Un paper publicado el 10 de agosto expone una falla de arquitectura que permite extraer, en texto plano, el razonamiento interno cifrado de los modelos de OpenAI, Anthropic y Google. El trabajo, "Stealing Reasoning Traces from Proprietary LLM APIs" (arXiv:2608.09867), firmado por Alexander Panfilov, David Schmotz, Ilia Shumailov, Luca Beurer-Kellner, Joachim Schaeffer, Ameya Prabhu, Jonas Geiping y Maksym Andriushchenko, describe cómo un modelo débil de la misma familia puede decodificar la cadena de razonamiento (chain-of-thought, los pasos intermedios que un modelo genera antes de dar su respuesta final) de un modelo mucho más capaz.

El diseño que hace posible el ataque es simple. En vez de guardar esa cadena de razonamiento del lado del servidor, los tres proveedores se la devuelven al cliente como bloques de texto cifrado, que la aplicación reenvía en cada pedido siguiente para mantener el contexto de la conversación. El paper encontró que esos bloques son intercambiables: uno cifrado por un modelo se acepta también en otro modelo de la misma familia. Los autores explotaron esa compatibilidad para inyectar el bloque de un modelo fuerte en uno débil y con menos resguardos (Claude Haiku 4.5 para trazas de Claude, GPT-5.6 Luna para trazas de GPT, Gemini Robotics ER-1.6 para trazas de Gemini) y forzarlo a devolver el contenido en texto plano, sin tocar directamente al modelo fuerte.

Sobre 315.320 bloques de razonamiento tomados de repositorios públicos, los autores recuperaron 367 artefactos de información personal y 182 credenciales: contraseñas, claves de API y tokens de acceso.

El paper describe cuatro usos distintos de la misma falla. El primero evade los mecanismos anti-destilación (las barreras que un laboratorio pone para que un rival no copie el comportamiento de su modelo entrenando el propio con sus respuestas) y permite extraer el razonamiento de un modelo de la competencia. El segundo es la extracción de datos privados a la escala citada arriba, a partir de logs de sesión que desarrolladores publican sin saber qué guardan esos bloques cifrados. El tercero expone contenido riesgoso que quedó adentro del razonamiento aunque la respuesta final visible del modelo rechace el pedido con normalidad. El cuarto habilita inyecciones de instrucciones invisibles, escondidas dentro de un bloque cifrado, para contaminar flujos de trabajo de agentes que corren en público.

Los autores avisaron antes de publicar tanto a los tres proveedores como a Microsoft y a Hugging Face, y el paper incluye propuestas de mitigación criptográfica y de diseño de sistema para asegurar el razonamiento del lado del cliente. Según su propia declaración de reproducibilidad, el ataque de extracción principal ya no se puede repetir desde agosto. Lo que ninguno de los tres proveedores hizo, al momento de esta nota, es confirmar en público una corrección o reconocer la falla: la divulgación responsable llegó antes que cualquier respuesta pública de OpenAI, Anthropic o Google.