Le bloc de raisonnement chiffré de Claude : une analyse au niveau des octets à l'intérieur de la signature

Un nouvel article sur Habr explique comment extraire les chaînes de raisonnement cachées des modèles fermés en exploitant une faille : un attaquant prend un bloc chiffré d'un modèle puissant, le donne à un modèle frère plus faible du même fournisseur, et lui demande de raconter le texte mot pour mot, révélant ainsi les pensées originales, y compris d'éventuels mots de passe ou clés inclus par accident. L'auteur révèle que le champ 'signature' attaché à chaque bloc de réflexion de Claude n'est pas opaque : il s'agit d'un protobuf qui peut être analysé sans aucune clé. À l'intérieur, seul le texte de réflexion réel est chiffré (AES-GCM, avec une étiquette de 16 octets), tandis que l'enveloppe externe et l'en-tête contiennent des métadonnées en clair. L'en-tête inclut l'identifiant du modèle (par exemple, 'claude-opus-5'), le type de bloc et, depuis la version 15 (juillet 2026), l'UUID de l'organisation provenant du fichier ~/.claude.json de l'utilisateur. Ces métadonnées sont couvertes par un MAC, de sorte que les blocs ne peuvent pas être falsifiés, mais si elles sont exposées dans les journaux, elles peuvent relier un utilisateur à son organisation et à son utilisation du modèle. L'auteur suggère que la vulnérabilité décrite dans la prépublication pourrait être atténuée par la présence de ces métadonnées, mais le risque pratique est que l'en-tête non chiffré fuit des informations sensibles lorsque les journaux des agents sont partagés.