Faille de sécurité dans les API de raisonnement d'OpenAI, Anthropic et Google : comment les modèles faibles décodent les secrets des modèles forts

Selon une étude menée par des chercheurs en sécurité, plus de 700 artefacts sensibles ont été extraits de journaux publics d’agents LLM, dont 62 clés API, 33 mots de passe et 24 jetons d’accès. Cette découverte met en lumière une faille de sécurité dans les API de raisonnement d’OpenAI, Anthropic et Google, permettant à des modèles plus faibles de décoder les raisonnements cachés de modèles plus puissants. L’attaque, détaillée dans le papier « Stealing Reasoning Traces from Proprietary LLM APIs », exploite une faiblesse dans la gestion des objets de raisonnement chiffrés transmis entre appels API. Ces objets, conçus pour préserver l’état du raisonnement lors de sessions sans état, se sont révélés portables entre sessions, utilisateurs et même modèles. Cette vulnérabilité soulève des questions cruciales sur la sécurité des pipelines d’IA et la protection des données sensibles traitées par les grands modèles de langage.

Une vulnérabilité inédite dans les objets de raisonnement chiffrés

Les API de raisonnement d’OpenAI, Anthropic et Google utilisent des objets de raisonnement chiffrés (encrypted reasoning objects) pour conserver le contexte de réflexion du modèle lors d’appels API successifs, en particulier lorsque la gestion de l’historique est effectuée de manière manuelle ou sans état. OpenAI renvoie des éléments de raisonnement chiffrés que les applications doivent rejouer avec l’historique géré manuellement. Anthropic intègre l’intégralité du raisonnement dans une signature chiffrée, tandis que Google utilise des signatures de pensée chiffrées (encrypted thought signatures). L’objectif est de préserver l’état du raisonnement sans exposer le texte en clair directement au client.

L’étude révèle que ces objets chiffrés n’étaient pas correctement liés à une session ou un utilisateur spécifique. En pratique, un bloc de raisonnement créé dans une session pouvait être rejoué dans une autre session, et même passé à un modèle plus faible de la même famille pour lui faire révéler le contenu caché. Les chercheurs ont démontré que l’attaque ne nécessitait pas de casser le chiffrement lui-même, mais reposait sur la portabilité des objets opaques acceptés et traités par le fournisseur.

Cette vulnérabilité est d’autant plus préoccupante que les objets de raisonnement peuvent contenir des informations sensibles générées par le modèle, comme des clés API, des mots de passe ou des instructions internes. Les développeurs qui partagent des journaux d’agents sans avoir retiré ces blocs exposent potentiellement ces données à des tiers.

« Nous ne disposons pas du texte en clair de référence pour le raisonnement propriétaire, nous ne pouvons donc pas garantir que chaque trace reconstruite est une copie exacte. » - Extrait du papier de recherche

Comment le replay d’objets de raisonnement permet de dérober des secrets

Le processus d’attaque se déroule en plusieurs étapes. Tout d’abord, les chercheurs ont collecté 6 708 trajectoires d’agents publiques, contenant des blocs de raisonnement chiffrés. Ensuite, ils ont rejoué ces blocs vers des modèles compatibles du même fournisseur. La clé de l’attaque réside dans l’utilisation d’un modèle plus faible comme « décodeur flou » (fuzzy decoder). Par exemple, Claude Haiku 4.5 a été utilisé pour décoder les traces de Claude, GPT-5.6 Luna pour les traces GPT, et Gemini Robotics ER-1.6 pour les traces Gemini. Le modèle faible était invité à transcrire le raisonnement produit par le modèle fort, agissant ainsi comme un oracle de déchiffrement.

Les chercheurs ont ainsi pu décoder 315 320 blocs de pensée. Après exclusion des sources de référence, ils ont compté 704 artefacts de confidentialité distincts provenant de sessions utilisateur authentiques, dont 62 clés API, 33 mots de passe, 24 jetons d’accès et sept clés privées. Fait notable, 64 de ces artefacts n’apparaissaient que dans le raisonnement caché et nulle part dans la trace visible. Cela signifie que même si un développeur nettoie la conversation visible, les secrets peuvent rester dans un bloc opaque qu’un autre compte peut rejouer.

L’attaque inter-utilisateurs ne permettait pas un accès arbitraire aux conversations privées. Elle nécessitait d’obtenir un bloc de raisonnement chiffré, par exemple publié dans un journal d’agent, et un accès API à un modèle compatible du même fournisseur. Toutefois, la prolifération de journaux d’agents publics rend cette condition relativement facile à remplir.

« Les blocs de raisonnement sont devenus un vecteur d’attaque silencieux, capable de fuiter des données que même un examen attentif de la conversation visible ne révélerait pas. » - Analysent les chercheurs

Les quatre voies d’attaque démontrées par les chercheurs

Le papier « Stealing Reasoning Traces from Proprietary LLM APIs » détaille quatre chemins d’attaque distincts :

Vol de raisonnement propriétaire pour distillation de modèle

En extrayant les traces de raisonnement d’un modèle fort, un attaquant peut les utiliser pour entraîner un modèle concurrent ou améliorer un modèle plus faible. Cela permet de capturer la « réflexion » du modèle sans avoir à payer pour l’accès à l’API de raisonnement.

Extraction de données privées à partir de traces publiées

Les blocs de raisonnement peuvent contenir des informations confidentielles que l’utilisateur a involontairement incluses dans la session, comme des clés API ou des mots de passe. Les chercheurs ont démontré que ces données peuvent être extraites même si la partie visible de la conversation a été nettoyée.

Récupération de contenu nuisible dissimulé

Un modèle peut générer un raisonnement interne dangereux tout en affichant une réponse anodine. L’attaque permet de révéler ce contenu caché, ce qui pourrait être utilisé pour détecter des biais ou des instructions malveillantes.

Injection de prompts invisibles

Les chercheurs ont prouvé qu’il est possible de créer un bloc de raisonnement contenant une instruction malveillante, puis de le rejouer dans une tâche non liée, forçant le modèle à exécuter une action indésirable sans que l’instruction n’apparaisse dans le texte visible. Cette technique ouvre la voie à des attaques de type prompt injection furtives, comme l’a récemment démontré un cybercriminel russe qui a reconstruit un botnet en six minutes avec Gemini CLI.

Impact concret : des milliers de traces compromises

L’ampleur de l’exposition est significative. Sur 6 708 trajectoires d’agents publiques analysées, les chercheurs ont décodé 315 320 blocs de pensée. Après filtrage des ensembles de données de référence, ils ont identifié 704 artefacts de confidentialité uniques. Le tableau ci-dessous résume la répartition des artefacts sensibles découverts :

Parmi ces artefacts, 64 n’étaient présents que dans le raisonnement caché, ce qui souligne l’importance de ne pas se fier uniquement à la sanitisation des parties visibles des conversations. Par exemple, une clé API générée par le modèle lors d’une session de débogage peut se retrouver dans un bloc de raisonnement et être exposée si le journal est partagé sans précautions.

Les chercheurs notent qu’aucune exploitation malveillante dans la nature n’a été documentée, mais la découverte montre que le risque est bien réel, comme l’illustre l’émergence du premier ransomware entièrement automatisé par un agent IA, Jadepuffer. Les développeurs doivent prendre conscience que les journaux d’agents LLM peuvent contenir des données sensibles cachées.

Exemple d’exposition : un cas concret

Imaginons un développeur qui partage un journal d’agent sur GitHub pour illustrer une fonctionnalité. Le journal contient un bloc de raisonnement chiffré qui, une fois rejoué, révèle une clé API AWS utilisée lors d’un test. Même si le développeur a remplacé la clé dans la partie visible par des XXX, la clé réelle reste dans le bloc de raisonnement. Un attaquant peut alors récupérer cette clé et l’utiliser pour accéder aux ressources cloud.

{
  "visible": "Voici ma clé API : XXX-XXXX-XXXX",
  "reasoning_block": "eyJhbGciOiJIUzI1NiIsInR5cCI6IkpXVCJ9... (opaque encrypted data)"
}

Dans cet exemple, le bloc de raisonnement contient la clé API en clair dans le raisonnement interne, mais elle n’est pas visible dans le texte affiché.

Réactions des fournisseurs et questions en suspens

Les chercheurs ont divulgué leurs résultats aux fournisseurs concernés, ainsi qu’à Microsoft et Hugging Face. Selon leur déclaration de reproductibilité, les attaques principales ne sont plus reproductibles depuis août 2026. Cependant, aucun des trois fournisseurs n’a publiquement reconnu la faille ni lié sa documentation actuelle à cette recherche. Cette absence de confirmation officielle laisse planer un doute sur l’état exact des correctifs.

Plusieurs questions demeurent : les blocs de raisonnement déjà publiés dans des dépôts publics restent-ils décodables ? Les attaques de replay inter-modèles sont-elles totalement bloquées ? Les chercheurs notent que leur méthode d’extraction ne peut pas garantir une copie exacte des raisonnements, car ils ne disposent pas du texte en clair original. Néanmoins, la cohérence des longueurs extraites avec les compteurs de jetons de pensée rapportés par les fournisseurs suggère une grande fidélité.

Cette affaire s’inscrit dans le prolongement des travaux de Matthew Green, cryptographe à Johns Hopkins, qui avait démontré en mai 2026 que les blocs de raisonnement chiffrés pouvaient être rejoués entre sessions et comptes. Green avait signalé ce comportement à OpenAI et Anthropic via leurs programmes de bug bounty. OpenAI avait jugé le rapport non reproductible, tandis qu’Anthropic estimait qu’il n’y avait pas d’implications de sécurité. La nouvelle étude transforme ce comportement de replay en une méthode d’extraction complète et en documente les conséquences sur la vie privée à grande échelle.

« Le replay était connu, mais personne n’avait imaginé qu’on pouvait l’utiliser pour faire parler un modèle faible et ainsi dérober les pensées d’un modèle fort. » - Matthew Green, cryptographe

Les mesures d’atténuation et les bonnes pratiques pour les développeurs

À la suite de la divulgation, les fournisseurs concernés ont mis en place des correctifs. Les chercheurs affirment que les attaques démontrées ne sont plus reproductibles depuis août 2026. Cependant, plusieurs questions restent ouvertes, notamment sur le statut des blocs déjà publiés.

Les recommandations pour les développeurs sont claires, et s’inscrivent dans les bonnes pratiques générales de sécurité des API et des données, telles que préconisées par l’ANSSI et les référentiels ISO 27001 :

• Supprimer les blocs de raisonnement des traces partagées, ainsi que les champs de raisonnement opaques.
• Éviter de commettre des transcriptions API brutes dans les dépôts de code, même si le texte visible a été nettoyé.
• Utiliser des outils de détection pour identifier les blocs de raisonnement dans les journaux avant publication.
• Suivre les mises à jour des fournisseurs concernant la gestion des objets de raisonnement.

Le tableau ci-dessous compare les approches des trois fournisseurs et leurs recommandations actuelles :

Les chercheurs ont également souligné que le problème découle d’une conception visant à préserver le raisonnement entre les appels API. Tant que cette fonctionnalité existera, des précautions devront être prises.

« Les fournisseurs doivent repenser la manière dont les objets de raisonnement sont liés à leur contexte d’origine pour éviter ce type de replay. » - Recommandent les auteurs de l’étude

Conclusion : une faille révélatrice des défis de la sécurité des LLM

La vulnérabilité découverte dans les API de raisonnement d’OpenAI, Anthropic et Google illustre les défis complexes de la sécurité des grands modèles de langage. Alors que ces modèles sont de plus en plus utilisés dans des applications critiques, la protection des données traitées lors des sessions de raisonnement devient primordiale.

Cette faille de sécurité dans les API de raisonnement montre que même des mécanismes de chiffrement robustes peuvent être contournés par des attaques de replay et de décodage par modèle faible. Elle souligne l’importance de concevoir des systèmes où les objets de raisonnement sont strictement liés à leur contexte d’origine et où les données sensibles ne sont jamais exposées, même de manière chiffrée, sans contrôle d’accès approprié.

Pour les développeurs et les entreprises utilisant ces API, la leçon est claire : il est essentiel d’auditer régulièrement les journaux d’agents, de retirer les blocs de raisonnement avant toute publication et de se tenir informé des mises à jour de sécurité des fournisseurs. La transparence des chercheurs et la réactivité des fournisseurs ont permis de limiter l’impact, mais cette affaire rappelle que la sécurité de l’IA est un domaine en évolution rapide qui nécessite une vigilance constante.

En adoptant les bonnes pratiques recommandées, vous pouvez réduire considérablement les risques d’exposition de données sensibles via les API de raisonnement. La sécurité de vos applications LLM dépend de votre capacité à comprendre et à maîtriser ces nouveaux vecteurs d’attaque.

Points clés à retenir :

• Les objets de raisonnement chiffrés des API LLM peuvent être rejoués entre sessions et modèles.
• Des modèles plus faibles peuvent servir de décodeurs pour révéler le contenu caché.
• Plus de 700 artefacts sensibles ont été extraits de journaux publics.
• Les développeurs doivent systématiquement supprimer les blocs de raisonnement des traces partagées.
• Les correctifs des fournisseurs ont bloqué les attaques, mais la vigilance reste de mise.