Ein Protokoll einer KI-Anwendung kann Geheimnisse enthalten, die in keiner sichtbaren Zeile davon auftauchen.

Erst kostenlos reinschnuppern, dann entscheiden

Bevor du dich für eine Weiterbildung entscheidest, sieh dir kostenlos an, wie sie läuft, fünf Lektionen plus Live-Demo, ohne Verpflichtung. Passt es, ist der Digitalisierungsmanager bei bewilligtem Bildungsgutschein für dich kostenlos.

Kostenlos reinschnuppern

Der Schnupperkurs ist gratis. Ob die Weiterbildung über den Bildungsgutschein gefördert wird, entscheidet die Agentur für Arbeit im Einzelfall.

Ein Block, der die Sitzung überlebt

Arbeitet ein Modell in mehreren Schritten, muss sein Zwischenstand irgendwo bleiben. Die drei Anbieter legen ihn laut Papier nicht auf dem eigenen Server ab, sondern geben ihn verschlüsselt an die anfragende Anwendung zurück. Die Autoren schreiben, diese Blöcke seien über verschiedene Sitzungen, Nutzer und Modelle innerhalb des Ökosystems eines Anbieters hinweg vollständig kompatibel und austauschbar.

Gebrochen wurde dabei nichts.

Laut Bericht genügte es, einen unversehrten Block einem schwächeren Modell desselben Hauses vorzulegen und den Anbieter die Entschlüsselung selbst erledigen zu lassen. Als Dekoder dienten laut The Hacker News Claude Haiku 4.5, GPT-5.6 Luna und Gemini Robotics ER-1.6, jeweils für die Spuren des eigenen Anbieters. Das betroffene Feld heißt überall anders: verschlüsselte Reasoning-Items bei OpenAI, eine verschlüsselte Signatur am Thinking-Block bei Anthropic, Thought Signatures bei Google.

Was in den ausgewerteten Protokollen steckte

Die Gruppe hat nach eigenen Angaben 6.708 öffentlich verfügbare Agent-Trajektorien von GitHub und Hugging Face eingesammelt und daraus 315.320 Reasoning-Blöcke rekonstruiert. Für den Teil, der aus echten Nutzersitzungen stammt und nicht aus Benchmarks, nennen die Forscher 704 verschiedene Privacy-Artefakte, darunter 62 API-Schlüssel, 33 Passwörter, 24 Access Tokens und 30 persönliche E-Mail-Adressen. The Hacker News führt für dieselbe Auswertung zusätzlich sieben private Schlüssel auf. Das arXiv-Abstract nennt für den Gesamtbestand aller dekodierten Blöcke andere Werte: 367 Artefakte mit persönlichen Daten und 182 Zugangsdaten. Beide Zahlenreihen beziehen sich auf verschiedene Grundmengen und lassen sich nicht ineinander umrechnen. Gesondert ausgewiesen ist der Anteil, der nirgends sonst auftauchte: 64 der 704 Funde standen ausschließlich im verborgenen Reasoning-Block. Vier Missbrauchspfade halten die Autoren für belegt, darunter eine Prompt Injection, die im undurchsichtigen Block unsichtbar bleibt.

An dieser Stelle wird aus einem Forschungsergebnis eine Betriebsfrage.

Offen bleibt, wie die Anbieter reagiert haben

Offengelegt wurde die Sache laut Bericht an die betroffenen Modellanbieter sowie an Microsoft und Hugging Face. Die Forscher erklären, der Hauptangriff sei mit Stand August 2026 nicht mehr reproduzierbar. Das ist ihre eigene Angabe zur Reproduzierbarkeit und keine Bestätigung durch die Anbieter.

Genau hier widersprechen sich zwei Quellen. The Hacker News schreibt, von keinem der drei Anbieter sei bislang eine öffentliche Bestätigung der Schwachstelle aufgetaucht. Die Research Note der Cloud Security Alliance vom 12. August 2026 schreibt dagegen, alle drei hätten die Meldung anerkannt und Gegenmaßnahmen ausgerollt. Wer damit recht hat, ist öffentlich nicht geklärt.

Eine CVE-Nummer nennt keine der ausgewerteten Seiten. Ob ältere, bereits veröffentlichte Blöcke weiterhin dekodierbar sind, ist laut The Hacker News ebenfalls offen. In den Anbieterdokumentationen gibt es laut Bericht immerhin Bewegung: Anthropic weist inzwischen darauf hin, dass Thinking-Blöcke an das erzeugende Modell gebunden sind und beim Modellwechsel entfernt werden sollten.

Neu ist die Grundbeobachtung nicht. Der Kryptograf Matthew Green von der Johns Hopkins University hatte nach seiner im Bericht wiedergegebenen Darstellung schon im Mai 2026 gezeigt, dass sich solche Blöcke über Sitzungen und Konten hinweg wiederverwenden lassen.

Was ein Betrieb davon mitnimmt

Zugriff auf beliebige fremde Chats verschafft der beschriebene Weg nicht. Er setzt voraus, dass ein verschlüsselter Block überhaupt vorliegt, etwa aus einem veröffentlichten Agent-Protokoll, dazu ein Zugang zur Schnittstelle eines passenden Modells desselben Anbieters. Eine bösartige Ausnutzung in freier Wildbahn ist laut Bericht nicht dokumentiert.

Für einen Betrieb mit zehn bis zweihundert Mitarbeitern ist die Kryptografie dahinter zweitrangig, die eigene Protokollhygiene dagegen sehr wohl. Wer Agenten in einem Automatisierungswerkzeug laufen lässt oder Auswertungen über die Schnittstelle fährt, produziert dabei Mitschnitte. Was ein Anbieter mit den Eingaben macht, behandelt der Beitrag zu den Speicherzusagen von OpenAI. Was der eigene Betrieb mit seinen Protokollen macht, beantwortet kein Anbieter.

Unsere Einschätzung

Die Zahl, an der wir hängen bleiben, ist 64 von 704. Wer in unseren Kursen die erste eigene Automatisierung baut, geht davon aus, dass ein Protokoll enthält, was auf dem Bildschirm zu lesen war. Diese Annahme trägt nach dieser Untersuchung nicht mehr.

Praktisch heißt das, API-Mitschnitte wie Zugangsdaten zu behandeln. In einem öffentlichen Repository haben sie nichts verloren, als Anhang in einem Support-Ticket beim Dienstleister ebenso wenig. Wer Protokolle weitergibt, entfernt die Reasoning-Felder vorher; die Forscher empfehlen genau das, und im Skript ist es eine Zeile.

Der zweite Punkt betrifft die Erwartung, die im Wort verschlüsselt mitschwingt. Gemeint ist hier, dass der Betrieb den Inhalt nicht lesen kann, der Anbieter aber sehr wohl, und laut Papier auch jeder, der einen intakten Block und einen Schnittstellenzugang besitzt.

Quellen

Die genannten Angaben stützen sich auf folgende öffentlich zugängliche Quellen (Stand der Recherche: 28. August 2026):

Häufige Fragen

Was beschreibt das Papier vom 10. August 2026 genau?

Eine achtköpfige Forschergruppe hat auf arXiv das Papier "Stealing Reasoning Traces from Proprietary LLM APIs" eingereicht, The Hacker News berichtete am 12. August 2026 darüber. Nach Angaben der Forscher geben OpenAI, Anthropic und Google den verborgenen Gedankengang ihrer Modelle als verschlüsselten Block an die anfragende Anwendung zurück, und dieser Block ist über Sitzungen, Nutzer und Modelle desselben Anbieters hinweg austauschbar. Legt man ihn einem schwächeren Modell desselben Anbieters vor, gibt dieses den Inhalt laut Bericht im Klartext aus.

Wurde dabei eine Verschlüsselung geknackt?

Nein. Laut Bericht wurde weder die Verschlüsselung gebrochen noch ein Schlüssel erbeutet. Es genügte, dass ein unversehrter Block vom Anbieter angenommen und weiterverarbeitet wird. Der Weg setzt außerdem voraus, dass ein solcher Block überhaupt vorliegt, etwa aus einem veröffentlichten Agent-Protokoll, dazu ein Zugang zur Schnittstelle eines passenden Modells desselben Anbieters.

Haben OpenAI, Anthropic und Google die Lücke bestätigt?

Das ist öffentlich nicht geklärt. The Hacker News schreibt, von keinem der drei Anbieter sei bislang eine öffentliche Bestätigung aufgetaucht. Die Research Note der Cloud Security Alliance vom 12. August 2026 schreibt dagegen, alle drei hätten die Meldung anerkannt und Gegenmaßnahmen ausgerollt. Die Forscher selbst geben an, der Hauptangriff sei mit Stand August 2026 nicht mehr reproduzierbar; das ist ihre eigene Angabe und keine Bestätigung durch die Anbieter.

Was sollte ein Betrieb jetzt regeln?

Mitschnitte aus KI-Schnittstellen gehören behandelt wie Zugangsdaten. Sie haben in einem öffentlichen Repository nichts verloren und als Anhang in einem Support-Ticket beim Dienstleister ebenso wenig. Ein Protokoll gilt außerdem nicht als bereinigt, nur weil der sichtbare Text bereinigt wurde: Nach Angaben der Forscher standen 64 von 704 gefundenen Artefakten ausschließlich im verborgenen Reasoning-Block. Wer Protokolle weitergibt, entfernt die Reasoning-Felder vorher.

Wer im Betrieb weiß, wo die Protokolle der eigenen KI-Automatisierungen liegen und wer sie sehen kann?

Im kostenlosen KI-Schnupperkurs zeigen wir in fünf Lektionen, wie kleine und mittlere Firmen KI im Alltag einsetzen. Tiefer und praxisnah geht es im Vollkurs Digitalisierungsmanager, DEKRA-zertifiziert und förderfähig über den Bildungsgutschein.

Zuletzt aktualisiert: 28. August 2026. Stand der Recherche: 28. August 2026.