Uma pesquisa publicada em agosto de 2026 identificou uma vulnerabilidade arquitetural na forma como grandes provedores de inteligência artificial lidam com traces de raciocínio criptografados. O problema permitiu aos pesquisadores recuperar conteúdos internos associados a modelos da OpenAI, Anthropic e Google sem precisar atacar diretamente o modelo mais avançado de cada plataforma.
O trabalho, intitulado Stealing Reasoning Traces from Proprietary LLM APIs, foi publicado no arXiv por pesquisadores Alexander Panfilov, David Schmotz, Ilia Shumailov, Luca Beurer-Kellner, Joachim Schaeffer, Ameya Prabhu, Jonas Geiping, Maksym Andriushchenko e colaboradores.
A descoberta vai além da proteção da propriedade intelectual dos modelos: ao analisar 315.320 blocos de raciocínio obtidos de repositórios públicos, os pesquisadores conseguiram recuperar 367 ocorrências de informações pessoalmente identificáveis (PII) e 182 credenciais.
O que exatamente os pesquisadores descobriram
Modelos avançados podem realizar uma sequência interna de processamento antes de apresentar sua resposta final. Essa informação costuma ser chamada de reasoning trace ou, de forma mais ampla, cadeia de raciocínio.
Por motivos de segurança e proteção de propriedade intelectual, empresas passaram a ocultar essas informações.
O estudo aponta, porém, para um detalhe importante da implementação utilizada em algumas APIs: determinados traces são entregues ao cliente como blocos criptografados, que podem ser enviados novamente em solicitações posteriores para dar continuidade à interação.
Os pesquisadores descobriram que esses blocos apresentavam uma característica inesperada: eram compatíveis e intercambiáveis entre diferentes sessões, usuários e modelos dentro do ecossistema de um mesmo provedor.
Essa característica abriu caminho para o ataque.
Modelo mais fraco pode revelar raciocínio de outro modelo
A técnica desenvolvida pelos pesquisadores explora uma assimetria entre modelos oferecidos por um mesmo provedor.
Em vez de tentar convencer diretamente um modelo mais protegido a revelar seu raciocínio, o ataque pega o bloco criptografado produzido por esse sistema e o fornece a outro modelo compatível, porém com proteções mais fracas.
O segundo modelo pode então ser induzido a decodificar e apresentar o conteúdo em texto legível.
Na prática, isso permite contornar as proteções do modelo original sem necessariamente executar um jailbreak diretamente contra ele.
O trabalho demonstrou o problema em ecossistemas de Anthropic, OpenAI e Google.
315 mil blocos foram analisados
O impacto mais concreto da pesquisa aparece quando a técnica deixa o laboratório e é aplicada a dados já publicados na internet.
Desenvolvedores frequentemente compartilham logs, exemplos de APIs, execuções de agentes e projetos completos em repositórios públicos. Em alguns casos, esses materiais podem incluir blocos criptografados de raciocínio sem que seu conteúdo real seja conhecido por quem publicou o arquivo.
Os pesquisadores coletaram e decodificaram 315.320 blocos encontrados em repositórios públicos.
O resultado revelou:
- 367 artefatos contendo informações pessoalmente identificáveis (PII);
- 182 credenciais.
Os números constam no próprio artigo e demonstram que o problema não é apenas teórico.
Isso não significa que 367 pessoas necessariamente tiveram todos os seus dados pessoais expostos. O estudo fala em 367 artefatos de PII recuperados, uma distinção importante para interpretar corretamente os resultados.
Informações perigosas também podem permanecer escondidas
Existe outro problema.
Um modelo pode receber uma solicitação considerada perigosa, raciocinar internamente sobre ela e, ao final, produzir apenas uma recusa segura.
Para o usuário, aparentemente as proteções funcionaram.
Mas o estudo mostra que informações sensíveis ou potencialmente perigosas ainda podem existir dentro do trace criptografado associado àquele processamento.
Se esse conteúdo puder posteriormente ser recuperado por outra técnica, a proteção aplicada somente à resposta final deixa de ser suficiente.
Isso cria um desafio adicional para empresas de IA: não basta controlar aquilo que o modelo responde. Também é necessário garantir que informações intermediárias não possam ser recuperadas posteriormente.
Técnica também ameaça propriedade intelectual
Os traces de raciocínio são valiosos não apenas por possíveis informações privadas.
Eles também podem revelar aspectos do comportamento de modelos proprietários.
Empresas investem bilhões de dólares em treinamento, pós-treinamento e técnicas destinadas a melhorar a capacidade de raciocínio de seus sistemas. Por isso, permitir que terceiros extraiam grandes quantidades desses traces pode facilitar processos de destilação, nos quais outro modelo tenta reproduzir comportamentos de um sistema mais avançado.
Segundo os autores, a vulnerabilidade permite justamente contornar mecanismos destinados a dificultar esse tipo de extração.
Prompt injection pode ficar invisível
A pesquisa descreve ainda um quarto vetor de ataque particularmente relevante para agentes de IA.
Um atacante poderia inserir uma carga maliciosa dentro de um bloco criptografado e utilizar esse conteúdo em fluxos posteriores.
Como o texto permanece invisível para quem visualiza apenas o conteúdo convencional da interação, surge a possibilidade de uma espécie de prompt injection oculto.
Segundo os pesquisadores, isso poderia ser utilizado para contaminar rollouts públicos de agentes e influenciar silenciosamente seu comportamento.
Esse cenário ganha importância à medida que agentes passam a interagir com ferramentas, APIs, bancos de dados, navegadores e ambientes corporativos.
O problema não é a criptografia em si
Um aspecto importante da pesquisa é que os autores não descrevem simplesmente uma “quebra da criptografia” por força bruta.
O problema está na arquitetura em torno dos blocos criptografados e na possibilidade de reutilizá-los em contextos diferentes.
A criptografia pode continuar matematicamente sólida enquanto uma falha na forma como os sistemas aceitam e processam esses dados cria uma maneira indireta de revelar seu conteúdo.
Essa diferença é importante.
O estudo demonstra como sistemas de IA introduzem novas superfícies de ataque que não se encaixam necessariamente nos modelos tradicionais de vulnerabilidade de software.
Pesquisadores fizeram divulgação responsável
Os autores afirmam que os problemas foram comunicados aos provedores envolvidos por meio de processos de divulgação responsável e também propõem mudanças criptográficas e arquiteturais para impedir a reutilização indevida dos traces.
Uma das conclusões mais importantes é que blocos contendo informações internas não deveriam ser tratados simplesmente como dados opacos que podem circular livremente entre diferentes contextos.
Eles precisam estar vinculados de maneira segura à sessão, ao usuário, ao modelo ou ao contexto para o qual foram originalmente produzidos.
O alerta para desenvolvedores
Para empresas brasileiras que utilizam APIs de inteligência artificial, a pesquisa traz uma recomendação particularmente relevante: logs de aplicações de IA precisam ser tratados como dados potencialmente sensíveis, mesmo quando parte do conteúdo parece estar criptografada.
Desenvolvedores devem evitar publicar logs completos de produção em repositórios públicos, revisar processos de sanitização e ter cuidado especial com credenciais, prompts, traces e respostas intermediárias.
A ascensão dos agentes de IA aumenta ainda mais essa necessidade.
Sistemas autônomos podem acumular grandes volumes de contexto durante suas execuções. Se partes desse contexto forem registradas e posteriormente compartilhadas sem uma análise adequada, informações que aparentemente estavam protegidas podem acabar expostas.
Segurança da IA entra em uma nova fase
O estudo mostra uma mudança importante no cenário de segurança da inteligência artificial.
As preocupações não estão mais restritas a jailbreaks, prompt injection ou vazamento de prompts.
Agora, pesquisadores começam a investigar profundamente a própria infraestrutura utilizada para transportar e preservar estados internos entre diferentes interações com modelos.
O episódio também deixa uma lição importante: criptografar uma informação não é suficiente se o restante da arquitetura permite que outro componente autorizado acabe revelando seu conteúdo.
À medida que modelos de raciocínio e agentes se tornam mais presentes em ambientes corporativos, proteger aquilo que acontece entre o prompt e a resposta final pode se tornar tão importante quanto proteger a própria resposta.
