Ricercatori di sicurezza hanno trovato un modo per leggere i "pensieri interiori" criptati di tutti i principali modelli di ragionamento basati su IA—e nel farlo hanno portato alla luce 62 chiavi API attive e 33 password sepolte nei log di sessione che gli sviluppatori avevano condiviso pubblicamente online senza sapere cosa contenessero.

Al centro delle scoperte c'è la constatazione che Anthropic, OpenAI e Google utilizzano tutti un'unica chiave di crittografia globale per i token di ragionamento dell'IA. Decodificando 315.320 blocchi di ragionamento raccolti da repository pubblici su GitHub e Hugging Face, i ricercatori hanno recuperato 182 credenziali, tra cui 62 chiavi API attive, 33 password e 30 indirizzi email personali.

"Decodificando 315.320 blocchi di ragionamento raccolti da repository pubblici, abbiamo recuperato 367 artefatti contenenti informazioni di identificazione personale (PII) e 182 credenziali", hanno scritto i ricercatori nel loro paper, presentato il 10 agosto da un team composto da MATS Research, l'ELLIS Institute Tübingen, il Max Planck Institute for Intelligent Systems e la società di sicurezza Snyk.

Come funziona lo scratchpad nascosto

La ricerca prende di mira una specifica categoria di IA: i modelli di ragionamento. Invece di rispondere immediatamente, questi modelli partono da una catena di pensiero interna (chain-of-thought)—uno scratchpad passo per passo in cui l'IA elabora un problema prima di mostrare la risposta—e solo successivamente forniscono una risposta finale. Questi modelli oggi sono al centro degli assistenti di programmazione e degli agenti autonomi che leggono file, eseguono comandi ed elaborano dati reali degli utenti: è così che credenziali e dettagli personali possono transitare nello scratchpad privato anche quando non compaiono mai nella risposta visibile.

Anthropic, OpenAI e Google crittano tutti quello scratchpad nascosto. La crittografia—il processo di trasformazione dei dati in un codice illeggibile—serve a proteggere la proprietà intellettuale dell'azienda e a tenere lontano dagli utenti il ragionamento intermedio sensibile. Il blocco criptato viene rimandato ai server del fornitore a ogni messaggio successivo, mantenendo la conversazione senza memorizzare nulla sui sistemi dell'azienda. I laboratori monitorano inoltre essi stessi quel ragionamento nascosto come controllo di sicurezza, osservando la catena di pensiero per individuare segnali che un modello intenda violare le regole prima che una risposta raggiunga gli utenti.

Una chiave per domarli tutti

La vulnerabilità è di natura architetturale. Invece di vincolare ciascun blocco di ragionamento criptato a un utente, una sessione o un modello specifico, tutti e tre i fornitori utilizzano un'unica chiave di crittografia valida per l'intero ecosistema.

"Questi blocchi criptati sono pienamente compatibili e intercambiabili tra sessioni diverse, utenti diversi e persino modelli diversi all'interno dell'ecosistema di un fornitore", hanno scritto i ricercatori.

Ciò significa che un blocco di ragionamento criptato proveniente da Claude Opus 4.8, il modello di punta di Anthropic, può essere iniettato in Claude Haiku 4.5, un "fratello minore" più economico e meno protetto, senza violare le regole di Anthropic. Haiku non dispone dell'allineamento anti-distillazione—un addestramento di sicurezza specificamente concepito per impedire a un modello di trascrivere il proprio ragionamento su comando—di cui Opus è dotato.

Basta chiedere a Haiku di leggere ad alta voce il blocco criptato parola per parola, e lo fa.

"Iniettando una traccia di ragionamento criptata di un determinato modello in un modello più debole e meno protetto dello stesso fornitore, lo costringiamo a decodificare e restituire la traccia parola per parola in chiaro, senza mai eseguire il jailbreak direttamente sul modello più capace", si legge nel paper.

"La portabilità tra modelli significa che Haiku 4.5 può leggere i pensieri di Opus 4.8", ha scritto su X il ricercatore principale Alexander Panfilov.

Lo stesso attacco è stato riprodotto sulla famiglia GPT-5.6 di OpenAI e sulla gamma di modelli Gemini di Google. Non era richiesto alcun accesso privilegiato: l'accesso API standard, la connessione che gli sviluppatori utilizzano per costruire applicazioni sopra i modelli di IA, è stato sufficiente per eseguirlo.

We can finally talk about it: We found a way to extract hidden reasoning of frontier models using a vulnerability in the APIs of every frontier AI company. We verified that our reasoning token count matches billed API thinking tokens 1:1 for most of the prompts we queried. pic.twitter.com/S7wN8aP3X7 — Alexander Panfilov (@kotekjedi_ml) August 11, 2026

Cosa contenevano i log pubblici

Per dimostrare il danno nel mondo reale, il team ha raccolto 6.708 trascrizioni di agenti di IA condivise pubblicamente—log di sessione automatizzati che gli sviluppatori pubblicano abitualmente su GitHub e Hugging Face per collaborazione o debug—e ne ha decodificati 315.320 blocchi di ragionamento.

"Gli sviluppatori condividono frequentemente online, in pubblico, i propri log di sessione e le tracce di pensiero criptate, del tutto ignari dei dati sensibili nascosti all'interno dei blocchi criptati", sottolinea il paper. La maggior parte di quei segreti non è mai comparsa nell'output visibile dell'IA: esistevano solo all'interno del ragionamento criptato, invisibili a chiunque non avesse eseguito l'attacco. Poiché il materiale sensibile si trovava dentro blocchi criptati anziché in testo in chiaro, i servizi automatici di scansione dei segreti che piattaforme come GitHub eseguono sui repository pubblici non avevano modo di individuarlo: le protezioni standard che segnalano le chiavi API esposte non possono vedere all'interno del ragionamento criptato.

La vulnerabilità apre quattro vettori di attacco oltre al semplice furto di credenziali:

• Il furto di pattern di ragionamento proprietari dalle aziende di IA per addestrare modelli concorrenti tramite distillazione, processo in cui un'IA più piccola impara a imitarne una più grande studiandone gli output
• L'estrazione di dati privati dai log condivisi
• L'esecuzione di prompt injection invisibili, in cui istruzioni malevole sono nascoste all'interno di blocchi di ragionamento criptati che gli strumenti di monitoraggio della sicurezza non vedono mai
• Il jailbreak di modelli potenti attraverso i loro "fratelli minori" meno protetti

Anthropic, OpenAI e Google hanno tutti distribuito mitigazioni lato server dopo che il team ha seguito le procedure di divulgazione responsabile. Come riportato in precedenza da Decrypt, Anthropic è stato quest'anno un obiettivo ricorrente per i ricercatori di sicurezza, in particolare perché i suoi ultimi modelli consumano molti più token nel processo di ragionamento.

Le patch sono attive, ma le 6.708 trascrizioni di sessione con blocchi di ragionamento decodificati già raccolte dal web pubblico non scompariranno. Per gli sviluppatori che hanno pubblicato trascrizioni di agenti, la risposta standard a questo tipo di esposizione consiste nel rimuovere i blocchi di pensiero criptati dai log condivisi e ruotare tutte le credenziali transitate in quelle sessioni.