Novo ataque expõe o “pensamento” escondido dos grandes modelos de IA

Os grandes modelos de IA não falam só quando respondem. Também falam consigo próprios. Essa conversa interna, as tais cadeias de raciocínio, costuma ficar escondida. Um grupo de investigadores descobriu agora uma forma de a ir buscar, mesmo quando as empresas juram que nunca sai do servidor.

A equipa de Alexander Panfilov, da Universidade de Tübingen, analisou APIs de modelos de topo de OpenAI, Anthropic e Google. Estes serviços usam truques de eficiência: parte do raciocínio é gerado, cifrado e enviado para o teu computador para aliviar carga nos servidores, depois reintroduzido na conversa com o modelo. Em teoria, ninguém vê esse conteúdo. Na prática, há uma brecha: versões mais pequenas dos mesmos modelos partilham a chave de descodificação, mas têm alinhamento de segurança mais fraco. Se lhes alimentares esses dados cifrados, começam a cuspir o raciocínio interno que devia estar fora de alcance.

O método não serve só para satisfazer curiosidade académica. Os investigadores mostraram que, misturados nesse raciocínio, podem vir dados sensíveis: palavras-passe, chaves de API, pedaços de código privado. Tudo aquilo que as empresas garantem que os modelos não devolvem na resposta final pode ficar exposto neste canal lateral. Segundo o artigo, todos os grandes fornecedores testados partilhavam esta vulnerabilidade antes de serem notificados.

Há outro lado mais político. Com estas cadeias de raciocínio na mão, torna-se mais fácil fazer distillation, a técnica de copiar capacidades de um modelo caro para um modelo novo e mais pequeno. O trabalho mostra que o modelo chinês de pesos abertos Kimi K3 produz saídas surpreendentemente parecidas com o raciocínio interno do Claude Opus 4.8 e do GPT 5.6 Sol em certos desafios. Não é prova jurídica de cópia, mas é mais um ponto num mapa onde já aparecem acusações públicas de OpenAI e Anthropic a empresas chinesas como DeepSeek e Alibaba. Desta vez, a suspeita é que não se copiam só respostas, copia-se o processo mental.

Para quem acompanha a discussão sobre segurança de IA, isto encaixa numa tendência desconfortável: os modelos vão ganhando capacidades, as empresas empilham remendos de alinhamento moral e técnico, e depois surgem ataques criativos a explorar essas costuras. Já tínhamos visto como usar IA para policiar IA pode sair pela culatra. Agora, até o raciocínio supostamente privado vira superfície de ataque.

OpenAI, Anthropic e Google já mexeram nas APIs para bloquear a fuga de dados pessoais, mas os próprios autores admitem que parar a extração de raciocínio por completo exigiria redesenhar o modelo de serviço. Queixas sobre copiar modelos chineses ou americanos à parte, o recado é simples: se o teu sistema manda raciocínio cifrado para o cliente, assume que alguém vai tentar abri-lo. E se andas a colar dados sensíveis em prompts extensos, internos ou de clientes, convém começar a tratá-los com o mesmo cuidado que dás às bases de dados de produção. A IA pensa mais do que mostra. E agora sabemos que esse silêncio não é assim tão silencioso.

Fonte: Wired