8月13日、tftc.ioが「Every Major AI Lab's Reasoning Was Exposed by a Single Bad Key」と題した記事を公開した。Anthropic・OpenAI・Googleの3社がそれぞれ独自に暗号化していた推論トークンが、単一のグローバルキーで横断的に復号できることを研究者が発見し、大量のAPIキーや認証情報が実際に復元された事件を詳しく紹介している。エージェント型AIワークフローが広く普及した現在、「暗号化済み推論」の設計前提そのものを問い直す内容だ。
単一のグローバルキーという設計ミス
2026年8月10日、ドイツのELLIS Institute TübingenとMax Planck Institute for Intelligent Systemsの研究者チームが論文「Stealing Reasoning Traces from Proprietary LLM APIs」を公開した。
※本論文のarXiv ID「2608.09867」は2026年8月公開のものであり、本稿執筆時点（2026年8月14日）では登録直後のため、arXivでの検索結果が反映されるまで時間を要する場合がある。
論文の核心は単純かつ深刻だ。Anthropic・OpenAI・Googleの3社はいずれも、推論トークン（reasoning token）の暗号化を独自に実装していた。しかし研究者が分析した結果、各社の実装がプロバイダー内のセッション・ユーザー・モデルをまたいで共通の単一グローバルキーを使用していることが明らかになった。3社が共謀して同一のキーを使っていたわけではなく、各社が独立して採用した設計が同じ脆弱な構造に帰結していた点が問題の本質だ。
推論トークン（reasoning token）とは、一部の大規模言語モデルが回答を生成する前に内部で行う「思考過程」をAPIレスポンスに含めたもの。各社はこれを暗号化してAPIクライアントには見せない設計を採用していた。現行世代モデルではClaude Opus 4.8やClaude Haiku 4.5（Anthropic）などが該当する。
研究チームはGitHubとHugging Faceから6,708件の公開エージェントトレースログをスクレイピングし、315,320件の推論ブロックを復号。その中から実際のユーザーセッション由来のAPIキー・パスワード・アクセストークンを含む182件の認証情報を回収した。
「復号ジェイルブレイク」の仕組み
暗号化ブロックがグローバルキーで共通化されているため、ブロックはモデルをまたいで互換性を持つ。研究チームはこれを悪用した「復号ジェイルブレイク」を開発した。
手法は以下のとおりだ。
- Claude Opus 4.8など上位モデルから取得した暗号化済み推論トレースを用意する
- それをClaude Haiku 4.5など、論文が「安全制約が相対的に緩い」と位置づける別モデルのプロンプトに注入する
- そのモデルが推論内容を平文でそのまま転写してしまう
元記事・論文ともにClaude Haiku 4.5を「品質が劣る」と評価しているわけではなく、あくまでグローバルキーによってブロックの互換性が成立する点が脆弱性の本質だ。上位モデルを直接ジェイルブレイクする必要がない点も攻撃の現実的な脅威度を高めている。OpenAIとGoogle Geminiでも同じ手法が有効だった。
リードリサーチャーのAlexander Panfilovは2026年8月11日にXへ投稿した。
「フロンティアAI企業すべてのAPIに存在する脆弱性を利用して、フロンティアモデルの隠し推論を抽出する方法を発見した」
警告は5月にあった、しかし各社は無視した
問題をさらに深刻にするのが、事前警告の経緯だ。
ジョンズ・ホプキンス大学のMatthew Green准教授（暗号研究者）は2026年5月29日、リプレイ攻撃の脆弱性を自身のブログで公開し、各社に通知していた。各社の回答は「サイドチャネルやリプレイにセキュリティ上の影響はないと判断している」というものだった。
Panfilovのチームはその後、Greenの発見の上に実際に動くエクスプロイトを構築した。Greenは後日、自身のブログ記事を更新し「彼らはこれを実際に動作する攻撃へと発展させた」と記している。
パッチ後も消えない過去の露出
各社は2026年8月までに緩和策を適用し、論文によれば現時点では主要な抽出攻撃は再現不可能とされている。しかし、これは「今後の抽出をサーバー側でブロックした」に過ぎない。
パッチ以前にGitHubやHugging Faceなどの公開リポジトリに保存されたトレースログは、依然として復号可能なまま残っている。研究チームが2026年7月初旬にテストを実施した期間中、攻撃を実行できた者がいれば、そのデータへのアクセスは今も有効だ。
エージェント型AIワークフローをこれらのAPIで動かし、セッションログをリポジトリにコミットしたり、エージェントトレースを公開した開発者は、その認証情報を侵害済みとみなしてローテーションすべきだ。
設計の本質的な問題
元記事は、グローバルキー採用は偶発的なミスではなく、コスト効率上の意思決定だったと指摘する。グローバルに互換性のある推論ブロックは、セッションごとに分離された鍵管理より安価に運用できるためだ。
各社が「暗号化推論」として提供していた仕組みは、知的財産保護と「APIクライアントへの情報漏洩を制限する」ことを目的としていた。元記事の主張によれば、実際に守られていたのは競合他社からプロバイダー独自の思考過程を守ることであり、ユーザーの秘密情報をプロバイダー自身の攻撃対象領域から守ることではなかった——という点が、設計の根本的な問題として提示されている。
※編集部の考察：エージェント型ワークフローの普及でトレースログが大量に公開リポジトリへ流出しやすい状況になっている現在、セッション単位・ユーザー単位の鍵分離はもはや「理想」ではなく最低限の要件になりつつあると言えるだろう。
現時点で3社のいずれも、セッション単位・ユーザー単位の暗号化キー分離への移行や、修正内容のサードパーティ監査を公式にコミットしていない。
詳細はEvery Major AI Lab's Reasoning Was Exposed by a Single Bad Keyを参照していただきたい。
