Grupa istraživača objavila je rad koji bi mogao promijeniti način na koji firme razmišljaju o sigurnosti AI API-ja. Pokazali su da se skriveno "razmišljanje" najnaprednijih modela — Claudea, GPT-a i Gemini — može izvući u čitljivom obliku, iako ga provajderi šalju šifrovanog i smatraju ga zaštićenim. Napad ne dira sam model, ne pokreće sigurnosne mehanizme protiv destilacije, a izvodi se u samo dva API poziva.
Šta su reasoning traceovi i zašto su problem
Moderni modeli poput Claudea Opus ili GPT-a prije nego što daju odgovor interno razmišljaju — generišu hiljade tokena "skrivenog rezonovanja" (chain-of-thought). Provajderi te tragove vraćaju klijentu kao šifrovani blok, koji se zatim šalje nazad na server kada se razgovor nastavi.
Problem je u tome što su ti blokovi prenosivi: mogu se "replay-ati" van originalnog konteksta. Istraživači su blok sa jačeg modela ubacili u slabiji, "jailbreakovan" model istog provajdera — i iz njega izvukli originalno rezonovanje jačeg modela u običnom tekstu.
Šta je najalarmantnije
- Napad radi na modelima OpenAI-ja, Anthropica i Googlea — bez direktnog napada na ciljani model.
- Antidistilacioni mehanizmi se ne aktiviraju, pa napad ne ostavlja trag.
- Dovoljna su dva API poziva — bez posebne infrastrukture.
Šta su pronašli u javnim podacima
Najveći rizik nije sam napad, nego ono što već curi. Istraživači su skupili 6.708 javno dostupnih agentnih sesija (sa GitHub-a i Hugging Face-a) koje su generisali Claude, GPT i Gemini modeli, a koje i dalje sadrže šifrovane blokove razmišljanja. Nakon dekodiranja — 315.320 blokova — pronašli su 704 privatna artefakta: 62 API ključa, 33 lozinke, 24 access tokena i 30 ličnih email adresa. Od toga se 64 pojavilo isključivo unutar skrivenog razmišljanja — nigdje u vidljivom dijelu sesije.
Drugim riječima: ako vaš agent razmišlja o API ključu u svom skrivenom toku, taj ključ može procuriti na način koji ni danas ne vidite u logovima.
Šta to znači za firme u BiH i regionu
Za većinu firmi na Balkanu koje koriste AI API-je (ChatGPT, Claude, Gemini) ovo zvuči kao apstraktna akademska priča. Nije. Praktične posljedice su konkretne:
- Agenti + sekreti = rizik. Ako gradite AI agente koji pristupaju bazama, mailovima ili plaćanjima, njihovo interno rezonovanje može sadržati osjetljive podatke — a to rezonovanje putuje kroz šifrovane blokove koje ne kontrolišete.
- Javni repozi su minsko polje. Svaki objavljeni agent trace (primjeri, tutorijali, demo projekti) može nositi skrivene ključeve. Prije objave testirajte, a ključeve rotirajte.
- Ne oslanjajte se na "šifrovano". Šifrovanje ovdje nije zaštita — samo tehnički detalj transporta. Povjerljive podatke ne treba slati modelima koji ih mogu "promisliti" naglas.
Praktične preporuke za vaš tim
- Ne stavljajte sekrete (API ključeve, lozinke, tokene) u kontekst AI modela — koristite alate i reference, ne tekst.
- Redovno rotirajte ključeve koji su ikada prošli kroz agentne tokove.
- Koristite sandbox okruženja za agente i ograničite njihove privilegije.
- Skriningujte javne repozitorijume za šifrovane trace blokove prije nego što ih koristite kao primjere.
Zaključak
Ovo je jedan od onih radova koji mijenja model prijetnji: zaštita "skrivenog razmišljanja" modela više ne postoji. Za firme koje ozbiljno koriste AI agente to znači jedno — tretirajte AI tok kao povjerljiv kanal, a ne kao crnu kutiju. Sekreti se ne šalju modelima, traceovi se ne objavljuju, a ključevi se rotiraju.
Izvor: Panfilov et al., "Stealing Reasoning Traces from Proprietary LLM APIs", 11. avgust 2026.