El fallo que dejaba leer lo que "piensa" la IA: 62 claves de API y 33 contraseñas recuperadas de bloques de razonamiento cifrados

Imagen ilustrativa: Unsplash

Los modelos de razonamiento no te enseñan todo lo que piensan. Cuando usas la API de OpenAI, Anthropic o Google, parte del proceso interno viaja en bloques cifrados que el desarrollador recibe pero no puede leer. La idea era proteger la propiedad intelectual del proveedor. Un grupo de investigadores acaba de demostrar que esos bloques se podían descifrar, y lo que había dentro no era solo el razonamiento del modelo: eran contraseñas, claves de API y datos personales de usuarios reales.

Qué se descubrió exactamente

El trabajo se publicó como preprint el 10 de agosto de 2026 bajo el título Stealing Reasoning Traces from Proprietary LLM APIs, y parte de un hallazgo previo del criptógrafo Matthew Green, de la Universidad Johns Hopkins, que a finales de mayo descubrió que esos bloques se podían reproducir entre sesiones y entre usuarios distintos.

El fallo tenía dos caras. Por un lado, el cifrado no estaba ligado a la sesión: un bloque capturado en una conversación podía reenviarse en otra. Por otro, modelos más débiles de la misma familia podían decodificar el razonamiento oculto de los modelos más potentes, algo que rompe por completo la premisa de que ese contenido era opaco.

Las cifras

Los investigadores no atacaron sistemas privados: analizaron material que la propia gente había publicado en internet, normalmente registros de agentes compartidos en repositorios y foros.

• 6.708 trayectorias de agentes publicadas de forma pública, analizadas.
• 315.320 bloques de pensamiento descifrados.
• 704 artefactos de privacidad recuperados de sesiones de usuarios reales.
• Entre ellos: 62 claves de API, 33 contraseñas, 24 tokens de acceso y 7 claves privadas.
• 64 de esos artefactos aparecían únicamente en el razonamiento oculto, no en el texto visible. Es decir: quien compartió esos registros creía haberlos limpiado.

Ese último dato es el más importante de todo el estudio. Alguien revisó su transcripción, borró lo que se veía y la publicó tranquilo. El secreto seguía dentro, en la parte que nadie podía leer, hasta que alguien pudo.

Cuatro formas de aprovecharlo

El artículo describe cuatro vías de explotación demostradas:

1. Destilación de modelos. Con acceso al razonamiento interno se puede entrenar un modelo propio que imite el proceso de uno comercial, no solo sus respuestas.
2. Extracción de datos privados de trazas publicadas, que es de donde salen las cifras anteriores.
3. Recuperación de contenido dañino que el modelo había generado internamente y había ocultado detrás de una respuesta visible aparentemente inocua.
4. Inyección de instrucciones escondidas dentro de bloques de razonamiento opacos, que el sistema receptor procesa sin que nadie pueda inspeccionarlos.

¿Estoy en peligro ahora mismo?

Con matices, no. Los investigadores indican que el ataque principal de extracción ya no es reproducible desde agosto de 2026, y las tres compañías mitigaron el problema antes de la publicación. Tampoco hay constancia documentada de que nadie lo explotara de forma maliciosa.

Ahora los matices, que importan. Ninguno de los tres proveedores ha confirmado públicamente los detalles de su corrección. Y sobre todo: los investigadores midieron lo que la gente había publicado, no lo que hay en registros privados. Cualquier traza que se compartiera antes de agosto de 2026 y siga accesible en un repositorio público sigue conteniendo lo que contuviera entonces. El parche impide nuevas extracciones; no borra lo ya expuesto.

Qué hacer si trabajas con estas APIs

• Elimina los bloques de razonamiento antes de compartir cualquier traza. Los campos de razonamiento opaco no deben salir de tu sistema. Anthropic ya recomienda expresamente retirar los bloques de pensamiento al cambiar de modelo.
• No subas transcripciones en crudo a repositorios, ni siquiera con el texto visible saneado. El ejemplo de los 64 artefactos ocultos existe precisamente por eso.
• Revisa lo que ya publicaste. Busca en tus repositorios registros de agentes, capturas de depuración y ejemplos de issues que incluyan respuestas completas de la API.
• Rota credenciales por precaución si en algún momento compartiste trazas de sesiones donde se manejaron claves, tokens o contraseñas.
• Trata las trazas como datos sensibles en tu política interna: mismo nivel que los registros de producción, no como material de depuración desechable.

La lección de fondo

El incidente deja una idea incómoda pero útil: opaco no significa seguro. Un bloque que no puedes leer no es un bloque que nadie pueda leer, y almacenar información sensible detrás de una capa que el propio usuario no puede auditar traslada el riesgo sin eliminarlo. Para quien construye agentes, la conclusión práctica es sencilla: todo lo que entra en el contexto de un modelo, visible o no, hay que tratarlo como si algún día fuera a ser público.

---

Fuentes: Stealing Reasoning Traces from Proprietary LLM APIs (preprint), The Hacker News, Implicator.ai, Cybersecurity News y Tech Times.