Claudes verschlüsselter Denkblock: Ein Blick auf Bitebene in die Signatur

Ein neuer Artikel auf Habr beschreibt detailliert, wie man versteckte Reasoning-Ketten aus geschlossenen Modellen auslesen kann, indem man eine Schwachstelle ausnutzt: Ein Angreifer nimmt einen verschlüsselten Block von einem starken Modell, gibt ihn einem schwächeren Schwestermodell desselben Anbieters und bittet um eine wörtliche Wiedergabe, wodurch die ursprünglichen Gedanken – einschließlich versehentlich enthaltener Passwörter oder Schlüssel – lesbar werden. Der Autor zeigt, dass das Feld „signature“, das an jeden Claude-Denkblock angehängt ist, nicht undurchsichtig ist: Es handelt sich um einen Protobuf, der ohne Schlüssel geparst werden kann. Im Inneren ist nur der eigentliche Denktext verschlüsselt (AES-GCM, mit einem 16-Byte-Tag), während die äußere Hülle und der Header Metadaten im Klartext enthalten. Der Header umfasst die Modell-ID (z. B. „claude-opus-5“), den Blocktyp und seit Version 15 (Juli 2026) die Organisations-UUID aus der Datei ~/.claude.json des Benutzers. Diese Metadaten sind durch einen Message Authentication Code abgedeckt, sodass Blöcke nicht manipuliert werden können. Wenn sie jedoch in Protokollen offengelegt werden, können sie einen Benutzer mit seiner Organisation und seiner Modellnutzung verknüpfen. Der Autor vermutet, dass die im Preprint beschriebene Schwachstelle durch das Vorhandensein dieser Metadaten gemildert werden könnte, das praktische Risiko besteht jedoch darin, dass der unverschlüsselte Header vertrauliche Informationen preisgibt, wenn Agentenprotokolle geteilt werden.