Der Mechanismus, im Wortlaut des Abstracts: „Leading large language model providers now conceal their models’ step-by-step reasoning, or chain-of-thought, to protect intellectual property and limit information leakage. Rather than storing these traces server-side, providers return them to the client as blocks of encrypted text, which the client passes back with each subsequent request.“ Die Schwachstelle liegt genau in dieser Bauweise: „we identify an architectural vulnerability: these encrypted blocks are fully compatible and interchangeable across different sessions, users, and models within a provider’s ecosystem.“ Der Angriff besteht dann nur noch darin, die Zuständigkeit zu verschieben – „By injecting an encrypted reasoning trace from a given model into a weaker, and less safeguarded model from the same provider, we force it to decode and output the trace verbatim in plaintext, without ever jailbreaking the more capable model directly.“
Vier Angriffswege leiten die Autoren daraus ab. Erstens die Umgehung des Distillationsschutzes: „it circumvents anti-distillation mechanisms, allowing adversaries to extract a proprietary model’s reasoning, as we demonstrate across Anthropic, OpenAI, and Google.“ Zweitens Datenextraktion im Maßstab – „Developers frequently share session logs publicly, unaware of contents of the encrypted blocks. By decoding 315,320 reasoning blocks scraped from public repositories, we recovered 367 Personally Identifiable Information (PII) artifacts and 182 credentials.“ Drittens die Offenlegung gefährlicher Zwischenschritte, „even in cases where the model’s final, visible output safely rejects a malicious request“. Und viertens unsichtbare Prompt-Injection: „attackers can leverage this flaw to execute invisible prompt injections, embedding malicious payloads entirely within encrypted blocks to poison public agentic rollouts.“
Betroffen sind nach der Berichterstattung von The Decoder konkret die o-Reihe in ChatGPT, Claude (genannt werden Opus 4.8 und Haiku 4.5) und Gemini; das Muster ist jeweils dasselbe – das kleine Modell des Hauses liest die Spur des großen vor. Auf die grundsätzliche Schwäche gestoßen war demnach bereits im Mai 2026 der Kryptograf Matthew Green; die Arbeit macht daraus ein skalierbares Verfahren. Die Anbieter hätten zunächst keine Sicherheitsimplikationen erkannt, inzwischen aber mehrere Punkte nachgebessert. Das Paper selbst formuliert dazu nur: „Following responsible disclosure, we propose concrete cryptographic and system-level mitigations to secure client-side reasoning.“
Eine Zahlen-Abweichung notieren wir ausdrücklich: The Decoder nennt rund 7.000 gescannte öffentliche Spuren mit 62 API-Schlüsseln, 33 E-Mail-Adressen und 33 Passwörtern sowie API-Kosten von etwa 720 US-Dollar für 10.000 Spuren. Diese Werte passen nicht zu den 315.320 Blöcken, 367 PII-Artefakten und 182 Zugangsdaten des Abstracts – vermutlich bezieht sich die Rezeption auf einen Teilversuch der Arbeit. Wir folgen den Zahlen der Primärquelle und geben die abweichenden nur als solche wieder.
Widerspruch gibt es an der Begrifflichkeit, und er ist berechtigt: Auf der Paper-Seite bei Hugging Face hält ein Kommentator die Bezeichnung „encrypted“ für irreführend – es handle sich eher um eine Verschleierung mit gemeinsamem Schlüssel, also um ein Deployment-Problem, dessen Lösung schlicht in einer Bindung je Sitzung und Nutzer läge. Das entkräftet den Befund nicht, verschiebt ihn aber: Nicht die Kryptografie ist gebrochen, sie war an dieser Stelle nie so gedacht, wie das Wort nahelegt.
⚠️ Zur Beleglage: Gelesen und damit belegt haben wir die arXiv-Seite mit dem vollständigen Abstract im englischen Original – daraus stammen sämtliche wörtlichen Zitate und alle hier als belegt geführten Zahlen. Es handelt sich um ein Preprint vom 10.08.2026 ohne Begutachtung; die vier Angriffswege sind von uns nicht nachvollzogen, eine unabhängige Reproduktion liegt nicht vor. Die PDF-Fassung und die zugehörige Projektseite unter `stolen-thoughts.com` weisen unseren Abruf mit HTTP 403 ab – real, aber von uns nicht gelesen. Die Angaben zu betroffenen Modellversionen, zur Vorgeschichte über Matthew Green und zur Reaktion der Anbieter stammen ausschließlich aus der Rezeption von The Decoder und sind an keiner Anbieter-Stellungnahme geprüft; eine Bestätigung oder ein Dementi von Anthropic, OpenAI oder Google liegt uns nicht vor.