Comment voler une trace de raisonnement
Un article publié les 10 et 11 août 2026 par le bulletin AI News, désormais rattaché à Latent Space, révèle qu'il est possible de décoder et de transférer les traces de raisonnement chiffrées des modèles d'IA de pointe. Depuis le lancement du modèle o1 d'OpenAI, les laboratoires chiffrent cryptographiquement ces "chaînes de pensée" pour empêcher leur distillation vers des modèles concurrents. Une première brèche avait été signalée en mai 2026 par le chercheur Matthew Green, qui avait montré comment rejouer ces traces via un canal auxiliaire fondé sur la latence. Le nouveau papier, porté notamment par le chercheur identifié en ligne comme @kotekjediml avec Jonas Geiping, va plus loin : il démontre qu'on peut extraire un bloc de raisonnement chiffré, le rejouer dans une autre requête ou un autre compte, puis le faire retranscrire par un modèle plus faible du même fournisseur, avec des méthodes propres à chaque acteur, un préfixe "<thinking-copy>" pour Claude vers Haiku 4.5, l'injection de l'objet "encryptedcontent" et jusqu'à 50 échantillons pour GPT, ou une "thought_signature" associée à un préfixe "<thought>" pour Gemini. Un scan d'environ 7 000 traces publiques partagées via Claude Code et Codex a révélé 62 clés API uniques, 33 adresses e-mail et 33 mots de passe, dont 64 éléments présents uniquement dans les blocs chiffrés, invisibles dans la session affichée à l'utilisateur.
Résumé et traduction réalisés par Le Fil IA à partir de Latent Space. Lire l'article original →
Cette découverte expose directement les utilisateurs ayant partagé en ligne des sessions Claude Code ou Codex contenant du raisonnement chiffré : identifiants, mots de passe et données personnelles peuvent y figurer sans jamais apparaître dans la conversation visible. Au-delà de la fuite de données, la technique permet de transférer les capacités de raisonnement d'un modèle propriétaire vers un modèle plus faible ou open source, ranimant le débat sur la distillation non autorisée que le chiffrement visait justement à empêcher. Le papier pointe aussi des failles d'alignement plus larges, des résumés de chaîne de pensée qui masquent la vraie réponse du modèle, un raisonnement devenu illisible ou quasi "neuralese", des indices de triche, et des usages détournés pour attaquer des sites web, ce qui complique d'autant la surveillance des modèles par les équipes de sécurité.
Ce travail s'inscrit dans la tension croissante entre transparence et protection de la propriété intellectuelle chez les grands laboratoires. Depuis o1, OpenAI, Anthropic et Google masquent le raisonnement interne de leurs modèles, à la fois pour l'alignement et pour empêcher des concurrents, notamment chinois, de s'entraîner sur ces traces. Les auteurs affirment avoir suivi une procédure de divulgation responsable, plusieurs vulnérabilités ayant déjà été corrigées, tandis que l'enquête a aussi mis au jour une clé de production Hugging Face compromise lors d'un incident de cybersécurité distinct. Des variantes de l'attaque restent toutefois probablement possibles, ce qui devrait pousser les fournisseurs à revoir leurs mécanismes de signature et les utilisateurs à cesser de partager publiquement des sessions contenant ces blocs de raisonnement.
Les développeurs européens utilisant Claude Code ou Codex risquent d'exposer identifiants et données personnelles s'ils ont partagé publiquement des sessions contenant du raisonnement chiffré.