Des chercheurs en sécurité ont découvert un moyen de lire les « pensées intimes » chiffrées de tous les grands modèles d'IA à raisonnement — et, ce faisant, ont mis au jour 62 clés API actives et 33 mots de passe enfouis dans des journaux de session que des développeurs avaient partagés publiquement en ligne sans savoir ce qu'ils contenaient.

Au cœur de ces découvertes se trouve la constatation qu'Anthropic, OpenAI et Google utilisent tous une clé de chiffrement globale unique pour les jetons de raisonnement des IA. En décodant 315 320 blocs de raisonnement collectés dans des dépôts publics GitHub et Hugging Face, les chercheurs ont récupéré 182 identifiants, dont 62 clés API actives, 33 mots de passe et 30 adresses e-mail personnelles.

« En décodant 315 320 blocs de raisonnement collectés dans des dépôts publics, nous avons récupéré 367 artefacts d'informations personnellement identifiables (PII) et 182 identifiants », ont écrit les chercheurs dans leur article, soumis le 10 août par une équipe issue de MATS Research, de l'Institut ELLIS de Tübingen, de l'Institut Max-Planck pour les systèmes intelligents et de la société de cybersécurité Snyk.

Comment fonctionne le brouillon caché

La recherche vise une classe particulière d'IA : les modèles à raisonnement. Plutôt que de répondre immédiatement, ces modèles commencent par une chaîne de pensée interne — un brouillon pas à pas où l'IA travaille un problème avant de présenter la réponse — et ne livrent qu'ensuite une réponse finale. Ces modèles occupent désormais le cœur des assistants de programmation et des agents autonomes qui lisent des fichiers, exécutent des commandes et traitent de vraies données d'utilisateurs ; c'est ainsi que des identifiants et des informations personnelles peuvent transiter par le brouillon privé, même lorsqu'ils n'apparaissent jamais dans la réponse visible.

Anthropic, OpenAI et Google chiffrent tous ce brouillon caché. Le chiffrement — le procédé qui brouille les données en un code illisible — est censé protéger la propriété intellectuelle de l'entreprise et tenir le raisonnement intermédiaire sensible à l'écart des utilisateurs. Le bloc chiffré est renvoyé aux serveurs du fournisseur à chaque message de suivi, ce qui maintient la conversation sans rien stocker côté entreprise. Les laboratoires surveillent eux-mêmes ce raisonnement caché à titre de contrôle de sécurité, en observant la chaîne de pensée pour détecter d'éventuels signes qu'un modèle s'apprête à enfreindre les règles avant qu'une réponse n'atteigne les utilisateurs.

Une seule clé pour les gouverner tous

La faille est architecturale. Au lieu de lier chaque bloc de raisonnement chiffré à un utilisateur, une session ou un modèle précis, les trois fournisseurs utilisent une clé de chiffrement unique à l'échelle du fournisseur dans l'ensemble de leur écosystème.

« Ces blocs chiffrés sont entièrement compatibles et interchangeables entre différentes sessions, différents utilisateurs et même différents modèles au sein de l'écosystème d'un fournisseur », ont écrit les chercheurs.

Concrètement, un bloc de raisonnement chiffré de Claude Opus 4.8, le modèle phare d'Anthropic, peut être injecté dans Claude Haiku 4.5, un modèle frère moins coûteux et moins protégé, sans enfreindre les règles d'Anthropic. Haiku ne dispose pas de l'alignement anti-distillation — un entraînement de sécurité conçu spécifiquement pour empêcher un modèle de retranscrire son propre raisonnement sur commande — dont Opus est doté.

Demandez à Haiku de lire le bloc chiffré mot pour mot, et il le fait.

« En injectant une trace de raisonnement chiffrée provenant d'un modèle donné dans un modèle plus faible et moins protégé du même fournisseur, nous le forçons à décoder et à restituer la trace mot pour mot en texte clair, sans jamais jailbreaker directement le modèle le plus capable », indique l'article.

« La portabilité inter-modèles signifie que Haiku 4.5 peut lire les pensées d'Opus 4.8 », a écrit sur X le chercheur principal Alexander Panfilov.

La même attaque a été reproduite sur la famille GPT-5.6 d'OpenAI et sur la gamme de modèles Gemini de Google. Aucun accès privilégié n'était requis : un accès API standard — la connexion que les développeurs utilisent pour construire des applications reposant sur des modèles d'IA — a suffi pour l'exécuter.

We can finally talk about it: We found a way to extract hidden reasoning of frontier models using a vulnerability in the APIs of every frontier AI company. We verified that our reasoning token count matches billed API thinking tokens 1:1 for most of the prompts we queried. pic.twitter.com/S7wN8aP3X7 — Alexander Panfilov (@kotekjedi_ml) August 11, 2026

Ce que contenaient les journaux publics

Pour démontrer les dégâts concrets, l'équipe a collecté 6 708 transcriptions d'agents d'IA partagées publiquement — des journaux de session automatisés que les développeurs publient régulièrement sur GitHub et Hugging Face pour collaborer ou déboguer — et en a décodé 315 320 blocs de raisonnement.

« Les développeurs partagent fréquemment leurs journaux de session et leurs traces de réflexion chiffrées publiquement en ligne, sans avoir la moindre conscience des données sensibles cachées dans les blocs chiffrés », note l'article. La plupart de ces secrets n'apparaissaient jamais dans la sortie visible de l'IA ; ils n'existaient qu'au sein du raisonnement chiffré, invisibles pour quiconque n'avait pas mené l'attaque. Parce que les éléments sensibles se trouvaient dans des blocs chiffrés plutôt qu'en texte brut, les services automatisés d'analyse de secrets que des plateformes comme GitHub exécutent sur les dépôts publics n'avaient aucun moyen de les détecter — les garde-fous standards qui signalent les clés API exposées ne peuvent pas voir à l'intérieur du raisonnement chiffré.

Cette vulnérabilité ouvre quatre vecteurs d'attaque au-delà du simple vol d'identifiants :

• Le vol de motifs de raisonnement propriétaires auprès des entreprises d'IA pour entraîner des modèles concurrents par distillation, processus par lequel une IA plus petite apprend à imiter une plus grande en étudiant ses sorties
• L'extraction de données privées à partir de journaux partagés
• L'exécution d'injections de prompt invisibles, où des instructions malveillantes sont dissimulées dans des blocs de raisonnement chiffrés que les outils de surveillance de sécurité ne voient jamais
• Le jailbreak de modèles puissants via leurs modèles frères moins protégés

Anthropic, OpenAI et Google ont tous déployé des mesures d'atténuation côté serveur après que l'équipe a suivi les procédures de divulgation responsable. Comme Decrypt l'a précédemment rapporté, Anthropic est un sujet récurrent pour les chercheurs en sécurité cette année, d'autant que ses derniers modèles consomment beaucoup plus de jetons dans le processus de raisonnement.

Les correctifs sont en ligne — mais les 6 708 transcriptions de session aux blocs de raisonnement décodés, déjà collectées sur le web public, ne disparaîtront pas. Pour les développeurs qui ont publié des transcriptions d'agents, la réponse standard à ce type d'exposition consiste à retirer les blocs de réflexion chiffrés des journaux partagés et à renouveler tout identifiant ayant transité par ces sessions.