セキュリティ研究者らが、主要なAI推論モデルすべての暗号化された「内なる思考」を読み取る方法を発見し、その過程で、開発者が中身を知らないままオンラインで公開していたセッションログに埋もれていた62件の有効なAPIキーと33件のパスワードを明らかにした。

この調査結果の核心にあるのは、Anthropic、OpenAI、Googleの3社がいずれもAI推論トークンに対して単一のグローバル暗号鍵を使用しているという発見だ。公開されているGitHubおよびHugging Faceのリポジトリから収集した315,320個の推論ブロックを復号することで、研究者らは62件の有効なAPIキー、33件のパスワード、30件の個人メールアドレスを含む182件の資格情報を復元した。

「公開リポジトリから収集した315,320個の推論ブロックを復号した結果、367件の個人識別情報（PII）アーティファクトと182件の資格情報を復元しました」と研究者らは論文に記している。この論文は8月10日、MATS Research、ELLIS Institute Tübingen、マックス・プランク知的システム研究所、セキュリティ企業Snykのチームによって提出された。

隠れたスクラッチパッドの仕組み

この研究が対象とするのは、AIの特定のクラス、すなわち推論モデルだ。これらのモデルは即座に回答するのではなく、まず内部的な思考連鎖（回答を示す前にAIが問題を段階的に整理するスクラッチパッド）から始め、その後に最終的な応答を返す。現在これらのモデルは、ファイルを読み取り、コマンドを実行し、実際のユーザーデータを処理するコーディングアシスタントや自律エージェントの中核を担っており、資格情報や個人情報が、可視的な返答には一切現れないにもかかわらず非公開のスクラッチパッドを通過するのはこのためだ。

Anthropic、OpenAI、Googleはいずれも、この隠れたスクラッチパッドを暗号化している。暗号化とは、データを読み取れない形のコードに変換する処理であり、企業の知的財産を保護し、機密性の高い中間推論をユーザーから遠ざけることを目的としている。暗号化ブロックは後続のメッセージごとにプロバイダーのサーバーへ送り返され、企業側に何も保存することなく会話を維持する。また、各研究所は安全確認としてこの隠れた推論を自ら監視しており、回答がユーザーに届く前に、モデルがルールを破る計画を立てていないかを思考連鎖の中から見張っている。

一つの鍵がすべてを支配する

この欠陥はアーキテクチャ上のものだ。各暗号化推論ブロックを特定のユーザー、セッション、モデルに紐付けるのではなく、3社はいずれも、エコシステム全体で単一のプロバイダー共通の暗号鍵を使用している。

「これらの暗号化ブロックは、プロバイダーのエコシステム内において、異なるセッションやユーザー、さらには異なるモデル間でも完全に互換性があり、相互に入れ替え可能です」と研究者らは述べている。

つまり、Anthropicの旗艦モデルであるClaude Opus 4.8の暗号化推論ブロックは、Anthropicの規則に違反することなく、より安価で保護の緩い兄弟モデルであるClaude Haiku 4.5に注入できる。Haikuには、Opusが備えているアンチディスティレーション・アライメント（モデルが命令に応じて自らの推論を書き起こすことを防ぐために特別に設計された安全トレーニング）がない。

Haikuに暗号化ブロックを一字一句そのまま読み上げるよう指示すると、実際にそうする。

「特定のモデルの暗号化された推論トレースを、同じプロバイダーのより弱く保護の緩いモデルに注入することで、より高性能なモデルを直接ジェイルブレイクすることなく、そのトレースを復号して平文でそのまま出力させることができます」と論文は述べている。

「モデル間の移植性とは、Haiku 4.5がOpus 4.8の思考を読めるということです」と、主任研究者のAlexander PanfilovはXで投稿した。

同様の攻撃は、OpenAIのGPT-5.6ファミリーとGoogleのGeminiモデルのラインナップでも再現された。特別なアクセス権は不要で、標準的なAPIアクセス（開発者がAIモデルの上にアプリケーションを構築するために使用する接続）だけで実行できた。

We can finally talk about it: We found a way to extract hidden reasoning of frontier models using a vulnerability in the APIs of every frontier AI company. We verified that our reasoning token count matches billed API thinking tokens 1:1 for most of the prompts we queried. pic.twitter.com/S7wN8aP3X7 — Alexander Panfilov (@kotekjedi_ml) August 11, 2026

公開ログに含まれていたもの

実際の被害を示すため、研究チームは公開共有されていた6,708件のAIエージェントのトランスクリプト（開発者がコラボレーションやデバッグのために日常的にGitHubやHugging Faceに投稿する自動セッションログ）を収集し、そこから315,320個の推論ブロックを復号した。

「開発者は、暗号化ブロック内に機密データが隠されていることに全く気づかないまま、セッションログや暗号化された思考トレースをオンラインで頻繁に公開しています」と論文は指摘する。これらの機密のほとんどは可視的なAI出力には一度も現れず、攻撃を実行しない者には見えない暗号化推論の内部だけに存在していた。機密情報が平文ではなく暗号化ブロックの中にあったため、GitHubなどのプラットフォームが公開リポジトリに対して実行している自動シークレットスキャンサービスでは検出できなかった。露出したAPIキーを検知する標準的な保護機構は、暗号化推論の中を見ることができないのだ。

この脆弱性は、単純な資格情報の窃取以外に4つの攻撃ベクトルを開く：

• AI企業から独自の推論パターンを盗み出し、ディスティレーション（小型のAIが大型AIの出力を研究して模倣すること）を通じて競合モデルを訓練すること
• 共有されたログから非公開データを抽出すること
• 悪意のある指示を暗号化推論ブロック内に隠し、セキュリティ監視ツールに一切見られない不可視のプロンプトインジェクションを実行すること
• 保護の緩い兄弟モデルを通じて強力なモデルをジェイルブレイクすること

Anthropic、OpenAI、Googleはいずれも、研究チームが責任ある開示の手順に従った後、サーバー側の緩和策を導入した。Decryptが以前に報じたように、Anthropicは今年、セキュリティ研究者のたび重なる調査対象となっており、特に同社の最新モデルは推論プロセスで遥かに多くのトークンを消費している。

パッチは稼働しているが、公開ウェブからすでに収集された、復号済みの推論ブロックを含む6,708件のセッショントランスクリプトが消えることはない。エージェントのトランスクリプトを公開した開発者にとって、この種の露出に対する標準的な対応は、共有ログから暗号化思考ブロックを取り除き、それらのセッションを通過した資格情報を更新（ローテーション）することだ。