8月12日、RuntimeWire が「OpenAI, Anthropic and Google blocked a cross-model reasoning attack」と題した記事を公開した。推論モデルが返す暗号化された思考ブロックを別モデルに復号させる手法を研究者が発見し、OpenAI・Anthropic・Googleが対応した経緯を詳しく伝えている。
暗号化された「思考」を弱いモデルで復号する
8月10日にarXivに投稿された論文で、Alexander Panfilov（@kotekjedi_ml）、David Schmotz、Ilia Shumailov（@iliaishacked）らが、OpenAI・Anthropic・Google各社の推論モデルAPIに共通する構造的な弱点を報告した。
攻撃の核心は、推論モデルが返す「暗号化された思考ブロック（encrypted reasoning block）」 にある。o1系やClaude、Geminiなどの推論モデルは、最終回答の前に内部で「思考の連鎖（chain of thought）」を展開する。各社のAPIはこの思考を暗号化したブロックとして返し、クライアントがそれを保持して後続リクエストで送り返すことで、ステートレスな会話でも推論の文脈を保持できる設計になっている。OpenAIの公式ガイダンスでもこの「encrypted reasoning items」の受け渡しが推奨されており、GoogleのGeminiも「thought signatures」として同様の仕組みを提供している。
研究チームが突いたのはここだ。同一プロバイダーの製品ファミリー内であれば、この暗号化ブロックをユーザー・セッション・モデルをまたいで転用できることを発見した。より高性能なモデルが生成した暗号化思考を、より安価な弱いモデルに渡し、「この内容を書き起こせ」と促すと、強いモデル側のセーフガードを一切経由せずに思考内容が露出する。弱いモデルが「デコーダー」になるわけだ。
テストは2026年7月初旬時点のAPIを対象に実施。Anthropicではより高性能なClaudeモデルの暗号化思考をHaiku 4.5に渡し、OpenAIではGPT-5.6 Luna（※当時提供中の推論モデル）をデコーダーとして使用、GoogleはGemini Robotics 1.6（※同）を用いた。検証は120件のCodeforces問題を使い、取り出したトークン数がAPIが報告する推論トークン数と概ね一致することを確認している。元のプレーンテキストとの完全な照合はできていないが、可視サマリーには含まれない詳細が復元されたことを確認している。
プロンプトインジェクションチャンネルとしての悪用
この手法が開く攻撃経路は4つある。
- モデルの蒸留（distillation）目的での推論収集
- 他ユーザーが公開したログからの個人情報・認証情報の回収
- 安全な最終回答の裏に隠れた有害な推論の露出
- 暗号化ブロックへの不正命令の埋め込み
最後の経路が特に深刻だ。暗号化されたブロックにエージェントへの指示を埋め込むと、後続モデルはそれを「自分の過去の思考」として扱う。論文のPoC（概念実証）では、PowerPointファイルをアップロードする指示を暗号化ブロックに仕込んだ。後続モデルは編集スクリプトを生成すると同時に、そのファイルを攻撃者のサーバーに送信するコードも出力した。可視の会話ログには対応する指示は一切存在しない。推論の継続性がプロンプトインジェクションのチャンネルになるという構造的な問題だ。
公開ログから認証情報を大量回収
研究チームはGitHubとHugging Faceから6,708件の公開エージェントトラジェクトリを収集し、315,320個の推論ブロックを再構成した。自動レビューの結果、1,028ブロック（0.3%）で何らかのプライバシー漏洩を検出。セッション単位では328件（4.9%）が機密性の高い情報を含んでいた。
実際のユーザーセッションから回収されたのは：
- APIキー: 62件
- パスワード: 33件
- 個人メールアドレス: 30件
これらの一部は暗号化された推論ブロック内にのみ存在し、可視の会話ログには現れていなかった。従来のログサニタイズでは検出できなかった情報だ。なお、研究チームは回収した認証情報を分類後に削除したと述べている。
各社は対応済み、背景には5月の先行報告
この研究は、暗号学者Matthew Greenが**5月29日に公開した分析**を発展させたものだ。Greenはすでに推論ブロックが元のコンテキスト外でリプレイ可能であることを示し、OpenAIとAnthropicに報告していたが、当時はセキュリティへの直接的な影響を「不確実」と表現していた。
Panfilovらは弱いモデルを使った転写手法と公開ログへの適用によってその発見を具体的な攻撃へと発展させた。論文公開前にOpenAI・Anthropic・Google・Microsoft・Hugging Faceへの開示を行い、各プロバイダーはいずれも報告を認め、現在は同じ攻撃を再現できないと論文は述べている。
AIセキュリティ研究者のTimothee Chauvin（@timotheechauvin）はXへの7連投稿で、この問題の実害は限定的だとしながらも、暗号化推論システム全体に基本的なセキュリティ上の弱点を放置していた各プロバイダーを批判している。
修正の方向性とトレードオフ
研究チームが提案する対策は以下の通りだ。
- 暗号化ブロックを元のユーザー・セッション・会話上の位置にバインドする：最も直接的な対処だが、既存のクライアント実装がブロックの再利用を前提としている場合は破壊的変更となる。
- 修正以前に発行されたブロックを読み取れなくするためのキーローテーション：過去の流出リスクを遡及的に封じられる一方、古いセッションの継続性が失われるため、長期エージェントタスクには影響が出る。
- 転写リクエストを拒否するようモデルを訓練する：アーキテクチャを変えずに実装できる現実的な選択肢だが、訓練データの範囲外にある巧妙なプロンプトには抜け道が残る可能性がある。
- 現実的な範囲で推論の保存をプロバイダーサーバー側に戻す：根本的には最も安全だが、ゼロデータリテンション（ZDR）環境を要件とする企業ユーザーにとっては選択肢になりえない。
クライアント保持型の推論ブロックは、ステートレスAPIやゼロデータリテンション（ZDR）環境、プロバイダーをまたいだモデル切り替えを支えるアーキテクチャ上の設計だ。この利便性と引き換えに生じた過度な移植性が今回の脆弱性の根本原因であり、どの対策を選んでも何らかのコストが伴う。
詳細はOpenAI, Anthropic and Google blocked a cross-model reasoning attackを参照していただきたい。
