Forschende von MATS Research, dem ELLIS-Institut Tübingen, dem Max-Planck-Institut für Intelligente Systeme, Snyk und weiteren Institutionen zeigen, dass das verborgene Reasoning von Frontier-Modellen rekonstruiert werden kann, ohne das starke Modell selbst anzugreifen. Anbieter wie Anthropic, OpenAI und Google geben die Denkschritte eines Modells als verschlüsselten Block an den Client zurück, der bei Fortsetzung der Konversation wieder an den Server gesendet wird. Diese Blöcke sind portabel: Sie lassen sich über Sitzungen, Nutzer und Modelle hinweg wiederverwenden.

Der Angriff benötigt nur zwei API-Aufrufe. Eine Reasoning-Spur eines starken Modells — etwa claude-opus-4-8 — wird in ein schwächeres Schwestermodell wie claude-haiku-4-5-20251001 injiziert. Das schwächere Modell wird dann per Jailbreak dazu gebracht, das angehängte Reasoning wörtlich zu transkribieren, und gibt die verborgenen Gedanken des stärkeren Modells im Klartext aus — ohne dessen eigene Schutzmechanismen und Anti-Distillation-Safeguards auszulösen.

Die Genauigkeit validierte das Team an 120 Codeforces-Aufgaben: Die Tokenzahl des dekodierten Reasonings korreliert eng mit der von der API gemeldeten Zahl versteckter Thinking-Tokens. Zudem wendeten die Forschenden ihre Pipeline großflächig an: Aus 6.708 öffentlich verfügbaren Agent-Trajektorien von GitHub und Hugging Face rekonstruierten sie 315.320 Reasoning-Blöcke.

Darin fanden sich echte Geheimnisse. Beschränkt auf echte, nicht benchmark-basierte Nutzersitzungen barg das Team 704 verschiedene sensible Artefakte, darunter 62 API-Schlüssel, 33 Passwörter, 24 Access-Tokens und 30 persönliche E-Mail-Adressen sowie Namen, Postadressen und interne URLs. 64 dieser Artefakte tauchten ausschließlich in den Reasoning-Blöcken auf und nirgendwo in der sichtbaren Sitzung — Nutzer können also Daten preisgeben, die sie nie zu sehen bekommen.

Weitere Ergebnisse: Wird das Reasoning von Kimi-K3 mit dem ersten Prozent der Tokens aus Opus 4.8 vorgefüllt, nähert sich dessen sichtbare Antwort der Formulierung von Opus an. Die Technik deckt zudem gefährliches Reasoning auf, wenn Modelle über schädliche Inhalte nachdenken, aber harmlose Antworten zeigen. Schließlich sind die von der API gelieferten Reasoning-Zusammenfassungen teilweise ungenau: Bei manchen AIME-Aufgaben nennt Opus 4.8 die Antwort vor der Herleitung, während die Zusammenfassung eine saubere Herleitung suggeriert.