos os usuários da API, e não necessariamente o único em risco.
A mesma portabilidade também permitiu uma prova de conceito de injeção imediata invisível. A equipe criou um bloco de raciocínio opaco que carregava uma instrução maliciosa e depois a reproduziu em uma tarefa não relacionada, fazendo com que o modelo receptor adicionasse uma ação de upload direcionada ao invasor sem colocar a instrução injetada em texto visível.
Os autores alertam que não possuem texto simples verdadeiro para o raciocínio proprietário, portanto, não podem garantir que cada traço reconstruído seja uma cópia exata. Suas verificações de fidelidade baseavam-se em contagens de tokens de raciocínio e comparações qualitativas, com comprimentos extraídos geralmente rastreando as contagens de tokens de pensamento relatadas pelos provedores.
A documentação atual do fornecedor mostra que o raciocínio criptografado continua fazendo parte dessas APIs, mas o manuseio mudou. OpenAI ainda diz aos desenvolvedores para reproduzir itens de raciocínio criptografados ao gerenciar manualmente o histórico sem estado, enquanto o Google diz que seu back-end gerencia a compatibilidade de pensamento quando uma sessão muda de modelo.
A Anthropic agora diz que os bloqueios de pensamento estão ligados ao modelo que os produziu e devem ser eliminados ao trocar de modelo porque outros modelos os ignoram.
Várias questões levantadas pela divulgação são deixadas em aberto pelos registros públicos. Nenhum reconhecimento público da falha de qualquer um dos três fornecedores surgiu até agora, e nenhum vinculou sua documentação atual a esta pesquisa.
Fonte: https://thehackernews.com
#samirnews #samir #news #boletimtec #openai, #anthropic, #falha #de #api #do #google #permite #que #modelos #de #ia #mais #fracos #decodifiquem #o #raciocínio #de #modelos #mais #fortes
🔔 Siga-nos para não perder nenhuma atualização!
Postar um comentário