Forscher decken Replay-Lücke auf: KI-Reasoning ließ sich auslesen

Forscher haben eine Schwachstelle in den KI-APIs von OpenAI, Anthropic und Google aufgedeckt: Geschützte Reasoning-Spuren leistungsfähiger Modelle ließen sich unter bestimmten Bedingungen mit anderen, schwächeren Modellen rekonstruieren. Die Verschlüsselung selbst wurde dabei nicht geknackt. Brisant ist vor allem ein zweiter Befund – in öffentlich zugänglichen KI-Sitzungen stießen die Forscher auf Passwörter, API-Schlüssel und andere sensible Daten.

Tübingen, 12. August 2026. Was ein KI-Modell während der Bearbeitung einer komplexen Aufgabe intern erzeugt, bleibt Nutzern normalerweise verborgen. Gerade bei sogenannten Reasoning-Modellen können solche Zwischenschritte jedoch als geschützte Datenblöcke zwischen Anwendung und Anbieter transportiert werden. Eine neue Forschungsarbeit zeigt nun, dass genau dieser Mechanismus zeitweise eine unerwartete Schwachstelle hatte.

Das Team hinter der Studie „Stealing Reasoning Traces from Proprietary LLM APIs“ untersuchte Systeme von OpenAI, Anthropic und Google. Den Forschern gelang es nach eigenen Angaben, geschützte KI-Reasoning-Spuren unter bestimmten Voraussetzungen in einen anderen Kontext zu übertragen und dort wieder lesbar zu machen. Dafür mussten sie weder einen geheimen Schlüssel erbeuten noch ein Verschlüsselungsverfahren mathematisch brechen.

Der Fall ist deshalb weniger ein klassischer Kryptografie-Hack als ein Problem der Sicherheitsarchitektur: Ein gültiger, geschützter Datenblock wurde an einer Stelle akzeptiert, für die er ursprünglich nicht bestimmt war.

KI-Reasoning ließ sich über andere Modelle rekonstruieren

Moderne Reasoning-Systeme zerlegen anspruchsvolle Aufgaben intern in mehrere Verarbeitungsschritte. Einige APIs geben Informationen über diesen Zustand in verschlüsselter oder anderweitig geschützter Form an die aufrufende Anwendung zurück. Bei einer späteren Anfrage kann der Datenblock erneut an den Anbieter geschickt werden, damit das System den bestehenden Kontext fortsetzt.

Die Forscher setzten genau dort an. Sie übernahmen einen gültigen Reasoning-Block eines leistungsfähigeren Modells und spielten ihn in einem anderen Kontext wieder ein. In ihren Tests konnten solche Blöcke teilweise auch von einem anderen, kompatiblen Modell desselben Anbieters verarbeitet werden.

Der entscheidende Schritt folgte danach: Weniger leistungsfähige oder schwächer gegen eine solche Ausgabe abgesicherte Modelle ließen sich dazu bringen, Teile der darin enthaltenen KI-Reasoning-Spuren wiederzugeben. Das stärkere Modell erzeugte den internen Zustand, ein anderes Modell half bei dessen Rekonstruktion.

Damit relativiert sich zugleich die zugespitzte Vorstellung eines „geknackten KI-Denkprozesses“. Die Studie liefert keinen Beleg dafür, dass die eigentliche Verschlüsselung kompromittiert wurde. Das Problem lag vielmehr darin, dass gültige geschützte Daten in anderen Sitzungen oder Modellkontexten wiederverwendet werden konnten.

Replay-Angriff statt gebrochener Verschlüsselung

In der IT-Sicherheit wird ein solches Prinzip als Replay bezeichnet: Bereits gültige Informationen werden erneut eingesetzt, allerdings in einem anderen Zusammenhang. Hinweise auf entsprechende Eigenschaften bei verschlüsselten Reasoning-Daten hatte der Kryptograf Matthew Green bereits Ende Mai 2026 dokumentiert. Er stellte fest, dass unveränderte Blöcke unter bestimmten Bedingungen über Sitzungen und Accounts hinweg akzeptiert wurden.

Die nun veröffentlichte Forschungsarbeit geht weiter. Sie zeigt nicht nur die Wiederverwendung solcher Daten, sondern beschreibt einen Weg, daraus Informationen über die verborgenen Reasoning-Schritte zu gewinnen. Nach Angaben der Autoren funktionierte das bei den untersuchten Modellökosystemen von OpenAI, Anthropic und Google – allerdings nur unter bestimmten technischen Voraussetzungen.

Von einer universellen Methode, mit der ein beliebiges schwaches KI-Modell verschlüsselte Daten stärkerer Systeme entschlüsseln könnte, kann deshalb keine Rede sein.

Forscher untersuchten 315.320 geschützte Datenblöcke

Die Studie beschränkt sich nicht auf kontrollierte Modelltests. Das Forschungsteam analysierte zusätzlich öffentlich zugängliche Sitzungen von KI-Agenten, die auf GitHub und Hugging Face veröffentlicht worden waren. Insgesamt werteten die Forscher 6.708 solcher Sitzungen aus und rekonstruierten daraus 315.320 Reasoning-Blöcke.

Dabei zeigte sich eine zweite Dimension des Problems. In einem kleinen Teil der untersuchten Blöcke steckten sensible Informationen, die im sichtbaren Verlauf einer Sitzung nicht unbedingt noch erkennbar sein mussten.

Nach Angaben der Forschungsarbeit enthielten 1.028 der 315.320 untersuchten Blöcke mindestens ein Element, das die Autoren als Datenschutzverletzung einstuften. Auf Ebene der einzelnen Sitzungen fanden sie in 328 von 6.708 Fällen mindestens eine reale sensible Information.

Darunter waren auch Zugangsdaten. In nicht synthetischen Nutzersitzungen identifizierten die Forscher 62 API-Schlüssel, 33 Passwörter, 24 Access Tokens und sieben private Schlüssel. Außerdem fanden sie persönliche E-Mail-Adressen, Namen, Postadressen und weitere personenbezogene Angaben.

Die Zahlen bedeuten nicht, dass diese Daten aus den internen Systemen der drei KI-Anbieter gestohlen wurden. Untersucht wurden öffentlich verfügbare Agenten-Sitzungen. Das Risiko entstand also dort, wo umfangreiche Protokolle von KI-Anwendungen veröffentlicht worden waren und geschützte Reasoning-Daten darin verblieben.

Gelöscht im Chat, vorhanden im Reasoning

Für Entwickler ist ein anderer Befund besonders relevant. Eine sensible Information kann aus dem sichtbaren Verlauf entfernt sein und trotzdem innerhalb einer KI-Reasoning-Spur weiterbestehen.

Das lässt sich an einem typischen Ablauf erklären: Ein KI-Agent verarbeitet einen Zugangsschlüssel und erkennt anschließend, dass dieser nicht öffentlich erscheinen sollte. Im sichtbaren Ergebnis wird die Zeichenfolge entfernt oder ersetzt. Intern kann das Modell den ursprünglichen Wert zuvor jedoch bereits verarbeitet haben. Wird später der komplette Sitzungszustand einschließlich des geschützten Reasoning-Feldes veröffentlicht, ist die Bereinigung womöglich unvollständig.

Gerade bei Debug-Protokollen, Forschungsdatensätzen und öffentlich geteilten Agenten-Trajektorien entsteht dadurch ein schwer erkennbares Risiko. Ein Datenfeld ist nicht automatisch ungefährlich, nur weil sein Inhalt für Menschen zunächst unlesbar erscheint.

OpenAI, Anthropic und Google haben reagiert

Für die aktuelle Einordnung der Schwachstelle ist der zeitliche Ablauf entscheidend. Die Forscher meldeten ihre Ergebnisse vor der Veröffentlichung an die betroffenen Anbieter. Nach Angaben der Studie bestätigten die Modellanbieter den Eingang der Hinweise und führten anschließend Gegenmaßnahmen ein.

Auch WIRED berichtete über Reaktionen der Unternehmen. Anthropic teilte dem Magazin demnach mit, kurzfristige Schutzmaßnahmen gegen das beschriebene Replay-Verhalten umgesetzt zu haben.

Die Tests der Forschungsarbeit bilden vor allem den Zustand der untersuchten Systeme Anfang Juli 2026 ab. Nach den Änderungen konnten die Autoren ihre zentralen Proof-of-Concept-Angriffe im August nach eigenen Angaben nicht mehr auf dieselbe Weise reproduzieren.

Das ist eine wichtige Einschränkung. Die Studie belegt eine konkrete Sicherheitslücke und deren erfolgreiche Ausnutzung unter Forschungsbedingungen. Sie belegt dagegen nicht, dass die beschriebene Methode heute unverändert funktioniert. Ebenso gibt es auf Grundlage der Untersuchung keinen Nachweis dafür, dass Kriminelle die Schwachstelle zuvor systematisch eingesetzt haben.

Normale KI-Nutzer waren nicht automatisch angreifbar

Auch der Kreis der potenziell Betroffenen muss klar abgegrenzt werden. Im Zentrum der Untersuchung stehen APIs, Entwicklerwerkzeuge und KI-Agenten, die geschützte Reasoning-Zustände zwischen mehreren Anfragen transportieren.

Daraus folgt nicht, dass sich die Unterhaltungen beliebiger Nutzer von ChatGPT, Claude oder Gemini auf diesem Weg auslesen ließen. Die beschriebenen Angriffe benötigten bestimmte technische Voraussetzungen sowie kompatible Modelle innerhalb des jeweiligen Anbieterökosystems.

Das gilt auch für die Rolle der schwächeren Modelle. Sie konnten in den Versuchen unter bestimmten Bedingungen bei der Rekonstruktion geschützter Informationen helfen. Daraus lässt sich kein allgemeiner Mechanismus ableiten, nach dem kleinere Sprachmodelle beliebige verschlüsselte Daten lesen könnten.

KI-Sicherheit betrifft zunehmend den Zustand zwischen zwei Anfragen

Die Untersuchung berührt mehr als den Schutz einzelner Passwörter. Interne Reasoning-Spuren können auch Informationen darüber enthalten, wie leistungsfähige Modelle Aufgaben bearbeiten. Solche Daten sind für die Anbieter wirtschaftlich und technisch relevant, weil sie Rückschlüsse auf das Verhalten ihrer Systeme ermöglichen können.

Die Forscher nennen außerdem Risiken durch manipulierte Reasoning-Kontexte. Wenn eine Anwendung geschützte Zustandsdaten übernimmt, ohne deren Bindung an Sitzung, Nutzer oder Modell ausreichend abzusichern, könnten darüber auch unerwünschte Instruktionen transportiert werden. Die Studie diskutiert in diesem Zusammenhang unter anderem unsichtbare Prompt-Injection-Szenarien.

Als Gegenmaßnahme schlagen die Autoren deshalb eine stärkere Bindung der Reasoning-Blöcke an ihren ursprünglichen Kontext vor. Ein Datenblock könnte dann nicht ohne Weiteres von einer Sitzung in eine andere oder von einem Modell zu einem kompatiblen Geschwistermodell übertragen werden.

Die Schwachstelle lag nicht im Schlüssel

Der Fall zeigt, wie sich die Angriffsfläche von KI-Systemen verändert. Sobald Modelle nicht mehr nur einzelne Antworten erzeugen, sondern über längere Abläufe hinweg Zustände speichern, austauschen und an andere Komponenten weiterreichen, entstehen Sicherheitsfragen an Stellen, die im sichtbaren Chat kaum auffallen.

Die Verschlüsselung der untersuchten KI-Reasoning-Spuren wurde nach dem bekannten Forschungsstand nicht gebrochen. Verwundbar war der Umgang mit den geschützten Informationen nach ihrer Erzeugung. Die konkret demonstrierten Angriffe wurden nach der Meldung an die Anbieter entschärft.

Für Entwickler bleibt dennoch eine praktische Konsequenz: Undurchsichtige Reasoning-Felder sollten beim Teilen von Agenten-Sitzungen nicht wie bedeutungslose technische Anhänge behandelt werden. Sie können sensible Informationen enthalten, selbst wenn der sichtbare Verlauf bereits bereinigt wurde. Mit immer komplexeren KI-Agenten wird damit eine Frage wichtiger, die über diesen einzelnen Sicherheitsfall hinausreicht: Nicht nur was ein Modell ausgibt, muss geschützt werden – sondern auch der Zustand, den es auf dem Weg dorthin weitergibt.