Forscher knacken die verschlüsselten Gedanken von ChatGPT, Claude und Gemini

Wenn ein KI-Modell wie GPT-5.6, Claude Opus 4.8 oder Gemini vor der eigentlichen Antwort erst einmal „nachdenkt“, verschlüsseln die Anbieter diesen internen Denkprozess, damit niemand ihn mitlesen kann. Ein Forscherteam um Alexander Panfilov hat diesen Schutz nun ausgehebelt, wie ein am 11. August 2026 veröffentlichtes Paper zeigt. Die Forscher lasen nicht nur mit, sie fanden in echten, öffentlich zugänglichen Sitzungsprotokollen auch Dutzende Passwörter und API-Schlüssel, die ausschließlich in diesen eigentlich verschlossenen Denkprotokollen steckten.

Das Wichtigste in Kürze

• Forscher um Alexander Panfilov extrahierten verschlüsselte Reasoning-Traces aus den APIs von OpenAI, Anthropic und Google.
• Der Grund: Alle Modelle einer Produktfamilie nutzen denselben globalen Verschlüsselungsschlüssel statt eines an Nutzer oder Sitzung gebundenen.
• Ein Scan von rund 6.700 öffentlichen Agenten-Protokollen förderte 62 API-Schlüssel, 33 Passwörter und weitere private Daten zutage.
• Ein Teil dieser sensiblen Daten stand nur im internen Denkprotokoll, nie in der eigentlichen, sichtbaren Antwort.
• OpenAI, Anthropic und Google bestätigten den Befund und haben serverseitige Schutzmaßnahmen nachgerüstet.

Wie der Angriff funktioniert

Reasoning-Modelle wie die o-Serie von OpenAI, Claude Opus oder Gemini legen ihren Denkweg in sogenannten Reasoning-Tokens ab, bevor sie eine Antwort formulieren. Aus Wettbewerbsgründen zeigen die Anbieter Nutzern diesen Rohtext meist nicht direkt, sondern nur eine verschlüsselte, base64-codierte Zusammenfassung oder gar nichts. Panfilovs Team fand heraus, dass diese Verschlüsselung nicht an ein einzelnes Nutzerkonto, eine Sitzung oder ein bestimmtes Modell gebunden ist, sondern anbieterweit denselben Schlüssel verwendet. Damit lässt sich ein verschlüsselter Denkblock eines starken Modells wie Claude Opus 4.8 in ein schwächeres, per Jailbreak manipuliertes Geschwistermodell wie Claude Haiku 4.5 einschleusen – das kleinere Modell decodiert und transkribiert den fremden Denkprozess dann wörtlich. Wie kabel-salat.info bei der jüngsten Schwäche eines NIST-Kryptografie-Kandidaten berichtete, zeigt sich immer wieder: Verschlüsselung ist nur so stark wie ihr Schlüsselmanagement, und ein global geteilter Schlüssel ist architektonisch das Gegenteil von sicher.

Was in den Denkprotokollen steckte

Um das Ausmaß zu zeigen, werteten die Forscher rund 6.700 öffentlich zugängliche Agenten-Transkripte aus Forschungsdatensätzen aus und rekonstruierten daraus mehr als 300.000 einzelne Reasoning-Blöcke. Das Ergebnis: 62 aktive API-Schlüssel, 33 Passwörter und Dutzende weitere Zugangsdaten sowie persönliche Informationen wie E-Mail-Adressen. Besonders brisant ist, dass ein Teil dieser Daten ausschließlich im internen, für Menschen nicht vorgesehenen Denkprozess auftauchte, nicht aber in der sichtbaren Antwort des Modells. Nutzer, die glaubten, ihre KI-Assistenten hätten sensible Eingaben verworfen oder nie protokolliert, irrten sich. Die Dekodierung von 10.000 solcher Traces kostete die Forscher nach eigenen Angaben nur rund 720 US-Dollar, ein Aufwand, der für einen gezielten Angriff kaum ins Gewicht fällt.

Mehr als nur ein Datenschutzproblem

Neben dem Risiko für einzelne Nutzer sehen die Forscher eine zweite Konsequenz, die vor allem die Anbieter selbst treffen dürfte: Wer den rohen Denkprozess eines Flaggschiff-Modells vollständig auslesen kann, kann ihn theoretisch auch nutzen, um ein eigenes, günstigeres Modell auf dieser Grundlage zu trainieren, eine sogenannte Distillation-Attacke. Genau das wollten OpenAI, Anthropic und Google mit Verschlüsselung und Zusammenfassungen eigentlich verhindern, denn die Fähigkeit, in nachvollziehbaren Schritten zu „denken“, zählt zu den teuersten und am besten gehüteten Eigenschaften eines Modells. Zusätzlich fiel den Forschern auf, dass ein Teil der ausgelesenen Denkprotokolle stellenweise sprunghaft oder kaum nachvollziehbar war, ein Hinweis darauf, dass die intern erzeugten Gedankengänge nicht durchgehend der glatten, kohärenten Argumentation entsprechen, die Nutzer den Modellen unterstellen, wenn sie nur die aufbereitete Zusammenfassung zu lesen bekommen.

Reaktion der Anbieter und Einordnung

Nach der verantwortungsvollen Offenlegung bestätigten OpenAI, Anthropic und Google die Ergebnisse und rüsteten serverseitige Schutzmaßnahmen nach; laut den Forschern ließen sich die gezeigten Angriffe danach nicht mehr reproduzieren. Anfangs, so berichtet Panfilov, hätten die Anbieter noch keine Sicherheitsimplikationen erkannt, ein Muster, das aus früheren Offenlegungen von Schwachstellen in KI-Systemen bekannt ist. Anthropic hatte erst wenige Tage zuvor angekündigt, generierte Texte und Bilder künftig mit Wasserzeichen zu versehen, wie kabel-salat.info berichtete. Der Fall zeigt ein grundsätzliches Problem: Je mehr KI-Systeme als autonome Agenten mit Zugriff auf Zugangsdaten, Terminals und andere Dienste eingesetzt werden, desto mehr sensible Informationen landen in internen Verarbeitungsschritten, die Nutzer nie zu sehen bekommen und deren Absicherung sie nicht selbst prüfen können.

Fazit

Die Studie belegt, dass „unsichtbar“ nicht gleich „sicher“ bedeutet. Anbieter haben interne Denkprozesse verschlüsselt, um Konkurrenten am Abschauen ihrer Modellarchitektur zu hindern, nicht primär um Nutzerdaten zu schützen, und genau diese Lücke im Bedrohungsmodell wurde zum Einfallstor. Für Unternehmen, die KI-Agenten mit echten Zugangsdaten ausstatten, ist das ein Weckruf: Wer Passwörter oder Schlüssel in einen Chat oder Agenten-Prompt tippt, sollte davon ausgehen, dass diese Information irgendwo verarbeitet, zwischengespeichert und im schlimmsten Fall auslesbar ist, ganz gleich, wie gut das sichtbare Interface wirkt. Bis Anbieter Verschlüsselung konsequent an einzelne Sitzungen binden, bleibt die sicherste Regel dieselbe wie vor der Studie: Zugangsdaten gehören nicht in einen Chat-Prompt, egal wie vertrauenswürdig die Oberfläche wirkt.