9月8日、Bruce Schneierが「Stealing AI Reasoning Traces」と題した記事を公開した。この記事では、arXivに公開された論文「Stealing Reasoning Traces from Proprietary LLM APIs」を取り上げ、LLMプロバイダーが暗号化して隠蔽している推論トレース（Chain-of-Thought）をAPIから解読・盗み出せるアーキテクチャ上の脆弱性について詳しく紹介している。
暗号化された「思考過程」が、実は盗める
OpenAI・Anthropic・Googleといった主要LLMプロバイダーは現在、モデルの推論トレース（Chain-of-Thought: CoT）——回答を生成するまでのステップバイステップの思考過程——を外部から見えないよう暗号化している。知的財産の保護と、競合他社によるモデル蒸留（自社モデルの推論データを使って競合が軽量モデルを訓練する行為）の抑止が主な目的だ。実際、OpenAIはDeepSeekによる蒸留疑惑を公式に問題視するなど、推論トレースの流出防止は業界全体の喫緊の課題となっている。
論文によれば、この仕組みの実装として、推論トレースをサーバー側に保存するのではなく、暗号化されたテキストブロックとしてクライアントに返し、クライアントは後続リクエストのたびにそのブロックをサーバーへ送り返す設計が採られているという。ステートレスな設計を維持しつつ多ターン対話を実現するための工夫だが、研究チームはこの設計に致命的な欠陥を発見した。
脆弱性の核心：暗号化ブロックが「使い回せる」
研究チームが突いたのは、論文の指摘によれば、暗号化された推論ブロックが同一プロバイダーのエコシステム内であれば、異なるセッション・異なるユーザー・異なるモデル間で互換性を持って使い回せるという点だ。
これを利用した攻撃手法がこうだ。
- 解読したい高性能モデル（例：Claude 3 OpusやGPT-4o）から暗号化された推論ブロックを取得する
- そのブロックを、同一プロバイダーのより弱く、安全フィルターの緩いモデルに注入する
- 弱いモデルは推論ブロックを平文でそのまま出力してしまう
高性能モデル自体をジェイルブレイクする必要は一切ない。安全フィルターの緩い「脇役モデル」を踏み台にするだけで、プロバイダーが厳重に守っているはずの推論トレースが平文で手に入る。なお、論文ではAnthropicおよびOpenAIのエコシステム内で実際にこの手法が機能することを実証しているが、具体的にどのモデルが「注入先」として機能したかについては論文本文を直接参照されたい。
4つの攻撃ベクター
この脆弱性が開く攻撃経路は4つ挙げられている。
① 反蒸留機構の迂回
プロバイダーは、推論トレースを学習データに使われないよう「蒸留（distillation）防止」措置を講じている。この攻撃はそれをそのまま回避し、論文によればAnthropicおよびOpenAIのモデルで実証されている。
② 大規模なプライベートデータ抽出
開発者はしばしばセッションログを公開リポジトリに誤ってコミットする。暗号化ブロックの中身に気づかないまま公開しているケースが多い。研究チームはGitHubなどから315,320個の推論ブロックをスクレイピングし、デコードの結果、367件の個人情報（PII）と182件の認証情報（クレデンシャル）を回収した。
③ 危険な情報の露出
モデルの最終出力（ユーザーに見える回答）が悪意あるリクエストを安全に拒否していても、推論過程の中に有害な情報が含まれているケースがあることが明らかになった。出力だけを見ていては安全性の判断ができない。この問題は、LLMの安全評価がCoTを考慮していないという従来からの指摘とも接続する論点だ。
④ 不可視のプロンプトインジェクション
悪意あるペイロードを暗号化ブロックの中に完全に埋め込むことで、エージェント型AIの公開ロールアウトをユーザーから見えない形でポイズニング（汚染）できる。プロンプトインジェクションがエージェント環境で深刻化しているなか、検知がさらに困難な攻撃経路が加わった形だ。
PII・クレデンシャル漏洩は既に起きている
特に②の実証は深刻だ。GitHubの公開リポジトリから30万件超の推論ブロックを収集・解読し、実際の個人情報や認証情報を抽出できたという事実は、この攻撃がすでに現実的な脅威として成立していることを示している。暗号化されているから安全、という思い込みが崩れた形だ。
対策と開示
研究チームは責任ある開示（responsible disclosure）の手順を経たうえで、暗号技術とシステム設計の両面から具体的な緩和策を論文内で提案している。詳細は論文本文を参照されたい。
クライアントサイドに暗号化ブロックを渡す設計自体が、今回の攻撃面を生み出している。サーバーサイドに推論トレースを保持する設計への移行が根本的な解決策の一つになり得るが、それはそれでレイテンシやステートレス性とのトレードオフを伴う。
詳細はStealing AI Reasoning Tracesを参照していただきたい。
