# Une faille permet d’extraire les traces IA d’Anthropic > Des chercheurs décrivent une faille dans les blocs chiffrés de raisonnement de modèles d’Anthropic, OpenAI et Google, avec 182 identifiants récupérés. Type : Actualité IA · Catégorie : Secteur · Publié le 2026-09-14 · Signal IA - Order & Chaos · Secteur : Cybersécurité Source : https://www.orderchaos.eu/signal-ia/actu/une-faille-revele-les-traces-ia-danthropic-openai-et-google Tags : ia, cybersécurité, modèles de langage, données personnelles, chiffrement, raisonnement, llm --- ## En résumé - Des chercheurs ont exploité la compatibilité de blocs chiffrés entre modèles d’un même fournisseur. - L’analyse de 315 320 blocs a révélé 367 éléments de données personnelles et 182 identifiants. - La recherche propose des mesures cryptographiques et système pour sécuriser le raisonnement côté client. **Le signal :** 315 320 blocs de raisonnement analysés ont révélé 367 données personnelles et 182 identifiants. **Une faille architecturale** Des chercheurs décrivent une méthode permettant de récupérer des traces de raisonnement de [modèles de langage](/signal-ia/actu/lead-stabilise-lia-vers-des-defis-complexes-resolus) propriétaires. Les fournisseurs masquent généralement ces étapes intermédiaires pour protéger leur propriété intellectuelle et limiter les fuites d’informations. Au lieu de conserver ces traces sur leurs serveurs, ils les renvoient au client sous forme de blocs chiffrés. Le client transmet ensuite ces blocs avec chaque nouvelle requête. L’étude, intitulée [« Stealing Reasoning Traces from Proprietary LLM APIs »](https://arxiv.org/abs/2608.09867), affirme que ces blocs restent compatibles entre sessions, utilisateurs et modèles d’un même fournisseur. Les chercheurs ont exploité cette propriété pour forcer un modèle moins puissant à décoder une trace en clair. **Trois fournisseurs concernés** La méthode a été démontrée sur des modèles associés à Anthropic, OpenAI et Google. Elle ne vise pas directement le modèle le plus avancé. Les chercheurs injectent plutôt une trace chiffrée provenant d’un modèle donné dans un modèle moins puissant et moins protégé du même écosystème. Ce modèle produit alors la trace en clair, selon les résultats présentés. L’approche constitue un contournement des mécanismes destinés à empêcher la distillation des modèles propriétaires. La recherche décrit quatre vecteurs d’attaque distincts. Ils concernent l’extraction du [raisonnement](/signal-ia/actu/crowdstrike-porte-a-648-pourcent-le-rappel-des-faux-positifs), les données privées, les informations dangereuses et les injections de consignes invisibles. L’analyse a été publiée le 8 septembre 2026. ## 315 320 blocs révèlent des secrets **Des dépôts publics exposés** Les développeurs partagent fréquemment des journaux de sessions dans des dépôts publics, sans connaître le contenu des blocs chiffrés qui les accompagnent. Les chercheurs ont récupéré 315 320 blocs de raisonnement depuis ces dépôts. Leur décodage a révélé 367 éléments de données personnelles et 182 identifiants. Ces résultats associent directement la conception des échanges côté client à une exposition de secrets présents dans des journaux accessibles publiquement. La méthode permet donc une extraction à grande échelle de données privées contenues dans ces blocs. Les chiffres portent sur les blocs analysés par les chercheurs, ainsi que sur les éléments qu’ils ont pu décoder dans cet ensemble. **Des contenus dangereux révélés** La faille peut aussi exposer des informations dangereuses présentes dans le raisonnement interne. L’étude décrit des cas où la réponse visible du modèle refuse correctement une demande malveillante. Pourtant, les étapes intermédiaires peuvent contenir des informations dangereuses, puis être récupérées par la méthode proposée. Les chercheurs identifient également des injections de consignes invisibles. Un attaquant peut placer une charge malveillante entièrement dans des blocs chiffrés. Cette charge peut ensuite empoisonner des déploiements publics d’agents. L’attaque ne dépend donc pas uniquement du texte final présenté à l’utilisateur. Elle exploite aussi les données intermédiaires échangées entre le client et les modèles. ## Des mesures cryptographiques proposées **Une divulgation responsable** Après une divulgation responsable, les chercheurs proposent des mesures cryptographiques et système pour sécuriser le raisonnement côté client. Leur travail recommande ainsi de traiter l’architecture de transmission comme un élément de [sécurité](/signal-ia/actu/owasp-retaille-son-top-10-avec-6-639-incidents-reels). Les blocs chiffrés décrits dans l’étude sont actuellement compatibles et interchangeables entre différentes sessions, différents utilisateurs et différents modèles d’un même fournisseur. Cette compatibilité constitue la base technique de l’attaque présentée. Elle permet d’utiliser un modèle moins protégé pour décoder une trace associée à un autre modèle. Les détails de l’étude et ses quatre vecteurs d’attaque sont accessibles dans [la publication académique](https://arxiv.org/abs/2608.09867) et dans [son analyse par Bruce Schneier](https://www.schneier.com/blog/archives/2026/09/stealing-ai-reasoning-traces.html).