Une faille permet d’extraire les traces IA d’Anthropic

Une faille architecturale Des chercheurs décrivent une méthode permettant de récupérer des traces de raisonnement de modèles de langage propriétaires. Les fournisseurs masquent généralement ces étapes intermédiaires pour protéger leur propriété intellectuelle et limiter les fuites d’informations. Au lieu de conserver ces traces sur leurs serveurs, ils les renvoient au client sous forme de blocs chiffrés. Le client transmet ensuite ces blocs avec chaque nouvelle requête. L’étude, intitulée « Stealing Reasoning Traces from Proprietary LLM APIs », affirme que ces blocs restent compatibles entre sessions, utilisateurs et modèles d’un même fournisseur. Les chercheurs ont exploité cette propriété pour forcer un modèle moins puissant à décoder une trace en clair.

Trois fournisseurs concernés La méthode a été démontrée sur des modèles associés à Anthropic, OpenAI et Google. Elle ne vise pas directement le modèle le plus avancé. Les chercheurs injectent plutôt une trace chiffrée provenant d’un modèle donné dans un modèle moins puissant et moins protégé du même écosystème. Ce modèle produit alors la trace en clair, selon les résultats présentés. L’approche constitue un contournement des mécanismes destinés à empêcher la distillation des modèles propriétaires. La recherche décrit quatre vecteurs d’attaque distincts. Ils concernent l’extraction du raisonnement, les données privées, les informations dangereuses et les injections de consignes invisibles. L’analyse a été publiée le 8 septembre 2026.

315 320 blocs révèlent des secrets

Des dépôts publics exposés Les développeurs partagent fréquemment des journaux de sessions dans des dépôts publics, sans connaître le contenu des blocs chiffrés qui les accompagnent. Les chercheurs ont récupéré 315 320 blocs de raisonnement depuis ces dépôts. Leur décodage a révélé 367 éléments de données personnelles et 182 identifiants. Ces résultats associent directement la conception des échanges côté client à une exposition de secrets présents dans des journaux accessibles publiquement. La méthode permet donc une extraction à grande échelle de données privées contenues dans ces blocs. Les chiffres portent sur les blocs analysés par les chercheurs, ainsi que sur les éléments qu’ils ont pu décoder dans cet ensemble.

Des contenus dangereux révélés La faille peut aussi exposer des informations dangereuses présentes dans le raisonnement interne. L’étude décrit des cas où la réponse visible du modèle refuse correctement une demande malveillante. Pourtant, les étapes intermédiaires peuvent contenir des informations dangereuses, puis être récupérées par la méthode proposée. Les chercheurs identifient également des injections de consignes invisibles. Un attaquant peut placer une charge malveillante entièrement dans des blocs chiffrés. Cette charge peut ensuite empoisonner des déploiements publics d’agents. L’attaque ne dépend donc pas uniquement du texte final présenté à l’utilisateur. Elle exploite aussi les données intermédiaires échangées entre le client et les modèles.

Des mesures cryptographiques proposées

Une divulgation responsable Après une divulgation responsable, les chercheurs proposent des mesures cryptographiques et système pour sécuriser le raisonnement côté client. Leur travail recommande ainsi de traiter l’architecture de transmission comme un élément de sécurité. Les blocs chiffrés décrits dans l’étude sont actuellement compatibles et interchangeables entre différentes sessions, différents utilisateurs et différents modèles d’un même fournisseur. Cette compatibilité constitue la base technique de l’attaque présentée. Elle permet d’utiliser un modèle moins protégé pour décoder une trace associée à un autre modèle. Les détails de l’étude et ses quatre vecteurs d’attaque sont accessibles dans la publication académique et dans son analyse par Bruce Schneier.