W części interfejsów programistycznych zaszyfrowany blok rozumowania wędruje między programem klienta a serwerem dostawcy przy kolejnych żądaniach. Miał być nieczytelny dla wszystkich poza tym dostawcą. Ośmioro badaczy opisało w preprincie, że wystarczy podać ten blok słabszemu modelowi tego samego producenta. Rozumowanie wraca wtedy zwykłym tekstem. Zrobili to na modelach OpenAI, Anthropic i Google. Potem przepuścili przez ten sam mechanizm ponad sześć tysięcy publicznie udostępnionych zapisów pracy agentów. Wyjęli z nich klucze dostępowe, hasła i adresy. Część z nich nie występowała w widocznej części rozmowy w ogóle.
Na czym polega sztuczka z blokiem rozumowania
Najpierw trzeba wiedzieć, co dostawcy w ogóle ukrywają. Modele rozumujące prowadzą przed odpowiedzią wewnętrzny wywód, po angielsku nazywany chain of thought, czyli łańcuch myśli. To brudnopis: rozważania, ślepe uliczki, wyliczenia.
Producenci przestali go pokazywać, żeby chronić własność intelektualną i ograniczyć wyciek informacji. Nie trzymają go jednak u siebie. Odsyłają go do klienta jako zaszyfrowaną paczkę. Klient dokleja ją do kolejnego zapytania, żeby model pamiętał, co przed chwilą wymyślił.
Autorzy preprintu twierdzą, że te paczki są w pełni wymienne w obrębie jednego dostawcy. Działa to między sesjami, między użytkownikami i między modelami. Paczka wygenerowana przez mocny model daje się wkleić do rozmowy ze słabszym modelem tej samej firmy. A słabszy model bywa gorzej zabezpieczony i daje się nakłonić do przepisania zawartości.
Zespół pokazał to na konkretnych parach. Claude Haiku 4.5 odtwarza rozumowanie Claude Opus 4.8 oraz Claude Sonnet 4.6. Zawartość zaszyfrowanego pola z GPT-5.2 Codex rozkłada z kolei GPT-5.6 Luna. Nikt nie łamie tu szyfru ani nie atakuje mocnego modelu. Autorzy nazywają to obejściem zabezpieczeń słabszego modelu i wykorzystują go do odtworzenia cudzego brudnopisu.
Co znaleźli w publicznych repozytoriach
Ta część jest praktyczna i dotyczy każdego, kto wrzuca zapisy pracy agenta do publicznego repozytorium.
Zespół zebrał 6 708 trajektorii agentów, czyli zapisów całych przebiegów, z GitHuba i Hugging Face. Ludzie publikują je rutynowo: jako przykłady w dokumentacji, jako zbiory danych, jako materiał do porównań. Autorzy zwracają uwagę, że zaszyfrowane pola mogą uchodzić kontroli przed publikacją, bo ich treść nie jest bezpośrednio czytelna.
Z tych plików autorzy odtworzyli 315 320 bloków rozumowania. Potem zawęzili zbiór do sesji, które uznali za prawdziwe, a nie testowe. Naliczyli w nich 704 artefakty prywatności: 351 identyfikatorów technicznych, 204 dane osobowe, 126 poświadczeń i 23 pozycje pozostałe. W tej liczbie mieszczą się 62 klucze dostępowe do interfejsów programistycznych, 33 hasła, 24 tokeny dostępu i 30 prywatnych adresów pocztowych.
Jedna liczba z tego zestawu jest ważniejsza od pozostałych. Sześćdziesiąt cztery z tych artefaktów występowały wyłącznie w blokach rozumowania. W widocznej części sesji nie było ich wcale. Mowa więc o plikach, które autor mógł przejrzeć przed publikacją i uznać za czyste.
Warto od razu zaznaczyć rozbieżność, bo źródła podają dwa zestawy liczb. Powyższe pochodzą ze strony projektu i dotyczą sesji uznanych za prawdziwe. Streszczenie preprintu podaje dla całego zbioru wartości wyższe: 367 artefaktów z danymi osobowymi i 182 poświadczenia. Zakresy są różne i lepiej ich nie mieszać.
Kogo to dotyczy w praktyce? Zespołów, które udostępniają przykładowe przebiegi agenta razem z narzędziem, i firm publikujących materiały szkoleniowe z prawdziwych sesji. Możliwym przykładem jest dokumentacja wewnętrznego narzędzia wrzucona do publicznego repozytorium na potrzeby rekrutacji albo prezentacji. Taki plik łatwo potraktować inaczej niż zrzut bazy danych, a po tej pracy warto zacząć traktować go tak samo.
Zatrute przebiegi agentów, czyli wektor odwrócony
Trzy pierwsze zastosowania, o których piszą autorzy, dotyczą wyciągania rzeczy na zewnątrz. To obejście zabezpieczeń przed kopiowaniem modelu, wyciąganie danych prywatnych oraz odczytywanie treści odrzuconych w widocznej odpowiedzi, ale przemyślanych w brudnopisie.
Czwarte działa w drugą stronę i jest w praktyce najbardziej niepokojące. Skoro blok jest przenośny, a jego zawartość nie jest bezpośrednio czytelna i może ujść kontroli, to można w nim umieścić polecenie. Napastnik przygotowuje przebieg agenta z instrukcją ukrytą w zaszyfrowanym polu. Publikuje go jako przykład albo zbiór danych. Kto taki przebieg wczyta do własnego agenta w ekosystemie tego samego dostawcy i pozwoli mu przetworzyć ten blok, ten wciąga polecenie razem z nim.
To jest wstrzyknięcie polecenia, po angielsku prompt injection. Przeniesiono je tylko do miejsca, które zwykły przegląd kodu może pominąć. Przy samopowielającym się wstrzyknięciu w Copilocie dla Worda nośnikiem był plik, który człowiek mógł przynajmniej otworzyć i przeczytać. Tu nośnikiem jest ciąg znaków, który z założenia wygląda jak szum.
Skalę tego problemu trudno dziś ocenić. Autorzy pokazują, że mechanizm działa, i nie twierdzą, że ktokolwiek go użył. To rozróżnienie warto trzymać, bo przy takich tematach gubi się najszybciej.
Pierwsza Misja AI · Kodożercy
AI bez technikaliów – kurs i certyfikat
Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Sci-fi fabuła, gamifikacja, prawdziwy GPT-4 w ćwiczeniach, certyfikat na koniec.
Zacznij Pierwszą Misję →
To wciąż jest preprint, a nie wyrok
Trzeba postawić granicę między tym, co zostało pokazane, a tym, czego nie wiemy.
Praca nosi numer arXiv 2608.09867 i została zgłoszona 10 sierpnia. Nie przeszła recenzji naukowej. Autorzy piszą, że zgłosili sprawę odpowiedzialnie, i proponują zabezpieczenia kryptograficzne oraz systemowe. Wśród ośmiorga autorów są nazwiska znane z badań nad bezpieczeństwem modeli, między innymi Ilia Shumailov, Jonas Geiping i Maksym Andriushchenko. Sam skład nie zastępuje jednak recenzji.
Producenci publicznie się w tej sprawie nie wypowiedzieli, ale pełny tekst pracy mówi, co zrobili. W sekcji o odpowiedzialnym zgłoszeniu autorzy piszą, że wszyscy dostawcy modeli potwierdzili przyjęcie raportu, po czym tych samych ataków nie dało się już przeprowadzić. Oświadczenie o powtarzalności wyników jest jeszcze bardziej stanowcze. Według stanu na sierpień 2026 rezultatów z pracy nie da się odtworzyć opisanymi metodami, ponieważ dostawcy wprowadzili zabezpieczenia po zgłoszeniu. Zespół zgłosił sprawę nie tylko producentom modeli, ale też Microsoftowi i platformie Hugging Face.
Warto przy tym wiedzieć, że pierwotną obserwację o wymienności bloków zgłoszono już w maju 2026, a dostawcy nie uznali wtedy, żeby wynikały z niej jakiekolwiek konsekwencje dla bezpieczeństwa. Zmiany przyszły dopiero po drugim zgłoszeniu, temu razem z gotowym atakiem i skanem publicznych repozytoriów.
Jedna rzecz jest natomiast niezależna od tych poprawek. Część wcześniej opublikowanych plików może nadal być dostępna, także w kopiach i odgałęzieniach repozytoriów. Zablokowanie samego mechanizmu niczego tu nie cofa, bo klucze i hasła z tamtych bloków zostały już odtworzone i opisane w publicznej pracy.
Co zrobić, jeśli publikujesz zapisy pracy agenta
Zadanie sprowadza się do jednej czynności i nie wymaga narzędzi.
Przejrzyj repozytoria i zbiory danych, w których udostępniałeś przebiegi agentów. Szukaj pól o nazwach w rodzaju thinking, reasoning i encrypted_content. Jeśli takie pola tam są, a nikt nie sprawdzał surowego zapisu, opublikowaliście prawdopodobnie więcej, niż było widać w podglądzie.
Bezpieczne domyślne zachowanie jest proste. Zaszyfrowane rozumowanie usuwaj przed publikacją, zamiast je przeglądać. Przeglądanie i tak nic nie da, bo zawartość jest nieczytelna dla człowieka. To właśnie było źródłem fałszywego spokoju, bo nieczytelne wzięliśmy za bezpieczne.
Osobna sprawa to poświadczenia, które mogły przez brudnopis przejść. Jeżeli agent w czasie pracy widział klucz albo hasło, a przebieg poszedł do sieci, ten klucz warto wymienić. Zakładanie, że nikt go nie odtworzy, jest tańsze tylko pozornie. Obowiązuje tu ta sama zasada co po przypadkowym wypchnięciu sekretu do repozytorium. Przy fałszywych serwerach MCP podszywających się pod narzędzia mechanizm był inny, a wniosek ten sam. Agent widzi więcej niż jego operator.
Warto też ustalić to na poziomie zespołu, a nie pojedynczej osoby. Jeśli przebiegi agentów wychodzą u was na zewnątrz regularnie, w dokumentacji albo w materiałach szkoleniowych, usuwanie tych pól powinno być krokiem w procesie publikacji. Pojedyncza osoba, która akurat pamięta, nie jest zabezpieczeniem.
Najczęstsze pytania
Dwa pytania, które przy tym temacie pojawiają się natychmiast i oba mają odpowiedź węższą, niż podpowiada pierwszy odruch.
Czy ktoś może w ten sposób odczytać moje rozmowy z ChatGPT albo Claude’em?
Analiza danych prywatnych w preprincie dotyczyła bloków znalezionych w publicznych repozytoriach, a nie prywatnych rozmów pobranych z serwerów dostawców. Jeśli korzystasz z modelu przez aplikację i nigdzie nie wrzucasz zapisów sesji, twoje rozmowy nie są tym, co autorzy badali. Trzeba jednak od razu zaznaczyć, że publiczne udostępnienie nie jest technicznym warunkiem samego ataku, tylko sposobem, w jaki zespół pozyskał materiał. Ryzyko dotyczy więc zespołów udostępniających przebiegi na zewnątrz oraz każdego, kto cudze przebiegi wczytuje do własnych narzędzi.
Czy usunięcie widocznej treści z zapisu wystarczy przed publikacją?
Nie i to jest główny wniosek praktyczny z tej pracy. Sześćdziesiąt cztery ze znalezionych artefaktów prywatności występowały wyłącznie w blokach rozumowania. W widocznej części sesji nie było ich wcale. Autor takiego pliku mógł go przejrzeć, wyczyścić i w dobrej wierze opublikować. Czyszczenie tego, co widać, nie zastępuje więc usunięcia samych pól z rozumowaniem. Wymiana kluczy i haseł, które agent miał w rękach, jest przy tym tańsza niż sprawdzanie, czy ktoś je już odtworzył.
Podsumowanie
Ośmioro badaczy opisało w preprincie arXiv 2608.09867 słabość w tym, jak OpenAI, Anthropic i Google odsyłają ukryte rozumowanie modeli do klienta. Zaszyfrowane bloki okazały się wymienne między sesjami, użytkownikami i modelami jednego dostawcy. Podanie takiego bloku słabszemu modelowi tej samej firmy zwraca rozumowanie zwykłym tekstem. Na 6 708 publicznych zapisach pracy agentów zespół odtworzył 315 320 bloków. W sesjach uznanych za prawdziwe naliczył 704 artefakty prywatności, w tym 62 klucze dostępowe i 33 hasła, a 64 z nich nie występowały nigdzie poza samym rozumowaniem. Streszczenie podaje dla pełnego zbioru inne wartości niż strona projektu, więc te dwa zestawy warto trzymać osobno. Autorzy zgłosili sprawę dostawcom, Microsoftowi i platformie Hugging Face. W pełnym tekście piszą, że po tym zgłoszeniu opisanych ataków nie dało się już przeprowadzić, bo producenci wprowadzili zabezpieczenia. Plików opublikowanych wcześniej to nie dotyczy. Pola z rozumowaniem usuwa się przed publikacją, a klucze, które agent widział po drodze, wymienia.
Newsletter · DevstockAcademy & Kodożercy
Bądź na bieżąco ze światem IT, AI i automatyzacji
Co wtorek: newsy z branży, praktyczne tipy i narzędzia które warto znać. Zero spamu.
