Sicherheitslücke: Forscher entschlüsseln Reasoning-Protokolle von KI-Modellen

Wissenschaftler aus Deutschland haben eine schwerwiegende Sicherheitslücke in den KI-Systemen von OpenAI, Anthropic und Google aufgedeckt. In ihrem jüngst veröffentlichten Paper „Stealing Reasoning Traces from Proprietary LLM APIs“ weisen Forscher des ELLIS-Instituts Tübingen, des Max-Planck-Instituts, von MATS Research und der Sicherheitsfirma Snyk nach, dass sich die verschlüsselten Denkprotokolle von ChatGPT, Claude und Gemini über Umwege im Klartext auslesen lassen. Der Trick: Die verschlüsselten Reasoning-Blöcke eines leistungsstarken Modells können in ein schwächeres Schwestermodell desselben Anbieters eingespeist werden – und dieses gibt die internen Gedankenketten ungeschützt aus. Für den normalen API-Zugang sind dabei keine besonderen Berechtigungen nötig. Aus über 315.000 entschlüsselten Blöcken konnten die Forscher Passwörter, API-Schlüssel und persönliche Daten extrahieren. Einen grundlegenden Architekturfix haben die drei Anbieter bislang nicht vorgelegt.

Mehr zu ähnlichen Themen rund um ChatGPT und andere KI-Modelle findest du am Ende dieses Beitrags.

Ein globaler Schlüssel für alle Nutzer

Moderne Reasoning-Modelle wie GPT-5.6, Claude Opus 4.8 und Gemini 3 durchlaufen bei komplexen Aufgaben zunächst einen internen Denkprozess, bevor sie eine sichtbare Antwort liefern. Diese verborgenen Gedankenketten enthalten geschütztes Know-how und Sicherheitsprüfungen der Anbieter – deshalb werden sie nicht im Klartext übermittelt. Stattdessen senden die APIs die Denkprotokolle als verschlüsselte, base64-codierte Datenpakete an die Client-Anwendung zurück. Bei Folgeanfragen schickt der Client diese Blöcke erneut an den Server, um den Gesprächskontext aufrechtzuerhalten, ohne dass der Anbieter serverseitig Sitzungsdaten speichern muss.

Das zentrale Problem: Die verschlüsselten Pakete sind laut den Forschern lediglich mit einem einzigen, anbieterweiten Schlüssel authentifiziert. Eine kryptografische Bindung an ein bestimmtes Nutzerkonto, eine Sitzungs-ID oder eine Modellversion fehlt. Dadurch lässt sich ein verschlüsselter Block eines Flaggschiff-Modells ohne Weiteres in jedes andere Modell derselben Infrastruktur einspeisen.

Schwächere Modelle als Entschlüsselungswerkzeug

Konkret funktioniert der Angriff so: Ein Angreifer fängt einen verschlüsselten Reasoning-Block ab, den etwa Claude Opus 4.8 oder GPT-5.6 Sol erzeugt hat. Diesen Block speist er anschließend in ein kleineres, weniger abgesichertes Modell desselben Anbieters ein – beispielsweise Claude Haiku 4.5 oder GPT-5-mini.

Die leichtgewichtigen Modelle verfügen über deutlich schwächere Sicherheitsvorkehrungen als ihre großen Geschwister. Ihnen fehlen die aggressiven Anti-Destillations-Mechanismen und Schutzmaßnahmen der Flaggschiff-Versionen. Deshalb folgen sie bereitwillig der Anweisung, den internen Denkprozess wortgetreu als Klartext auszugeben.

Die Forscher überprüften die Genauigkeit der wiederhergestellten Inhalte, indem sie die decodierten Token-Längen mit den von den Anbieter-APIs abgerechneten Thinking-Token-Zahlen abglichen. Die Übereinstimmung bestätigte sich bei allen drei Ökosystemen – Anthropic, OpenAI und Google.

Passwörter und API-Schlüssel in 315.000 Blöcken

Um das Ausmaß der Schwachstelle zu belegen, durchsuchten die Forscher 6.708 öffentlich zugängliche Repositories auf GitHub und Hugging Face, die von Claude-, GPT- oder Gemini-Modellen erstellt worden waren. Dabei entschlüsselten sie insgesamt 315.320 eingebettete Reasoning-Blöcke. Die Ausbeute war erheblich: 367 personenbezogene Datensätze und 182 fest einprogrammierte Zugangsdaten kamen zum Vorschein. Darunter befanden sich 62 API-Schlüssel, 33 Passwörter, 24 Zugriffs-Tokens sowie 30 private E-Mail-Adressen. Hinzu kamen Namen und Anschriften von Projektverantwortlichen.

Besonders brisant: Ein Großteil dieser sensiblen Informationen war ausschließlich in den internen Denkprotokollen gespeichert und tauchte in den sichtbaren Chatbot-Antworten nirgends auf. Die betroffenen Entwickler hatten demnach keine Möglichkeit zu erkennen, dass ihre veröffentlichten Sitzungsprotokolle vertrauliche Daten enthielten.

Unsichtbare Angriffe auf KI-Agenten

Die Sicherheitslücke geht jedoch weit über den Diebstahl von Zugangsdaten hinaus. Laut dem Forschungspapier umgeht der Angriff gleich vier Schutzmechanismen der Anbieter auf einmal: Anti-Destillations-Kontrollen, PII-Isolation, die Unterdrückung gefährlicher Inhalte und den Schutz verborgener System-Prompts.

Besonders gefährlich ist die Möglichkeit unsichtbarer Prompt-Injection-Angriffe. Dabei kann ein Angreifer schädliche Anweisungen in einem verschlüsselten Reasoning-Block verstecken. Wird dieser Block von einem autonomen KI-Agenten verarbeitet, erkennen Überwachungssysteme die eingeschleuste Manipulation nicht – denn sie prüfen lediglich den sichtbaren Gesprächsverlauf.

Auf diese Weise lassen sich nachgelagerte Arbeitsabläufe von KI-Agenten kompromittieren, ohne dass herkömmliche Sicherheitstools Alarm schlagen. Auch Inhalte, die das Modell in seiner sichtbaren Antwort verweigert hatte, können über diesen Weg zugänglich gemacht werden.

Warnungen monatelang ignoriert

Die Schwachstelle war den betroffenen Unternehmen bereits vor der wissenschaftlichen Veröffentlichung bekannt. Der Sicherheitsforscher Matthew Green meldete das Problem mit der sitzungsübergreifenden Wiedergabe verschlüsselter Blöcke bereits im Mai 2026 über die Bug-Bounty-Programme von OpenAI und Anthropic. Beide Unternehmen wiesen die Meldung ab. Green veröffentlichte seine Erkenntnisse daraufhin eigenständig – elf Wochen bevor das formale Forschungspapier erschien.

Nach der Veröffentlichung der Studie reagierten alle drei Anbieter. Anthropic-Sprecher Michael Aciman erklärte laut „Firstpost“, man habe begonnen, kurzfristige Schutzmaßnahmen gegen das beschriebene Replay-Verhalten einzusetzen. Auch OpenAI und Google bestätigten die Ergebnisse und implementierten serverseitige Gegenmaßnahmen. Einen grundlegenden Umbau der Architektur hat jedoch keiner der drei Konzerne vorgenommen. Die wahrscheinliche Ursache – ein einziger globaler Verschlüsselungsschlüssel für sämtliche Nutzer und Sitzungen – lässt sich ohne vollständige Neugestaltung nicht beheben.

Verschlüsselte Blöcke wie Geheimdaten behandeln

Sicherheitsexperten mahnen zu sofortigem Handeln. Voldemaras Kadys, Sicherheitschef bei Cybernews, betonte gegenüber „The IT Nerd“: „Verschlüsselung macht Informationen nicht zwangsläufig unzugänglich, und die Hürde, sie zu entschlüsseln, könnte niedriger sein, als Nutzer erwarten.“ Reasoning-Logs sollten niemals öffentlich geteilt werden.

Die Forscher empfehlen konkrete Gegenmaßnahmen: Anbieter müssen verschlüsselte Reasoning-Pakete kryptografisch an das jeweilige Modell, die Sitzung und die Nutzeridentität binden. Zudem sollten Thinking-Blöcke, die an ein anderes Modell als das erzeugende übermittelt werden, serverseitig abgelehnt werden. Bestehende Signaturschlüssel müssen rotiert werden, um bereits in öffentlichen Repositories zirkulierende Blöcke zu entwerten.

Für Entwicklerteams gilt ab sofort: Sämtliche bereits veröffentlichten Sitzungsprotokolle sollten überprüft und verschlüsselte Reasoning-Felder vor einer Veröffentlichung entfernt werden.

Mehr rund um das Thema KI kannst du hier lesen:

• Loop-Engineering: So arbeitest du noch effizienter mit KI-Tools
• KI-Manipulation: Wie Unternehmen mit Reddit-Kommentaren die KI-Suche gezielt manipulieren
• KI-Agent Jadepuffer startet einen Ransomware-Angriff – und verliert prompt den Schlüssel
• KI-Gesichtsanalyse könnte über Jobchancen entscheiden
• Sicherheitslücke Mitarbeiter: Mehr Bewusstsein für Cybersecurity in KMU