يمكن قراءة أفكار الذكاء الاصطناعي باستخدام ذكاء اصطناعي آخر، مما يكشف عن كلمات المرور والمفاتيح

نشر ثمانية باحثين من معهد ELLIS في توبنغن (ELLIS Institute Tübingen)، ومعهد ماكس بلانك للأنظمة الذكية (Max Planck Institute for Intelligent Systems)، ومركز توبنغن للذكاء الاصطناعي (Tübingen AI Center)، وبرنامج MATS، وشركة Snyk، ورقة بحثية أولية في 10 أغسطس تصف هجومًا يستهدف مسارات التفكير المشفّرة الخاصة بنماذج من Anthropic و OpenAI و Google. يعمل الهجوم عبر أخذ الكتلة المشفّرة الناتجة من نموذج قوي (على سبيل المثال، Claude Opus 4.8) وتمريرها إلى نموذج أضعف من نفس المزوّد (على سبيل المثال، Haiku 4.5)، حيث يُطلب من هذا النموذج الأضعف إعادة كتابة نص التفكير حرفيًا، وبذلك يتم فك تشفيره فعليًا. لا يعتمد الهجوم على كسر التشفير نفسه أو مهاجمة النموذج القوي مباشرة، بل يستغل حقيقة أن الكتلة المشفّرة تُرسَل إلى العميل ويجب إعادة إرسالها مع الطلب التالي. وتحقق الباحثون من صحة مسارات التفكير المفكوكة على 120 مهمة من موقع Codeforces. كما مسحوا 6708 سجلًا عامًا لعملاء ذكاء اصطناعي من GitHub و Hugging Face، واستخرجوا 315,320 كتلة تفكير احتوت على 704 من الأسرار الفريدة، من بينها 62 مفتاح واجهة برمجة تطبيقات (API key)، و33 كلمة مرور، و24 رمز وصول (access token)، بالإضافة إلى عناوين بريد إلكتروني وأسماء وعناوين URL داخلية. واللافت أن 64 من هذه الأسرار لم تكن ظاهرة في أي مكان بالجلسة المرئية، بل كانت موجودة فقط داخل الكتل المشفّرة. تصف الورقة أيضًا مسارًا للتسميم حيث يمكن زرع كتلة خبيثة تُستخدم لحقن تعليمات داخل عميل ذكاء اصطناعي يقوم لاحقًا بتحميلها. ويقترح المؤلفون تدابير تشفيرية وهيكلية لربط الكتلة بالجلسة والمستخدم والنموذج، ولكن في الوقت الراهن، يجب على المستخدمين التعامل مع كتل التفكير المشفّرة كأسرار حسّاسة وتجنّب مشاركة السجلات علنًا.