Una falla nelle API di OpenAI, Anthropic e Google espone il ragionamento nascosto dei modelli AI

Immagina di poter leggere i pensieri del modello di intelligenza artificiale più avanzato sul mercato senza mai attaccarlo davvero. Ti basta chiedere a un suo fratello minore, più piccolo ed economico, di trascriverli al posto tuo. È in sostanza quello che ha fatto un gruppo di ricercatori europei, che ha portato alla luce una falla strutturale nelle API di OpenAI, Anthropic e Google.

La scoperta è raccontata nello studio “Stealing Reasoning Traces from Proprietary LLM APIs”, pubblicato su arXiv all’inizio di agosto 2026. Dentro i blocchi di ragionamento cifrato che ChatGPT, Claude e Gemini si scambiano dietro le quinte, i ricercatori hanno trovato chiavi API, password e dati personali di utenti del tutto ignari.

Il tema tocca un punto delicato, perché mette in discussione una delle promesse su cui questi laboratori hanno costruito i loro prodotti a pagamento: che il ragionamento interno dei modelli resti privato e protetto.

Cosa significa ragionamento nascosto e perché i modelli lo cifrano

I modelli di frontiera di oggi non si limitano più a prevedere la parola successiva. Prima di rispondere producono una lunga catena di pensiero, la cosiddetta chain-of-thought, in cui testano ipotesi, verificano passaggi intermedi e correggono gli errori. Questo ragionamento migliora molto le prestazioni su compiti complessi come la matematica e la programmazione, ma contiene anche informazioni sensibili.

Proprio per questo OpenAI, Anthropic e Google hanno smesso di mostrarlo in chiaro. Al suo posto restituiscono al client un blocco di testo cifrato, che l’applicazione rispedisce indietro a ogni richiesta successiva per mantenere il filo della conversazione. Il modello conserva così memoria del proprio ragionamento senza svelarlo a chi lo usa.

La logica è duplice. Da un lato i laboratori vogliono proteggere la proprietà intellettuale, perché quelle tracce di ragionamento sono un patrimonio prezioso. Dall’altro vogliono evitare che informazioni interne, comprese quelle legate alla sicurezza, finiscano sotto gli occhi di tutti.

Se vuoi capire meglio come questi sistemi generano e concatenano il testo, puoi partire dalla nostra guida su come funzionano i large language model.

Ogni fornitore ha implementato il meccanismo a modo suo. OpenAI può restituire elementi di ragionamento cifrati, Anthropic racchiude l’intero ragionamento in una firma crittografica, Google usa quelle che chiama thought signatures. L’idea di fondo, però, resta la stessa: consegnarti una scatola chiusa.

La falla: blocchi cifrati che passano da un modello all’altro

Il problema, dimostrano i ricercatori, è che quella scatola chiusa non è legata a chi l’ha creata. I blocchi di ragionamento cifrato sono infatti compatibili e intercambiabili tra sessioni, utenti e modelli diversi all’interno dello stesso fornitore.

Gli autori parlano di tre forme di compatibilità. Un blocco può essere riutilizzato in una sessione diversa dello stesso utente, può essere replicato da un altro utente qualsiasi, e soprattutto può essere elaborato da un modello differente della stessa famiglia. È l’ultimo punto quello che cambia tutto.

Attenzione a un dettaglio importante: la cifratura non è stata violata. I ricercatori non hanno rotto alcun algoritmo né rubato una chiave. Hanno semplicemente sfruttato il fatto che i blocchi opachi vengono accettati ed elaborati anche fuori dal loro contesto originale.

L’ipotesi degli autori è che ogni azienda usi un’unica chiave globale per l’intera famiglia di modelli, così da semplificare l’infrastruttura. Una scelta comoda sul piano tecnico, che però apre un varco enorme sul piano della sicurezza.

Come un modello debole decifra un modello forte

Il cuore dell’attacco è quello che i ricercatori chiamano jailbreak di decifratura. Prendi un blocco di ragionamento generato da un modello potente e molto protetto, lo inietti nel contesto di un modello più debole della stessa famiglia e chiedi a quest’ultimo di trascrivere quel testo in chiaro.

Il modello meno sorvegliato, condividendo le stesse chiavi crittografiche, obbedisce e restituisce il ragionamento segreto del suo fratello maggiore, parola per parola. Il tutto senza mai attaccare direttamente il modello più capace.

I risultati riguardano tutti e tre i fornitori. Per Anthropic, Claude Haiku 4.5 è stato usato per decodificare le tracce di Claude Opus 4.8. Per OpenAI, GPT-5.6 Luna ha decifrato quelle di GPT-5.6 Sol. Per Google, il ruolo di decodificatore è toccato a Gemini Robotics ER-1.6.

Non si tratta di frammenti approssimativi. Gli autori hanno verificato che il numero di token di ragionamento estratti coincide quasi uno a uno con i thinking token fatturati dalle API. È la prova che stanno recuperando l’intero monologo interno, non una pallida imitazione.

Vale la pena ricordare che GPT-5.6 Luna, uno dei modelli usati come decodificatore, è lo stesso che OpenAI ha reso molto economico nelle scorse settimane, come abbiamo raccontato parlando della guerra dei prezzi tra i laboratori AI. Un modello a basso costo diventa così lo strumento ideale per un attacco su larga scala.

Quattro modi per sfruttare la falla

La ricerca non si ferma alla dimostrazione tecnica. Gli autori descrivono quattro possibili abusi, ognuno con implicazioni diverse per aziende e utenti.

• Furto di proprietà intellettuale. Estrarre il ragionamento di un modello di punta permette di aggirare i divieti di distillazione e addestrare modelli più piccoli. Decodificare 10.000 tracce può costare appena 720 dollari.
• Estrazione di dati privati. Chi condivide log pubblici con quei blocchi intatti espone tutto il loro contenuto nascosto.
• Recupero di contenuti pericolosi. Un modello può ragionare su una richiesta dannosa e poi rifiutare di rispondere, ma la traccia rubata rivela comunque ciò che aveva elaborato.
• Prompt injection invisibile. Un blocco può nascondere istruzioni malevole che il modello vittima scambia per pensieri propri.

L’ultimo scenario è particolarmente insidioso per gli agenti AI che eseguono compiti in autonomia. Un’istruzione ostile nascosta in un blocco opaco può dirottare le loro azioni senza lasciare traccia visibile nella conversazione.

Sul fronte della distillazione emerge un dettaglio inquietante. Quando i ricercatori hanno inserito anche solo l’uno per cento di ragionamento decodificato in un modello aperto come Kimi-K3, lo stile delle sue risposte si è spostato in modo netto verso quello del modello di partenza. Un indizio che questo tipo di estrazione potrebbe già essere avvenuto in passato.

Chiavi API e password trovate nei log pubblici

La parte più concreta dello studio riguarda la privacy. I ricercatori hanno raccolto 315.320 blocchi di ragionamento da repository pubblici su GitHub e Hugging Face, ricavati da 6.708 sessioni di agenti condivise online.

Decodificandoli, hanno recuperato 367 elementi di dati personali e 182 credenziali, tra cui 62 chiavi API, 33 password e diverse chiavi private. Materiale più che sufficiente per compromettere account e servizi reali.

Il punto più delicato è un altro. Alcuni di questi segreti comparivano soltanto nel ragionamento nascosto e non nel testo visibile della conversazione. Significa che puoi ripulire con cura la chat che pubblichi, convinto di aver rimosso ogni dato sensibile, e lasciare comunque le tue password dentro un blocco cifrato che chiunque può replicare.

È un rischio di conformità enorme, perché oggi chi usa questi servizi non ha alcun modo di decifrare o ripulire in autonomia quei blocchi.

La risposta dei laboratori e come proteggerti

La vicenda ha una preistoria. A maggio 2026 il crittografo Matthew Green, della Johns Hopkins University, aveva già notato che i blocchi di ragionamento cifrato potevano essere replicati fuori dal loro contesto, e lo aveva segnalato a OpenAI e Anthropic tramite i programmi di bug bounty.

Le risposte, all’epoca, furono tiepide. Secondo il suo racconto OpenAI giudicò la segnalazione non riproducibile, mentre Anthropic disse di non vedere implicazioni di sicurezza nel fenomeno. Il nuovo studio trasforma quello spunto in un metodo di estrazione su larga scala.

Dopo la divulgazione responsabile, i laboratori hanno iniziato a correggere. Gli autori affermano che l’attacco principale non è più riproducibile ad agosto 2026, anche se si tratta di una loro dichiarazione e non di una conferma ufficiale. Al momento nessuna delle tre aziende ha riconosciuto pubblicamente la falla.

Anthropic, per esempio, ha aggiornato la documentazione e ora chiarisce che i blocchi di pensiero sono legati al modello che li ha prodotti e vanno rimossi quando si cambia modello. È il segnale che il tema della trasparenza e delle regole resta caldo, come mostrano anche le mosse recenti sulla filigrana invisibile introdotta da Anthropic per l’AI Act.

Per mettere davvero in sicurezza il sistema, i ricercatori propongono soluzioni più radicali. La più solida è conservare le tracce di ragionamento sui server del fornitore, restituendo al client solo un identificativo di sessione. In alternativa, ogni blocco andrebbe legato in modo crittografico a un utente, una sessione e un modello specifici, così che un blocco di Opus per un utente non possa essere letto da Haiku per un altro.

Nel frattempo, se sviluppi applicazioni basate su questi modelli, la regola pratica è semplice. Rimuovi i blocchi di ragionamento e i campi opachi prima di condividere qualsiasi traccia, ed evita di pubblicare i log grezzi delle API anche quando il testo visibile ti sembra già ripulito.

Questa ricerca ci ricorda una verità scomoda. Nella corsa a rendere l’AI più potente ed efficiente, le scelte fatte per proteggere la proprietà intellettuale possono creare nuove superfici di attacco. La sicurezza dei modelli non è un dettaglio accessorio, ma parte integrante della loro affidabilità.

Se usi ChatGPT, Claude o Gemini per lavoro, presta attenzione a come gestisci e condividi le tue sessioni, e continua a seguire i nostri approfondimenti per capire come evolvono i rischi e le difese dell’intelligenza artificiale. Tu ti fideresti a pubblicare i log dei tuoi agenti AI? Resta aggiornato con noi.