Im Zentrum der Untersuchung stehen undurchsichtige, verschlüsselte Reasoning-Objekte, die mehrere Anbieter in ihren APIs verwenden. OpenAI kann solche verschlüsselten Reasoning-Elemente zurückgeben, die Anwendungen bei manuell verwaltetem, zustandslosem Verlauf erneut mitsenden. Anthropic transportiert vollständiges Reasoning in einer verschlüsselten Signatur, Google nutzt verschlüsselte „Thought Signatures“. Die Verschlüsselung selbst wurde laut Bericht nicht gebrochen; nötig war auch kein Zugriff auf einen Schlüssel. Ausgenutzt wurde vielmehr, dass die Anbieter intakte und opaque Blöcke annahmen und verarbeiteten.
Während der Tests erwiesen sich diese Objekte laut Paper als portabel über Sitzungen, Nutzer und Modelle hinweg. Dadurch konnte ein schwächeres kompatibles Modell als das fungieren, was die Autoren einen „unscharfen“ Dekoder nennen: Claude Haiku 4.5 für Claude-Traces, GPT-5.6 Luna für GPT-Traces und Gemini Robotics ER-1.6 für Gemini-Traces. Diese Modelle wurden dazu aufgefordert, das von einem stärkeren Modell erzeugte Reasoning zu transkribieren.
Besonders brisant wurde das bei veröffentlichten Agent-Logs. Das Team dekodierte nach eigenen Angaben in 6.708 öffentlichen Agent-Trajektorien insgesamt 315.320 Thinking-Blöcke. Nach dem Ausschluss von Benchmark-Quellen identifizierten die Forscher 704 unterschiedliche Datenschutzartefakte aus echten Nutzersitzungen, darunter 62 API-Schlüssel, 33 Passwörter, 24 Zugriffstoken und sieben private Schlüssel. Von diesen 704 Artefakten tauchten 64 ausschließlich im verborgenen Reasoning auf und nirgends im sichtbaren Trace. Das bedeutet laut Studie, dass das Bereinigen der lesbaren Konversation Geheimnisse in einem opaque Block zurücklassen konnte, den ein anderes Konto erneut abspielen konnte.
Die Autoren betonen zugleich die Grenzen des Angriffs. Der Cross-User-Angriff ermöglichte keinen beliebigen Zugriff auf private Chats. Voraussetzung war, einen verschlüsselten Reasoning-Block zu erhalten, etwa aus einem veröffentlichten Agent-Log, sowie API-Zugang zu einem kompatiblen Modell desselben Anbieters. Die in der Studie gezeigte Exponierung betrifft damit vor allem Entwickler, die rohe Agent-Logs mitsamt der Reasoning-Objekte veröffentlicht haben.
Die gleiche Portabilität ermöglichte laut Paper auch einen unsichtbaren Prompt-Injection-Proof-of-Concept. Das Team erzeugte einen opaque Reasoning-Block mit einer bösartigen Anweisung und spielte ihn später in eine unabhängige Aufgabe ein. Das empfangende Modell fügte daraufhin eine vom Angreifer gesteuerte Upload-Aktion hinzu, ohne dass die injizierte Anweisung im sichtbaren Text erschien.
Offengelegt wurden die Ergebnisse nach Angaben der Forscher gegenüber den betroffenen Modellanbietern sowie Microsoft und Hugging Face. Die Autoren schreiben, dass die demonstrierten Angriffe nach Gegenmaßnahmen nicht mehr funktionierten; ihre Reproduzierbarkeitserklärung nennt den Hauptangriff zur Extraktion seit August 2026 als nicht mehr reproduzierbar. Eine öffentliche Bestätigung der Schwachstelle durch OpenAI, Anthropic oder Google gibt es laut Bericht bislang nicht. Ebenso hat keiner der drei Anbieter seine aktuelle Dokumentation öffentlich mit dieser Forschung verknüpft.
Die aktuelle Dokumentation zeigt laut Bericht, dass verschlüsseltes Reasoning weiterhin Teil dieser APIs ist, wenn auch mit veränderter Handhabung. OpenAI empfiehlt Entwicklern demnach weiterhin, verschlüsselte Reasoning-Elemente erneut zu senden, wenn sie einen zustandslosen Verlauf manuell verwalten. Google erklärt, sein Backend verwalte die Kompatibilität der Thought-Signatures, wenn eine Sitzung das Modell wechselt. Anthropic schreibt inzwischen, Thinking-Blöcke seien an das Modell gebunden, das sie erzeugt habe, und sollten beim Modellwechsel entfernt werden, weil andere Modelle sie ignorierten.
Die Arbeit baut auf Forschung von Johns-Hopkins-Kryptograf Matthew Green aus dem Mai auf. Green hatte gezeigt, dass sich verschlüsselte Reasoning-Blöcke über Sitzungen und Konten hinweg erneut abspielen ließen, jedoch noch keine verlässliche Methode zur Geheimnisextraktion vorgestellt. Nach seiner Darstellung meldete er das Replay-Verhalten über die Bug-Bounty-Programme an OpenAI und Anthropic. OpenAI habe den Bericht als nicht reproduzierbar bezeichnet, Anthropic habe in Replay- oder Side-Channel-Verhalten keine Sicherheitsauswirkungen gesehen.