Onderzoekers lezen verborgen AI-redeneringen uit en vinden 182 credentials in publieke logs

De verborgen redeneerstappen van Claude, GPT en Gemini zijn uit te lezen via de API's van de aanbieders zelf, ontdekten onderzoekers van de Universiteit Tübingen, het Max Planck Instituut en beveiliger Snyk, die in publieke logs 182 credentials terugvonden.

Dat raakt elk bedrijf waar ontwikkelaars of AI-agents hun sessielogs delen. Sinds OpenAI, Anthropic en Google de leesbare denkstap uit hun API's haalden, sturen ze die stap terug als een versleuteld blok dat je eigen software bij elke volgende vraag meestuurt. Dat blok reist mee als iemand zo'n transcript in een repository commit of als dataset publiceert. Je kunt het niet lezen, dus ook niet opschonen, terwijl er wachtwoorden en API-sleutels in kunnen zitten die je uit de zichtbare tekst allang had weggehaald.

Een zwakker model doet het ontcijferwerk

De zwakte zit in de architectuur, niet in de encryptie. Om geen denksporen op de server te hoeven bewaren, geven de aanbieders het versleutelde blok aan de klant mee. Die blokken blijken volledig uitwisselbaar tussen sessies, tussen gebruikers en tussen modellen van dezelfde aanbieder. Wie een blok van Claude Opus 4.8 opvangt en het in een verzoek aan het veel goedkopere Haiku 4.5 plakt met de opdracht het letterlijk over te typen, krijgt de verborgen redenering in leesbare tekst terug.

Het grote model weigert dat, het kleine niet. Zwakkere modellen in dezelfde familie zijn geoptimaliseerd op snelheid en prijs en kregen minder training om hun denkstap af te schermen, terwijl ze wel dezelfde sleutel kunnen gebruiken. Zo hoeft een aanvaller het best beveiligde model nooit aan te vallen. De onderzoekers demonstreerden het bij Anthropic, OpenAI en Google. The Decoder tekent aan dat de ontcijferde sporen nagenoeg exact overeenkomen met het aantal denk-tokens dat de API zelf in rekening brengt, wat erop wijst dat er weinig verloren gaat.

6.708 publieke sessies, 62 API-sleutels

De cijfers maken het concreet. De onderzoekers verzamelden 6.708 openbaar gedeelde agent-sessies van GitHub en Hugging Face die nog denkblokken bevatten, en reconstrueerden daaruit 315.320 redeneersporen. Daarin vonden ze 367 stukjes persoonsgegevens en 182 credentials. Uit echte gebruikerssessies kwamen 62 API-sleutels, 33 wachtwoorden en 30 privé-e-mailadressen boven water.

De pijnlijkste bevinding is niet de omvang maar de blinde vlek. Wie een transcript publiceert kan alleen de leesbare tekst anonimiseren; het versleutelde deel valt buiten elke controle, want de gebruiker heeft geen manier om het te ontsleutelen. In sommige gevallen stonden de teruggevonden gegevens niet eens in de invoer van de gebruiker, maar waren ze onzichtbaar vanuit het geheugen van het model in de redenering geglipt. Er is dan maar één veilige handeling: de denkblokken volledig uit het transcript strippen voordat je het deelt. Belandt er toch een sleutel in een repository, dan geldt de gewone regel: beschouw hem als gelekt, trek hem in en geef een nieuwe uit, want verwijderen uit de Git-geschiedenis helpt niet meer.

Het patroon is bekend. Eerder doken publiek gedeelde Claude-gesprekken op in Google, met juridische strategie van advocaten en eigen code erin. Het verschil is dat een gebruiker daar nog kon zien wat hij deelde.

Aanbieders hebben het dichtgezet, deels

De onderzoekers meldden hun bevindingen vooraf bij de drie aanbieders en bij Microsoft en Hugging Face. Daarna lukten dezelfde aanvallen niet meer; sinds augustus zijn de resultaten uit het rapport niet meer te reproduceren. Anthropic-woordvoerder Michael Aciman laat weten dat het bedrijf korte-termijnmaatregelen bouwt tegen het beschreven replay-gedrag en benadrukt dat het onderzoek geen sleutels of eigen infrastructuur raakte. Google en OpenAI wilden tegenover WIRED niet reageren.

Daarmee is het gat niet dicht. Panfilov zegt dat een deel van de redeneersporen nog steeds te achterhalen is met dezelfde methode, en dat een volledige oplossing een fundamentele verbouwing van deze API's vraagt. De onderzoekers stellen twee routes voor: sporen weer op de server bewaren en de klant alleen een verwijzing geven, of de versleutelde envelop cryptografisch vastklinken aan één gebruiker en één gesprek. Beide kosten opslag of complexiteit, en dat was precies de reden om het blok bij de klant neer te leggen.

Waar dit heen wijst

De distillatiehoek trok de meeste aandacht: het open-gewichtenmodel Kimi K3 van Moonshot AI produceert bij bepaalde vragen opvallend vergelijkbare redeneringen als Claude Opus 4.8 en GPT-5.6 Sol, terwijl DeepSeek en Inkling dat niet doen. De onderzoekers zijn daar zelf voorzichtig over en schrijven dat hun werk geen oorzakelijk verband met distillatie kan aantonen. Dat debat loopt al langer, ook nadat bleek dat Chinese militaire onderzoekers defensiesystemen trainden op output van modellen van OpenAI en Anthropic.

Voor wie AI in een bedrijfsproces gebruikt zit de kern ergens anders. Een AI-transcript is geen tekstbestand meer maar een artefact dat geheimen kan dragen die niemand in de organisatie kan inzien. Een sessielog van een codeer-agent hoort daarmee in dezelfde categorie als een databasedump: niet zomaar in een ticket, een gedeelde map of een publieke repository. Zolang het denkwerk bij de klant wordt afgeleverd in een envelop die alleen de leverancier kan openen, verschuift de bewaarplicht naar de partij die het minst kan controleren.