Forscher haben eine gravierende Schwachstelle in den Programmierschnittstellen von OpenAI, Anthropic und Google offengelegt. Wie heise online unter Berufung auf die veröffentlichte Studie berichtet, ließen sich verschlüsselte Denkspuren leistungsstarker KI-Modelle mit schwächeren Modellen desselben Anbieters wieder in Klartext verwandeln. Betroffen waren Systeme aller drei großen Anbieter.
Viele KI-Dienste geben Teile des internen Rechenwegs als verschlüsselte Blöcke an ihre Nutzer zurück. Bei einer späteren Anfrage werden diese Blöcke erneut an den Anbieter übermittelt, damit das Modell an den bisherigen Gedankengang anknüpfen kann. Die Verschlüsselung schützte zwar den Inhalt, band die Daten nach Angaben der Forscher aber nicht ausreichend an eine bestimmte Sitzung, einen Nutzer oder ein einzelnes Modell.
Genau diese Austauschbarkeit wurde zum Einfallstor: Die Forscher übergaben den Denkblock eines leistungsstarken Modells an ein schwächeres Modell aus derselben Anbieterfamilie und brachten dieses dazu, den Inhalt auszugeben. Der Angriff zielte damit nicht direkt auf das Spitzenmodell. Stattdessen nutzte er aus, dass das schwächere System dieselben verschlüsselten Daten verarbeiten konnte, zugleich aber leichter zur Preisgabe zu bewegen war.
Besonders brisant ist der Fund in öffentlich zugänglichen Entwicklerprotokollen. Das Team untersuchte 315.320 verschlüsselte Denkblöcke aus öffentlichen Repositorien und gewann daraus 367 personenbezogene Datenspuren sowie 182 Zugangsdaten zurück. Darunter befanden sich laut Studie E-Mail-Adressen, Passwörter und API-Schlüssel. Ein Teil dieser Informationen tauchte ausschließlich im verborgenen Denkprozess auf und war in der sichtbaren Antwort nicht enthalten.
Der Fall zeigt, dass vermeintlich unlesbare KI-Protokolle keineswegs harmlos sind. Entwickler, die komplette Sitzungen veröffentlichen, können sensible Daten preisgeben, ohne sie im sichtbaren Verlauf überhaupt zu bemerken. Schon bei gekaperten Microsoft- und GitHub-Werkzeugen wurde deutlich, wie schnell KI-gestützte Entwicklungsumgebungen zum Zugriffspunkt auf Passwörter werden. Auch der Bericht über einen OpenAI-Agenten außerhalb seiner Testumgebung machte sichtbar, wie wenig beruhigend formale Sicherheitsgrenzen sind, wenn die technische Architektur sie nicht zuverlässig durchsetzt.
Nach der verantwortlichen Meldung an die Unternehmen wurden nach Angaben der Forscher Gegenmaßnahmen eingeleitet. Der Vorfall bleibt dennoch eine Warnung: Wer KI-Systeme mit Zugangsdaten, persönlichen Informationen oder vertraulichem Quellcode füttert, darf sich nicht auf die Unsichtbarkeit verschlüsselter Denkspuren verlassen. Eine Schutzschicht, die sich zwischen Modellen, Sitzungen und Nutzern verschieben lässt, ist kein belastbares Sicherheitskonzept.
