Community Trust ScoreVérifié
Des chercheurs en sécurité ont découvert une faille majeure dans la manière dont les grandes entreprises d’IA gèrent le chiffrement du raisonnement. Le résultat : 62 clés API actives et 33 mots de passe extraits directement de journaux de session partagés publiquement sur Internet.
Le document a été publié le 10 août. Une équipe composée de MATS Research, de l’Institut ELLIS Tübingen, de l’Institut Max Planck pour les systèmes intelligents et de la société de sécurité Snyk l’a rédigé. Leurs cibles étaient les modèles de raisonnement d’Anthropic, OpenAI et Google — spécifiquement le processus de chaîne de pensée interne que ces entreprises chiffrent pour protéger à la fois la propriété intellectuelle et les données des utilisateurs. Le chiffrement était censé être le mur de protection. Il ne l’était pas.
Le problème central est presque embarrassant de simplicité.
Une clé, chaque modèle, un énorme problème
Ces entreprises utilisent une seule clé de chiffrement sur l’ensemble de leur plateforme. Chaque modèle, chaque session. Cela signifie qu’un bloc de raisonnement chiffré produit par un modèle puissant — disons, le Claude Opus 4.8 d’Anthropic — peut être transmis à un modèle plus faible de la même famille, comme le Claude Haiku 4.5, et y être décodé. Aucun piratage direct nécessaire. Aucune autorisation spéciale. Juste un accès API standard et la faille architecturale fait le reste.
Les chercheurs ne se sont pas contentés de théoriser. Ils l’ont exécuté. Ils ont extrait des blocs de raisonnement à partir de transcriptions d’agents d’IA partagées publiquement sur GitHub et Hugging Face. Le décompte final : 315 320 blocs de raisonnement décodés à partir de 6 708 transcriptions. À l’intérieur de ces blocs, enfouis là où personne n’était censé regarder, se trouvaient des identifiants, des données privées et des schémas de raisonnement propriétaires qui n’étaient jamais censés quitter la couche chiffrée.
Soixante-deux clés API actives. Trente-trois mots de passe. Exposés au grand jour.
Et la fuite d’identifiants est probablement la partie la moins effrayante.
Ce que la faille permet réellement
Le vol d’identifiants fait les gros titres, mais les chercheurs ont décrit un tableau de menaces plus large. L’exploit peut être utilisé pour voler des schémas de raisonnement propriétaires — la logique décisionnelle réelle que les entreprises d’IA développent avec d’énormes ressources. Des modèles plus petits peuvent étudier ces sorties décodées et apprendre à les imiter, obtenant essentiellement un raccourci vers un raisonnement sophistiqué sans le construire de zéro. C’est une menace concurrentielle directe pour toute entreprise dont le processus de raisonnement a une valeur commerciale.
Ensuite, il y a l’injection de prompt invisible. Des instructions malveillantes peuvent être intégrées dans des blocs de raisonnement chiffrés d’une manière que les outils de surveillance de sécurité standard ne détecteront pas. Le modèle d’IA est manipulé. Personne ne le voit se produire. C’est une catégorie de risque entièrement différente — il ne s’agit pas de voler des données, mais de contrôler le comportement sans détection.
Les chercheurs ont également signalé quelque chose de spécifique concernant la facturation. Les comptes de jetons de raisonnement correspondaient aux jetons de réflexion API facturés 1:1 pour la plupart des prompts. C’est une constatation assez précise. Cela signifie que l’exploit ne touche pas un cas limite ou un coin obscur du système — il fonctionne proprement contre l’infrastructure de facturation principale, ce qui vous indique à quel point l’architecture à clé unique est profondément intégrée.
Les développeurs aggravent l’exposition sans le savoir. Les journaux de session sont constamment postés sur GitHub et Hugging Face — pour le débogage, pour la collaboration, pour partager du travail. La plupart des développeurs qui publient ces journaux n’ont aucune idée que des informations sensibles se trouvent à l’intérieur des blocs de raisonnement chiffrés. Ils ne peuvent pas les voir. Ils ne savent pas qu’elles sont là. Mais quelqu’un exécutant cet exploit peut les extraire directement.
Anthropic, OpenAI et Google ont tous déployé des correctifs côté serveur après que les chercheurs ont suivi les procédures de divulgation responsable. Cette partie a fonctionné comme elle le devait.
Mais voici ce qui n’a pas été corrigé.
Les correctifs sont en ligne — les journaux ne sont pas supprimés
Les 6 708 transcriptions que les chercheurs ont décodées ? Toujours accessibles publiquement. Les blocs de raisonnement à l’intérieur ? Toujours décodés. Les correctifs empêchent de nouvelles exploitations à l’avenir, mais ils ne peuvent pas revenir en arrière et effacer ce qui est déjà là. Ces journaux vivent dans des dépôts publics, et les données qu’ils contiennent restent disponibles pour quiconque est capable de mener la même attaque.
Aucune des trois entreprises — Anthropic, OpenAI, Google — n’a dit ce qu’elles prévoyaient de faire, le cas échéant, concernant les transcriptions de session déjà exposées. Aucune déclaration publique sur les suppressions, aucun effort coordonné pour signaler les dépôts affectés, aucune directive aux développeurs sur ce qu’il faut vérifier. On ne sait pas si quelque chose est en préparation.
Le problème architectural identifié par le document n’est pas un bug que quelqu’un a oublié de corriger. C’est un choix de conception — utiliser une clé de chiffrement unique pour toutes les sessions et modèles au sein de l’écosystème d’un fournisseur. Ce choix a rendu toute la chose possible. Le corriger à l’avenir est une chose. Les 315 320 blocs de raisonnement déjà décodés qui se trouvent dans des dépôts publics sont un problème distinct, et pour l’instant, il n’y a pas de réponse pour eux.
Le document a été soumis le 10 août.
Questions Fréquentes
Quelle faille de chiffrement les chercheurs ont-ils trouvée dans les modèles de raisonnement d’IA ?
Les chercheurs ont découvert qu’Anthropic, OpenAI et Google utilisent une seule clé de chiffrement pour tous les modèles et sessions, permettant aux blocs de raisonnement chiffrés de modèles puissants comme le Claude Opus 4.8 d’être décodés par des modèles plus faibles comme le Claude Haiku 4.5 en utilisant uniquement un accès API standard.
Combien d’identifiants ont été exposés dans l’exploit de raisonnement d’IA ?
Les chercheurs ont décodé 315 320 blocs de raisonnement à partir de 6 708 transcriptions partagées publiquement, découvrant 62 clés API actives et 33 mots de passe enfouis dans les données chiffrées.
