Cum ti se pot fura 'gandirile' AI-ului prin API — atacul asupra reasoning traces in 2026

Cand intrebi ChatGPT, Claude sau Gemini ceva mai complex — o problema de matematica, o analiza de cod, o decizie care cere mai mult rationament — modelul nu-ti raspunde direct. In spate, inainte de raspunsul vizibil, ruleaza un intreg lant de gandire interna, numit „reasoning trace” (sau „chain-of-thought”, prescurtat CoT). Producatorii il tin ascuns de tine. Intrebarea e simpla: cat de ascuns e, cu adevarat?

Raspunsul scurt: mai putin decat crezi. O linie de cercetare raportata pe stolen-thoughts.com arata ca lantul de gandire ascuns poate fi recuperat de oricine controleaza capatul de client sau proxy-ul prin care trece conversatia ta. Iar in acea „ciorna” a modelului ajung adesea date pe care tu nu ai vrea sa le veada nimeni — parole, chei API, bucati de cod, informatii personale.

Ce vei gasi in acest articol:

• Ce este un reasoning trace (chain-of-thought) si de ce il ascund producatorii
• Prin ce mecanism poate fi recuperata gandirea ascunsa a modelului
• Cine te poate ataca concret si pe ce cai (vectorii reali)
• Ce fel de date iti pot scapa in „ciorna” modelului
• Cum te protejezi tu, ca utilizator, si ce ar trebui sa faca producatorii

Ce este un reasoning trace si de ce il ascund producatorii

Modelele de AI de tip „reasoning” — cum sunt OpenAI o1/o3/o4-mini, Claude cu extended thinking, DeepSeek-R1 si Gemini cu modul de thinking — au o particularitate importanta. Inainte de a-ti genera raspunsul vizibil, ele ruleaza intern un proces de gandire pas cu pas. Acest proces se numeste reasoning trace (sau chain-of-thought, CoT).

Gandeste-te la asta ca la un elev care isi face „ciorna” inainte de a scrie raspunsul final pe foaia de examen. Ciorna contine incercarile, rationamentele intermediare si greselile. Raspunsul final e doar rezultatul curatat.

Producatorii ascund aceasta „ciorna” din doua motive principale:

1. Siguranta: daca ai vedea exact cum „gandeste” modelul, ai putea sa-l manipulezi mai usor — sa-l determinati sa ocoleasca regulile sau sa dezvaluie informatii pe care nu ar trebui sa le arate.
2. Proprietate intelectuala: ratiomentul intern al modelului e valoros. E ceea ce diferentiaza un model de altul. Sa-l dezvalui ar fi ca si cum ai publica reteta secreta.

Deci producatorii trimit gandirea ascunsa catre clientul tau (aplicatia, browser-ul, apelul de API) sub forma unor blocuri criptate: un pachet „inchis”, pe care tu il vezi ca un simplu marker, dar pe care conversatia il poarta mai departe. Ideea e ca tu nu poti citi ce e inauntru.

Cum ajunge gandirea ta in locuri unde nu te astepti

Mecanismul e important pentru ca explica de ce „ascuns” nu inseamna „protejat”. Cand folosesti un model de reasoning, raspunsul API-ului nu contine doar textul vizibil: contine si blocul criptat cu gandirea ascunsa. Tu nu-l poti descifra, dar il primesti fizic in client.

Cercetatorii din spatele proiectului stolen-thoughts.com au aratat ca aceasta ascundere are o problema de baza: blocurile cu gandirea ascunsa nu sunt legate strict de sesiunea sau modelul care le-a generat asa cum s-ar crede. Ei sustin ca un atacator care controleaza clientul poate captura aceste blocuri si, folosind metode de redeschidere (de exemplu, redarea blocului intr-un alt model sau fortarea decriptarii), poate ajunge la textul clar al ratiocinului. Concluzia lor: lantul de gandire ascuns nu e cu adevarat ascuns pentru cine priveste de pe partea cealalta a conexiunii.

Nu e nevoie sa intelegi cryptografia pana la ultimul detaliu ca sa retii esentialul: gandirea ascunsa calatoreste prin acelasi canal cu restul conversatiei tale. Oricine poate citi acel canal — o extensie rau intentionata, un proxy, o aplicatie terta — o poate, cel putin in principiu, captura si incerca sa o recupereze.

Cine te poate ataca concret — vectorii reali

Atacul are nevoie de acces la blocurile pe care API-ul le returneaza clientului. Asta inseamna ca atacatorul trebuie sa controleze unul dintre punctele prin care trece conversatia ta cu AI-ul. Iata caile concrete:

1. Extensii malitioase de browser. Multe extensii „care imbunatatesc ChatGPT sau Claude” au acces complet la conversatiile tale. O extensie compromisa poate citi si expedia blocurile cu gandirea ascunsa mai departe.
2. Aplicatii AI terte. Orice app care se conecteaza la API-ul unui model de reasoning si iti afiseaza conversatia poate accesa aceste blocuri. Daca app-ul e compromis sau facut cu intentie rea, datele tale ies pe usa din spate.
3. Proxy-uri si VPN-uri rau intentionate. Un proxy MITM (cineva care se interpune intre tine si server) poate intercepta si loga tot traficul, inclusiv blocurile criptate. Aici intra proxy-uri corporative care logheaza agresiv, VPN-uri „gratuite” si uneori retele WiFi publice nesigure.
4. Clienti locali compromisi. Daca folosesti o aplicatie desktop care vorbeste cu API-ul, iar acea aplicatie e alterata, atacatorul are acces la tot ce trece prin ea.

Pe scurt: oricine controleaza capatul de client sau proxy-ul prin care trece conversatia ta poate fi un atacator. Nu e vorba de cineva care sparge serverul OpenAI, ci de cineva care e deja in apropierea traficului tau.

Daca te intereseaza varianta locala, am scris un ghid complet despre cum rulezi AI gratuit pe calculatorul tau cu Ollama.

Ce fel de date iti pot scapa in „ciorna” modelului

Asta e partea care te priveste direct. Reasoning trace-ul nu contine doar „gandirea abstracta” a modelului. El contine si ecoul a ceea ce tu ai trimis — si modul in care modelul lucreaza cu datele tale. Iar asta inseamna ca, daca tu pui informatii sensibile in conversatie, ele pot ajunge si in gandirea ascunsa.

Exemple concrete:

• Analizezi un contract de munca. Lipesti textul in chat: salariu, clauze, poate date personale. Modelul „gandeste” in spate — compara, verifica, extrage nume si cifre. Totul ajunge in reasoning trace.
• Ceri ajutor la un bug de cod. Lipesti un snippet care contine, „doar ca sa inteleaga contextul”, o cheie API sau o parola de baza de date. Acea informatie poate fi copiata in gandirea ascunsa.
• Pui o intrebare medicala sau fiscala cu datele tale reale (CNP, sume, istoric). Modelul le proceseaza si le pastreaza in ratiocinu.

Cercetatorii raporteaza ca, in sesiunile analizate, au gasit exact acest tip de continut in gandirile ascunse: identificatori tehnici, date personale (PII), credentiale (parole, token-uri, chei API) si bucati de cod. Nu pot sa confirm aici cifrele exacte pe care le-au publicat — nu am putut valida independent studiul in acest mediu — dar tiparele au sens: orice pui intr-un chat cu un model de reasoning poate fi reflectat in „ciorna” lui.

Subiectul e strans legat de alte riscuri de confidentialitate pe care le-am acoperit. Citeste si despre cum AI chatbots nu sunt prietenii tai si ce stiu despre tine si despre scurgerile de date catre xAI prin Grok Build CLI. Pattern-ul e acelasi: informatiile pe care le dai AI-ului nu raman doar intre tine si model.

Ce ar trebui sa faca producatorii

Producatorii de modele AI au cateva optiuni tehnice, dar fiecare vine cu un cost real:

1. Raspunsuri de durata constanta (padding). In loc sa trimita exact cati tokeni de gandire a generat modelul, producatorul poate adauga tokeni fictivi ca toate raspunsurile sa para la fel de lungi. Asta ingreuneaza deducerea lungimii reale a gandirii. Problema: consuma mai multi tokeni = cost mai mare si latenta mai mare.

2. Fara streaming al tokenilor ascunsi. In loc sa trimita gandirea bucata cu bucata (ceea ce permite observarea in timp real), producatorul poate trimite totul odata, la final. Problema: experienta utilizatorului se degradeaza — nu mai vezi „progresul”.

3. Blocuri legate de sesiune. Fiecare bloc criptat ar putea fi legat strans de sesiunea si modelul care l-a generat, incat sa nu poata fi redeschis in alt context. Problema: schimbari mari in arhitectura API-ului.

4. Sa nu mai returneze gandirea ascunsa deloc. Cea mai simpla solutie: pur si simplu sa nu trimita blocurile catre client. Problema: pierzi functionalitati precum reluarea conversatiei sau „extended thinking” asa cum le cer utilizatorii.

Realitatea: producatorii sunt intr-un trade-off intre confidentialitate, cost si viteza. Pana acum, au prioritizat viteza si experienta. Tu nu trebuie sa astepti ca ei sa rezolve.

Cum te protejezi tu, utilizatorul

Protectia nu e complicata, dar cere constientizare. Iata ce poti face concret:

Pentru a intelege mai bine atacurile prin AI, citeste si despre ce este prompt injection si cum te protejezi si despre markerii ascunsi pe care Claude Code ii insereaza in codul tau.

Verdictul

Linia de cercetare raportata pe stolen-thoughts.com scoate la lumina un adevar incomod: lantul de gandire ascuns al modelelor de reasoning nu e cu adevarat ascuns pentru cine priveste de pe partea clientului. Blocurile cu ratiocinul calatoreste prin acelasi canal cu restul conversatiei tale, iar cine controleaza acel canal le poate captura si incerca sa le recupereze.

Nu e un atac care sparge serverul unui gigant. E un atac care profita de faptul ca „ciorna” modelului trece prin punctele pe care tu, utilizatorul, le controlezi cel mai putin: extensii, proxy-uri, aplicatii terte.

Concluzia pentru tine e simpla: trateaza orice trimiti catre un model de reasoning ca fiind potential observabil de cel care controleaza clientul sau proxy-ul. Nu conteaza ca producatorul „ascunde” gandirea interna — daca datele tale ajung acolo, cine le poate extrage le poate citi.

Cel mai scurt sfat: daca n-ai pune informatia respectiva pe un panou in strada, nu o pune nici intr-un chat AI.

Ce inseamna mai exact reasoning trace

Reasoning trace (sau chain-of-thought) e procesul intern de gandire al unui model AI inainte de a genera raspunsul vizibil. Gandeste-te la „ciorna” de la examen: modelul analizeaza, incearca variante, corecteaza, apoi iti da raspunsul final. Producatorii ascund aceasta ciorna, dar ea exista si poate contine ecoul datelor pe care tu le-ai trimis.

Ma afecteaza daca folosesc doar aplicatia oficiala

Riscul e mai mic, dar nu zero. In aplicatia oficiala, blocurile criptate trec doar intre server si browser-ul tau. Daca nu ai extensii malitioase si nu folosesti proxy-uri suspecte, riscul scade mult. Totusi, producatorul insusi are acces la aceste blocuri. Regula ramane: nu lipi date sensibile in chat-urile AI, indiferent de aplicatie.

Atacul functioneaza pe orice model AI

Se aplica modelelor de „reasoning” care genereaza si returneaza un lant de gandire ascuns (Claude cu extended thinking, GPT o-series, Gemini thinking, DeepSeek-R1 etc.). Modelele care nu genereaza reasoning trace nu sunt vizate de acest atac specific. Modelele locale ruleaza complet pe calculatorul tau si nu trimit nimic catre servere externe, deci nu sunt expuse pe aceasta cale.

Pot verifica daca datele mele sunt in reasoning trace

Nu, ca utilizator obisnuit nu poti. Gandirea ascunsa e criptata si nu o vezi. De aceea e mai bine sa previi decat sa verifici dupa: nu trimite informatii sensibile catre AI de la bun inceput.

Ce fac daca am pus deja date sensibile in conversatii AI

Schimba parolele si cheile API respective cat mai repede. Nu poti sterge reasoning trace-ul din sistemele producatorului, dar poti taia riscul prin rotirea credentialelor. Daca ai folosit un client tert sau o extensie de browser, sterge-le si verifica ce permisiuni au avut. Pentru viitor, respecta regula: nimic sensibil in chat-ul AI.