Un fallo descubierto en OpenAI, Anthropic y Google permitía a un modelo débil leer el razonamiento oculto de uno más potente
Investigadores de seguridad demostraron que era posible reutilizar los bloques de razonamiento cifrado que las tres compañías transportan entre llamadas a su API para extraer claves de acceso y contraseñas de registros de sesión.
Una función pensada para ahorrar cómputo, convertida en una vía de fuga
Investigadores de seguridad revelaron una vulnerabilidad que afectaba de forma simultánea a las API de razonamiento de OpenAI, Anthropic y Google, permitiendo recuperar el contenido de bloques de razonamiento interno que se suponían cifrados y ocultos, incluidos fragmentos de registros de sesión con claves de acceso y contraseñas. El origen del problema está en un diseño pensado inicialmente para preservar el razonamiento de un modelo entre distintas llamadas a la API cuando una aplicación gestiona el historial de conversación de forma manual: OpenAI puede devolver elementos de razonamiento cifrados que la aplicación reproduce más tarde, Anthropic transporta el razonamiento completo dentro de una firma cifrada, y Google emplea lo que denomina firmas de pensamiento cifradas.
El fallo permitía que un bloque de razonamiento creado en una sesión se reprodujera en otra sesión distinta y, durante las pruebas de los investigadores, incluso se entregara a un modelo más débil de la misma familia del proveedor, logrando que este revelara el contenido oculto que en teoría no debía poder interpretar. Los investigadores comunicaron el hallazgo a los proveedores afectados y a otras dos compañías indirectamente implicadas, Microsoft y Hugging Face.
Un ataque ya neutralizado, sin evidencia de explotación real
Según la declaración de reproducibilidad de los propios investigadores, el principal ataque de extracción demostrado ya no funciona a partir de agosto de 2026, tras las medidas de mitigación aplicadas por los proveedores afectados. El informe no documenta ningún caso conocido de explotación maliciosa del fallo fuera del entorno controlado de la investigación, lo que sitúa el episodio como un hallazgo de seguridad responsable y corregido a tiempo, y no como un incidente de fuga de datos ya consumado.
Una recomendación práctica que queda como legado del hallazgo
Más allá de la corrección técnica ya aplicada por los proveedores, los investigadores recomiendan a los desarrolladores que trabajan con estas API una práctica de higiene de datos concreta: eliminar los bloques de razonamiento y los campos de razonamiento opacos de cualquier traza de conversación que se comparta o se registre, y evitar por completo subir transcripciones brutas de la API a repositorios de código, incluso cuando el texto visible de la conversación ya haya sido depurado de información sensible. El episodio se suma a la creciente atención que la industria presta a la seguridad de las capas de razonamiento interno de los modelos, un componente cada vez más central en el funcionamiento de los sistemas de IA agéntica más avanzados.
