Vulnérabilité des API de raisonnement IA : comment des modèles plus faibles peuvent extraire les secrets des modèles avancés

Une faille récemment découverte dans le fonctionnement des API de raisonnement d’OpenAI, d’Anthropic et de Google permet à des modèles plus faibles de décoder le raisonnement interne de modèles avancés, exposant ainsi des secrets tels que des clés API et des mots de passe. Selon une étude publiée en août 2026, plus de 315 000 blocs de raisonnement ont été décodés à partir de journaux d’agents publics, révélant 704 artefacts de vie privée, dont 62 clés API et 33 mots de passe. Cette vulnérabilité de l’API de raisonnement IA soulève des questions cruciales pour la sécurité des applications basées sur l’intelligence artificielle.

Le problème : le raisonnement dissimulé dans les appels API

Les fournisseurs d’API de raisonnement (OpenAI, Anthropic, Google) utilisent des objets chiffrés pour transporter le raisonnement interne d’un modèle entre les appels API. Ce mécanisme est conçu pour préserver l’état du raisonnement lorsque la gestion de la conversation est effectuée manuellement ou de manière stateless. Chez OpenAI, l’API peut renvoyer des éléments de raisonnement chiffrés que les applications rejouent avec un historique géré manuellement. Anthropic transporte l’intégralité du raisonnement dans une signature chiffrée, et Google utilise des « thought signatures » chiffrées.

La faiblesse identifiée ne réside pas dans le chiffrement lui-même - celui-ci n’a pas été cassé - mais dans la portabilité des blocs chiffrés entre sessions, utilisateurs et même modèles. Un bloc de raisonnement créé dans une session peut être rejoué dans une autre session, et même passé à un modèle plus faible de la même famille pour le forcer à révéler le contenu caché. Les chercheurs ont démontré que ces objets opaques restent intacts et acceptés par le fournisseur, sans nécessiter de clé de déchiffrement.

Le concept de « décodeur flou »

L’attaque repose sur l’utilisation d’un modèle compatible plus faible comme décodeur. Par exemple, Claude Haiku 4.5 pour des traces d’Anthropic, GPT-5.6 Luna pour OpenAI, ou Gemini Robotics ER-1.6 pour Google. Le modèle plus faible est invité à transcrire le raisonnement produit par un modèle plus fort. Les chercheurs qualifient cette technique de « fuzzy decoder », car elle ne produit pas une copie exacte mais une reconstruction suffisamment fidèle pour extraire des informations sensibles.

Comment l’attaque fonctionne : portabilité et modèle « décodeur »

L’exploitation suit un schéma simple :

1. Récupération d’un bloc de raisonnement : le bloc peut provenir de journaux d’agents publics, de traces partagées ou de sessions interceptées.
2. Rejeu vers un modèle compatible : le bloc est transmis à l’API d’un modèle plus faible du même fournisseur, qui le traite comme s’il s’agissait de son propre raisonnement.
3. Extraction du contenu : le modèle décodeur produit une transcription du raisonnement, révélant potentiellement des secrets.

« Le bloc de raisonnement chiffré est portable entre sessions et utilisateurs, ce qui permet à un attaquant de récupérer des informations confidentielles sans jamais casser le chiffrement. » - Extrait de l’étude Stealing Reasoning Traces from Proprietary LLM APIs

Cette technique a été testée sur 6 708 trajectoires d’agents publiques. Les chercheurs ont décodé 315 320 blocs de pensée, puis après exclusion des sources de référence, ils ont compté 704 artefacts de vie privée distincts provenant de sessions utilisateur réelles. Parmi eux : 62 clés API, 33 mots de passe, 24 jetons d’accès et 7 clés privées.

Une attaque limitée mais préoccupante

L’attaque inter-utilisateurs ne permet pas un accès arbitraire aux conversations privées. Elle nécessite d’obtenir un bloc de raisonnement chiffré, par exemple publié dans un journal d’agent, et un accès API à un modèle compatible du même fournisseur. Toutefois, le simple fait que des blocs opaques puissent être rejoués entre comptes transforme les journaux d’agents publics en un problème de sécurité majeur.

Les quatre voies d’exploitation démontrées

L’équipe de recherche a démontré quatre types d’abus exploitant cette vulnérabilité :

1. Vol de raisonnement propriétaire pour distillation de modèles : un attaquant peut capturer le raisonnement d’un modèle avancé (par exemple GPT-5) et l’utiliser pour entraîner un modèle concurrent, sans jamais accéder au modèle lui-même.
2. Extraction de données privées à partir de traces publiées : des journaux d’agents partagés sur GitHub ou d’autres plateformes contiennent des blocs de raisonnement qui, une fois décodés, révèlent des secrets que le développeur croyait avoir supprimés dans le texte visible.
3. Récupération de contenu nuisible dissimulé : certains utilisateurs peuvent masquer des instructions dangereuses (par exemple, contournement de sécurité) dans le raisonnement opaque, tandis que la réponse visible reste anodine. L’attaque permet de retrouver ce contenu.
4. Injection de prompts invisibles : les chercheurs ont fabriqué un bloc de raisonnement opaque contenant une instruction malveillante, puis l’ont rejoué dans une tâche non connexe. Le modèle récepteur a alors ajouté une action de téléchargement non autorisée sans que l’instruction injectée n’apparaisse dans le texte visible.

Impact sur la vie privée : des secrets dans les blocs opaques

L’un des résultats les plus frappants de l’étude concerne la découverte que 64 artefacts sur les 704 extraits apparaissaient uniquement dans le raisonnement caché, et nulle part dans la trace visible. Cela signifie que la simple suppression des informations sensibles dans le dialogue affiché ne suffit pas : les secrets peuvent encore résider dans les blocs opaques associés.

« 64 clés API et mots de passe se trouvaient exclusivement dans le raisonnement dissimulé. Sanitiser la conversation lisible ne protège pas si le bloc opaque reste présent. » - Équipe de recherche

Le tableau ci-dessous résume les types d’artefacts découverts dans les 6 708 trajectoires analysées :

Ces chiffres montrent que le problème dépasse le simple cadre théorique. Des développeurs français utilisant des API de raisonnement pour des applications métiers (chatbots, assistants de codage, agents autonomes) doivent prendre conscience que leurs journaux peuvent exposer bien plus que ce qui est visible.

Réponses des fournisseurs et état actuel

Les fournisseurs concernés - OpenAI, Anthropic, Google, Microsoft et Hugging Face - ont été informés de la vulnérabilité. Selon les chercheurs, les attaques démontrées ont cessé de fonctionner après les correctifs mis en place. Leur déclaration de reproductibilité indique que l’attaque d’extraction principale n’est plus reproductible depuis août 2026.

Cependant, aucune confirmation publique de la part des fournisseurs n’a été publiée à ce jour. OpenAI n’a pas communiqué sur le sujet, Anthropic n’a pas lié sa documentation actuelle à cette recherche, et Google n’a pas fait de déclaration officielle. La seule preuve que l’attaque ne fonctionne plus repose sur la déclaration des chercheurs eux-mêmes, ce qui laisse une incertitude quant à l’état réel de la vulnérabilité.

État actuel de la documentation

• OpenAI : indique toujours aux développeurs de rejouer les éléments de raisonnement chiffrés lors de la gestion manuelle d’un historique stateless.
• Anthropic : précise désormais que les blocs de pensée sont liés au modèle qui les a produits et doivent être supprimés lors d’un changement de modèle, car les autres modèles les ignorent.
• Google : indique que son backend gère la compatibilité des pensées lorsqu’une session change de modèle.

Ces précautions n’étaient pas en place avant la divulgation, et les chercheurs soulignent que les centaines de milliers de blocs de raisonnement déjà présents dans les dépôts publics pourraient rester décodables tant qu’ils n’ont pas été retirés ou chiffrés différemment.

Recommandations pour les développeurs

Face à cette vulnérabilité, les développeurs utilisant des API de raisonnement doivent adopter les bonnes pratiques suivantes :

1. Supprimer systématiquement les blocs de raisonnement et les champs opaques des journaux partagés ou des traces d’agents. Ne pas se fier uniquement à la sanitization du texte visible.
2. Éviter d’engager des transcriptions brutes d’API dans des systèmes de contrôle de version, même si le texte a été nettoyé.
3. Utiliser des mécanismes de rotation des clés : les clés API exposées via ces blocs doivent être régénérées immédiatement.
4. Mettre en place un chiffrement de bout en bout pour les données sensibles transitant par les API de raisonnement, en complément du chiffrement transport.
5. Auditer les journaux d’agents publiés ou stockés pour identifier tout bloc opaque potentiellement porteur de secrets.
6. Suivre les mises à jour des fournisseurs et appliquer les correctifs dès qu’ils sont disponibles, même si la vulnérabilité semble résolue.

En pratique, les équipes de sécurité doivent considérer que tout bloc de raisonnement opaque est potentiellement lisible par un attaquant disposant d’un accès API au même fournisseur. La recommandation de l’ANSSI en matière de sécurisation des API - notamment la gestion des secrets et la minimisation des données exposées - s’applique pleinement ici.

Conclusion : une vigilance accrue nécessaire

La vulnérabilité des API de raisonnement IA illustre une nouvelle classe de risques liée à l’utilisation croissante des modèles de langage avancés. Bien que les correctifs aient été déployés, l’absence de communication officielle des fournisseurs et la présence de blocs historiques potentiellement décodables incitent à la prudence. Les développeurs français, en particulier ceux manipulant des données sensibles ou des systèmes critiques, doivent intégrer cette menace dans leur analyse de risque.

La prochaine action concrète consiste à auditer vos journaux d’API de raisonnement, à supprimer tout bloc opaque inutile, et à mettre en place un processus de rotation des secrets exposés. Ne laissez pas des secrets dormir dans des blocs que même un modèle plus faible peut lire.