Forscher von MATS Research, dem Max-Planck-Institut für intelligente Systeme, dem ELLIS Institute Tübingen, Snyk und der Universität Tübingen haben untersucht, wie Anbieter die internen Reasoning-Prozesse ihrer großen Sprachmodelle schützen. Das Ergebnis ist alarmierend: Bei den drei großen KI-Anbietern Anthropic, OpenAI und Google konnten die Wissenschaftler zeigen, dass verschlüsselte Reasoning-Blöcke zwischen kompatiblen Modellen übertragen werden können.
Dabei mussten die Forscher die Verschlüsselung selbst offenbar nicht im klassischen Sinne brechen. Stattdessen nutzten sie eine architektonische Schwachstelle innerhalb der jeweiligen Modellfamilien.
Schwächeres Modell wird zum Entschlüsselungs-Orakel
Der Angriff basiert auf einem vergleichsweise einfachen Prinzip. Ein leistungsfähiges und besonders stark abgesichertes Modell erzeugt einen verschlüsselten Reasoning-Block. Dieser Block wird anschließend an ein weniger leistungsfähiges und weniger restriktives Modell desselben Anbieters übergeben.
Dieses Modell kann den verschlüsselten Inhalt offenbar entschlüsseln und die zuvor verborgenen Reasoning-Informationen als Klartext reproduzieren.
Damit muss ein Angreifer das eigentlich geschützte Frontier-Modell nicht direkt kompromittieren. Stattdessen wird ein anderes Modell innerhalb desselben Ökosystems als eine Art Entschlüsselungs-Orakel missbraucht.
„Die Forscher mussten die Verschlüsselung nicht im traditionellen Sinne brechen. Sie fanden vielmehr heraus, dass verschlüsselte Reasoning-Traces zwischen kompatiblen Modellen übertragen werden können“, erklärt Voldemaras Kadys, Head of Security bei Cybernews.
Der entscheidende Punkt: Die Sicherheitsbarriere des besser geschützten Modells lässt sich damit umgehen, indem ein schwächer abgesichertes Modell die Verarbeitung übernimmt.
Eine globale Verschlüsselung statt individueller Bindung
Als Ursache identifizieren die Forscher eine grundlegende architektonische Entscheidung. Demnach verwenden die untersuchten Anbieter offenbar einen globalen Verschlüsselungsschlüssel innerhalb einer Modellfamilie. Die verschlüsselten Reasoning-Blöcke sind dadurch nicht eindeutig an das Modell, die Sitzung oder das Benutzerkonto gebunden, das sie erzeugt hat.
Damit entsteht ein problematisches Szenario: Ein verschlüsselter Reasoning-Block, der von einem Nutzer mit einem bestimmten Modell in einer bestimmten Sitzung erzeugt wurde, kann unter Umständen von einem anderen kompatiblen Modell verarbeitet werden – möglicherweise sogar in einer anderen Sitzung und durch einen anderen Nutzer. Genau diese Trennung zwischen Verschlüsselung und Kontext wird zum Sicherheitsrisiko.
315.320 verschlüsselte Blöcke analysiert
Die Forscher beließen es nicht bei einem theoretischen Angriff. Sie untersuchten auch öffentlich verfügbare Datensätze und Repositories.
Dabei wurden 315.320 verschlüsselte Reasoning-Blöcke gesammelt und analysiert. Nach Angaben der Forscher konnten daraus unter anderem folgende sensible Informationen extrahiert werden:
Gefundene Informationen
Anzahl
Personenbezogene Informationen (PII)
367
Zugangsdaten
182
API-Schlüssel
62
Passwörter
33
Persönliche E-Mail-Adressen
30
Damit wird deutlich, dass Reasoning-Logs keineswegs als bedeutungslose technische Daten betrachtet werden sollten.
Vertrauliche Informationen können im Reasoning verborgen sein
Besonders kritisch ist, dass die internen Reasoning-Prozesse teilweise Informationen enthalten können, die in der sichtbaren Antwort des Modells gar nicht auftauchen.
Die Forscher demonstrierten Fälle, in denen die versteckten Inhalte deutlich sensibler waren als die finale Antwort. Dazu gehörten auch Informationen, deren Ausgabe das Modell in seiner sichtbaren Antwort ausdrücklich verweigert hatte. Das verändert die Risikobewertung von KI-Protokollen erheblich.
Ein Log, das für einen Entwickler oder Nutzer lediglich wie ein unverständlicher verschlüsselter Datenblock aussieht, kann tatsächlich sensible Inhalte enthalten, die sich unter bestimmten Bedingungen wiederherstellen lassen.
Verschlüsselung allein ist kein ausreichender Schutz
Für Unternehmen ergibt sich daraus eine wichtige Konsequenz. Verschlüsselte KI-Logs sollten nicht automatisch als anonym oder ungefährlich betrachtet werden. Voldemaras Kadys warnt deshalb davor, Chat- und Reasoning-Protokolle mit sensiblen Eingaben wie gewöhnliche technische Logs zu behandeln:
„Wenn Unternehmen KI mit sensiblen Eingaben oder Ausgaben einsetzen, sollten sie Chat-Logs grundsätzlich als sensible Daten behandeln – selbst wenn sie wie bedeutungslose verschlüsselte Texte aussehen.“
Denn die Verschlüsselung allein garantiert nicht zwangsläufig, dass die darin enthaltenen Informationen dauerhaft unzugänglich bleiben.
Neue Anforderungen an die Architektur von KI-Systemen
Die Untersuchung wirft damit eine grundsätzliche Frage zur Architektur moderner KI-Plattformen auf. Verschlüsselung muss nicht nur verhindern, dass Daten auf dem Transportweg oder in einem Speicher abgegriffen werden. Entscheidend ist auch, wer und welches Modell einen verschlüsselten Inhalt wieder entschlüsseln kann.
Eine stärkere Bindung von Reasoning-Daten an:
Benutzer,
Sitzung,
Modell,
Anwendung,
Berechtigungen und
Kontext
könnte verhindern, dass ein kompatibles, aber weniger geschütztes Modell als Entschlüsselungsinstanz missbraucht wird.
Gerade in Unternehmensumgebungen gewinnt dieser Aspekt an Bedeutung. KI-Systeme verarbeiten zunehmend Quellcode, interne Dokumente, Zugangsdaten und geschäftskritische Informationen. Werden daraus Reasoning- oder Audit-Logs erzeugt, müssen diese Informationen entsprechend geschützt und verwaltet werden.
Fazit: Das eigentliche Problem liegt hinter der sichtbaren KI-Antwort
Die Untersuchung zeigt eine neue Dimension der KI-Sicherheit. Nicht nur die sichtbare Antwort eines Modells kann sensible Informationen enthalten. Auch die dahinterliegenden Reasoning-Daten können zu einem attraktiven Angriffsziel werden.
Dass sich ein schwächeres Modell unter bestimmten Voraussetzungen als Entschlüsselungsinstanz für Daten eines stärker abgesicherten Modells einsetzen lässt, zeigt zudem die Risiken zunehmend komplexer KI-Ökosysteme.
Die zentrale Sicherheitsfrage lautet damit nicht mehr nur: Was antwortet die KI? Sondern auch: Welche Informationen entstehen während der Verarbeitung, wo werden sie gespeichert – und welches andere Modell kann darauf möglicherweise noch zugreifen?
Die vollständige Forschungsarbeit wurde am 10. August 2026 auf ArXiv veröffentlicht. Zur Forschungsarbeit auf arXiv