独自のLLM APIから推論トレースを盗む

2026年8月11日原文(stolen-thoughts.com)

概要

OpenAI、Anthropic、Googleの最先端モデルでの 推論トレース漏洩 の実証
API報告トークン数 と 復号推論トークン数 の強い相関
GitHubやHugging Face で公開された6,708件のエージェント履歴を解析
704件の個人情報や認証情報 などの漏洩を確認
論文「Stealing Reasoning Traces from Proprietary LLM APIs」の要点整理

最先端LLMにおける推論トレース漏洩の実証

OpenAI、Anthropic、Googleの frontierモデル で推論トレース漏洩を検証
APIが報告するhidden thinking tokens数 と、 復号した推論トークン数 に強い相関
120件のCodeforces問題を用いた実験
- 横軸：API報告のthinking-token数
- 縦軸：復号推論のトークン数
351件の技術的識別子、 204件のPII（個人情報）、 126件の認証情報、 23件のその他 の漏洩を特定

公開エージェント履歴からの情報漏洩

GitHubとHugging Faceで公開された 6,708件のエージェント履歴 を収集
- Claude、GPT、Geminiモデルによる生成履歴
- 暗号化された推論ブロックを含む
独自の復号パイプラインを適用し 315,320件の推論ブロック を再構築
実際の秘密情報や機微情報 が含まれることを確認

プライバシーアーティファクトの具体例

実ユーザーセッション（ベンチマーク除外）から 704件のプライバシーアーティファクト を抽出
- 62件のAPIキー
- 33件のパスワード
- 24件のアクセストークン
- 30件の個人メールアドレス
- その他：氏名、住所、内部URL、技術識別子など
704件中64件 は推論ブロック内のみに存在し、セッション表面上には非表示

復号事例と検索対象トークン例

GPT-5.2 Codexで暗号化された内容を GPT-5.6 Luna で復号
- 例：AKIA1234567890123456（AWSキー）、ghp_aBcDeFgHiJkLmNoPqRsTuVwXyZ0123456789（GitHubトークン）、hf_abcdefghijklmnopqrstuvwxyz123456（HuggingFaceトークン）など
Claude Sonnet 4.6の署名を Haiku 4.5 で復号
- 例：「ClawBench flight booking task」から個人情報（氏名、メール、パスポート、クレカ情報等）を抽出

復号推論トレースの閲覧・整理

ベンチマーク実行と公開セッションから 復号推論トレース を収集
Claude Opus 5で見やすいように見出しやハイライトを自動生成

論文情報

論文タイトル： Stealing Reasoning Traces from Proprietary LLM APIs
著者：Alexander Panfilov 他
arXiv公開： https://arxiv.org/abs/2608.09867
年：2026年
eprint番号：2608.09867

Hackerたちの意見

フロンティアモデルが生成したトレースを取って、それを弱いモデルに再生させて、弱いモデルを脱獄させる…ハハ！モデル間での再生がうまくいくかどうか、ずっと気になってたんだよね。特に、https://blog.cryptographyengineering.com/2026/05/29/fooling-... からずっと。これが意図的に許可されてるのか、ちょっと興味あるな。見逃しやすい検証だしね（特に雰囲気に浸ってると）。いたずらの可能性がめちゃくちゃありそうな感じだね。

└

もしそれを許可しなかったら、同じ会話の中でモデルを変えることができなくなるよね。重要なコンテキストが失われちゃうから。プロバイダーがその機能を削除して、会話が始まったらモデルをロックするってこともありそうだね。

└

スピードとハッピーパスを追い求めた結果だと思う。データを同じユーザーセッションのバックエンドで再利用できるようにする意図は理解できるし、モデル間で利用可能にするのはおそらく設計上のものだろう。ただ、データがユーザーセッションに厳密に結びついていないのが問題で、セッションデータのハイジャックがかなり簡単になってしまう。1. これはセキュリティの問題だ。2. 公開されているセッションはさらに悪化させる。

└

一応記録として言っておくけど、私は（ブログの著者）他のモデルに対してリプレイを試みたことがあるよ。GPT 5.5から5.5-miniにリプレイしたんだけど、これは「成功した」（リプレイが拒否されなかった）けど、miniは推論のプレーンテキストをくれなかった。Opus/Haikuにはあんまり覚えてない理由で追求しなかったんだ。彼らは最後までやり遂げたね。私にはうまくいかなかったのが残念だけど、彼らがそのチャンネルを証明してくれたのはすごくいい慰めになったよ。

本当にクールな研究だね、実際のトレースが手に入るなんて。けど、ベンダーたちはこれを確実に修正できるみたいだね。結果から逆算してモデルに信頼できるトレースを生成させる、もっと防ぎにくいアプローチがあるんだよね。「推論トレースなしで推論を盗む方法」 https://arxiv.org/pdf/2603.07267

└

トレース反転は面白いけど、独立した再構築に近いもので、見た目は一貫性のある生成されたCoTを提供してくれる。ただし、基盤モデルのCoTとは必ずしも近いわけじゃない。

これでOpenAIのモデルがトークンを節約するためにグルグル言語で推論してるって証明されたね！オープンモデルも推論トークンを節約するためにそうなるのかな？

└

BlackHatのHuggingFace事件に関するプレゼンテーションで、OpenAIは推論トレースの抜粋を示していて、そこにもグルグルの話し方があった（記事を飛ばしたりなど）。だから、OPの方法は実際に推論トレースを見つけたに違いない。

└

Museは確かにある程度やってるね。Glimmerをローカルで動かしてるときにそれをたくさん見たよ。

└

彼らのgpt-ossモデルも同じことをしてるよ。私はクローズドモデルは使わないから、あんまり考えたことなかったけど。

これがうまくいくのは超クールだね。これらの会社がモデル間で同じ暗号鍵を再利用してるのには驚いたよ！これを使って攻撃できるのか気になるな。以前の論文で、モデルの推論方法を知ってれば「その思考を偽装」して制御できるって言ってたけど。 https://news.ycombinator.com/item?id=48631888

└

ほんとに、セッションごとに暗号化するのに何が必要なんだろう？スケーラブルで効率的にする方法はいろいろあるから、これがこうなってるのは、興味のある第三者がAIで人々が何をしてるかをこっそり覗くためなのかなって思ってる。（リンクありがとう。面白いアイデアだね！）

Hacker Newsで議論の続きを見る

ハクソク