主要AI企業のAPI仕様に脆弱性、暗号化された「推論プロセス」や秘密情報が下位モデル経由で復元可能だったことが判明
要点
- OpenAI、Anthropic、Googleが提供するAIモデルの推論APIにおいて、暗号化された推論データを第三者が復元できる仕様上の欠陥が報告された。
- 暗号化された推論オブジェクトを同じベンダーの下位モデルに処理させることで、内部の思考プロセスや含まれる機密情報を出力させることが可能だった。
- 公開されたエージェントログの調査では、APIキーやパスワードなど704件のプライバシー情報が復元され、その一部は可視ログには存在しない隠蔽データだった。
- 研究チームからの報告を受けた各社は対策を講じており、2026年8月時点で主要な抽出手法は再現不能となっている。
- 暗号そのものが解読されたわけではなく、APIがセッションやユーザーをまたいで推論オブジェクトを受け入れていた設計上の仕様が原因とされる。
リード文
OpenAI、Anthropic、GoogleのAPIにおいて、AIモデルが生成する非公開の思考プロセス（推論オブジェクト）から機密データや内部推論を復元できる欠陥が存在していたことが明らかになった。研究チームが公開した論文「Stealing Reasoning Traces from Proprietary LLM APIs」によって報告されたもので、各社への事前開示を経てすでに緩和策が適用されている。暗号自体が破られたわけではないものの、同一ファミリーの下位モデルを利用して暗号化データを読み出せる仕様の危険性が浮き彫りとなった。
発見された問題の概要と仕組み
近年のAIモデルでは、回答を導き出すまでの論理展開を行う「Extended Thinking（拡張推論）」などの機能が提供されている。ステートレス（状態を保持しない）なAPI通信で会話履歴を管理する際、プロバイダーは内部の思考プロセスを直接平文で返すのではなく、暗号化されたオブジェクトとしてクライアントに受け渡す設計を採用していた。
OpenAIでは暗号化された推論アイテム、Anthropicでは推論全体を含む暗号化シグネチャ、Googleでは暗号化された思考シグネチャ（Thought Signatures）がこれに該当する。これらは、ユーザー側に思考プロセスの平文を開示することなく、次のAPI呼び出し時に会話の文脈として引き継ぐための仕組みである。
しかし研究チームの検証により、これらの暗号化オブジェクトがセッションやユーザーアカウント、さらにはモデルの枠を超えて再利用（リプレイ）可能であることが判明した。暗号鍵を入手して暗号を直接破るのではなく、同一プロバイダーファミリーの安価または小規模なモデルに対し、暗号化オブジェクトを解読・書き起こすようプロンプト（指示文）を与えることで、上位モデルが処理した思考内容を「ファジーデコーダー（曖昧な復元器）」として出力させることができたという。
検証では、以下の組み合わせで下位モデルによる思考内容の転記が可能だったと報告されている。
- Claudeの推論ログ：Claude Haiku 4.5
- GPTの推論ログ：GPT-5.6 Luna
- Geminiの推論ログ：Gemini Robotics ER-1.6
実証された4つの悪用シナリオと検証結果
論文を執筆した研究チームは、この仕様の脆弱性を利用した4つの悪用ルートを実証した。
- 推論プロセスの窃取（モデル蒸留）：独自開発された高度なモデルの思考ステップを抽出し、他社モデルの学習や模倣に利用する。
- 公開ログからの個人情報・機密情報の抽出：他のユーザーがウェブ上などに公開したエージェントの実行トレースから非公開データを復元する。
- 安全フィルターの回避：表向きの可視出力では無害化されている一方、隠された推論ブロック内に残る有害なコンテンツを読み出す。
- 不透明な推論ブロックへのプロンプト注入：暗号化された思考ブロック内部に悪意ある指示を埋め込み、見かけ上は無害なまま別のタスクへ注入する。
特に公開されたログからの機密情報抽出に関して、研究チームは6,708件の公開エージェント実行ログ（トラジェクトリ）を調査した。その結果、31万5,320個の思考ブロックを復元することに成功した。ベンチマークテストのデータを除外した実際のユーザーセッションからは、合計704件の個別のプライバシー情報が特定された。
内訳には、62件のAPIキー、33件のパスワード、24件のアクセストークン、7件の秘密鍵が含まれていた。さらに、これら704件のうち64件は、ユーザーに見える通常の会話ログには一切表示されておらず、隠蔽された思考ブロックの中にのみ存在していた。そのため、可視テキストを慎重にマスキング（サニタイズ）して公開していた開発者であっても、暗号化ブロックをそのままログに残していた場合、第三者によって秘密情報が復元される状態になっていた。
また、不透明な推論ブロックを用いたプロンプトインジェクションの実証実験では、攻撃者が作成した悪意ある指示入りの暗号化ブロックを別の無関係なタスクに渡すことで、可視テキストに不審な指示を表示させることなく、モデルに外部へのデータ送信アクションを実行させることに成功した。
攻撃の適用範囲とベンダーの対応
今回の手法は、任意のプライベートなチャットセッションに直接アクセスできるものではない。攻撃を成立させるには、開発者によってウェブ上に公開されたログなどから完全な暗号化推論ブロックを入手し、かつ同一プロバイダーの互換モデルに対するAPIアクセス権を持っている必要があった。
影響を受ける範囲は、暗号化オブジェクトを含んだ未加工のAPIログを公開していた開発者などに限定される。また、研究チームは各モデルの思考平文の正解データ（グラウンドトゥルース）を保持していないため、再構成されたすべてのテキストが完全な複製であるとは保証できないとしている。ただし、復元されたテキスト量はプロバイダーが報告する推論トークン数と概ね一致しており、品質検証でも高い整合性が確認された。
研究チームは影響を受けるモデルプロバイダー各社に加え、MicrosoftやHugging Faceへ事前に脆弱性を報告した。各社による緩和策の導入後、これらの実証攻撃は機能しなくなったとされている。2026年8月時点の再現性確認声明において、主要な抽出攻撃はすでに再現できない状態であることが示されている。また、現時点でこの問題が悪用された事例は確認されていない。
現在の仕様と開発者への注意点
現行のベンダー公式ドキュメントによると、暗号化された推論オブジェクト自体の利用は継続されているものの、内部処理の仕様は改修されている。OpenAIはステートレスな履歴管理において暗号化推論アイテムの受け渡しを案内している一方、Googleはセッション内でモデルが切り替わる際の思考の互換性をバックエンド側で管理する方式をとっている。
研究チームは開発者に対し、公開するエージェントログや実行履歴から不透明な推論フィールドおよび推論ブロックを完全に削除し、たとえ可視テキストをマスキングしていたとしても、未加工のAPI送受信データをそのまま共有・コミットしないよう呼びかけている。