Beveiligingslek onthult geheime 'gedachtes' van AI-chatbots als Claude en GPT

Grote taalmodellen als Claude, GPT en Gemini denken tegenwoordig in stappen voordat ze een antwoord geven. Die tussenstappen, het zogeheten redeneermodel-proces, worden door de aanbieders verborgen gehouden voor gebruikers. In plaats van de ruwe tekst te laten zien, sturen OpenAI, Anthropic en Google een versleuteld blokje data terug dat de client bij het vervolg van het gesprek weer moet meesturen. Onderzoekers van het project Stolen Thoughts ontdekten dat dit versleutelde blok zich laat losmaken van zijn oorspronkelijke context. Stuur je het naar een zwakker, gejailbreakt model van dezelfde aanbieder, dan geeft dat model de originele, geheime redenering woord voor woord terug.

Hoe het lek werkt

Deze aanpak noemen de onderzoekers gedachte-injectie: je speelt een vastgelegd, versleuteld redeneerblok van een sterk model terug in een nieuwe sessie met een zwakker model, waardoor de inhoud alsnog vrijkomt. De onderzoekers namen een versleuteld 'thinking'-blok dat door een krachtig model als Claude Opus was gegenereerd, en speelden dat terug aan een goedkoper, makkelijker te misleiden model uit dezelfde modelfamilie, zoals Claude Haiku. Met een simpele jailbreak-instructie - vraag het model gewoon om de bijgevoegde redenering letterlijk te transcriberen - gaf het zwakkere model alsnog de volledige, oorspronkelijk verborgen tekst terug. Hoe langer de verborgen redenering volgens de API-statistieken duurde, hoe meer tekst er ook echt uit de decodering rolde: een sterke aanwijzing dat de methode daadwerkelijk de originele inhoud reconstrueert en geen onzin genereert. De onderzoekers testten de aanpak succesvol bij frontier-modellen van alle drie de grote Amerikaanse AI-bedrijven.

Duizenden wachtwoorden en sleutels blootgelegd

Om te laten zien hoe serieus dit is, doorzochten de onderzoekers 6.708 openbaar beschikbare 'agent-logs' op GitHub en Hugging Face: verslagen van AI-agents die taken uitvoerden en daarbij nog die versleutelde redeneerblokken bevatten. Door hun decodeermethode toe te passen, wisten ze 315.320 verborgen redeneerblokken alsnog leesbaar te maken. In echte, niet-experimentele gebruikerssessies vonden ze 704 privacygevoelige items: 62 API-sleutels, 33 wachtwoorden, 24 toegangstokens en 30 privé-e-mailadressen, plus namen, adressen en interne bedrijfs-URL's. Opvallend: 64 van die gevoelige gegevens stonden uitsluitend in de verborgen redenering en nergens in de zichtbare chat. Zonder deze decodeertechniek waren ze dus nooit blootgesteld geweest. Dit type data-exfiltratie ontstaat niet doordat een hacker inbreekt, maar doordat het model tijdens het 'nadenken' onbewust gevoelige informatie uit de invoer herhaalt, terwijl gebruikers dat deel van het gesprek als onzichtbaar en dus veilig beschouwden. Voor bedrijven die AI-agents inzetten met toegang tot wachtwoorden of interne systemen is dit een wake-up call: alles wat een large language model verwerkt, kan potentieel weer naar boven komen, ook via kanalen die als afgeschermd werden verkocht. AI-aanbieders zullen hun encryptie en het hergebruik van deze blokken moeten aanscherpen om dit lek te dichten.