Faille de sécurité des API de raisonnement IA : des modèles plus faibles déchiffrent vos pensées cachées

Une vulnérabilité qui expose le raisonnement caché des IA

Plus de 300 000 blocs de raisonnement chiffrés ont été décodés à partir de traces publiques, révélant 704 artefacts de confidentialité, dont 62 clés API et 33 mots de passe. Cette découverte, réalisée par une équipe de chercheurs et détaillée dans l’étude Stealing Reasoning Traces from Proprietary LLM APIs, met en évidence une faille de sécurité des API de raisonnement IA jusqu’alors inconnue. Les API d’OpenAI, Anthropic et Google sont concernées, exposant potentiellement les données les plus sensibles des entreprises et des développeurs.

Dans cet article, nous analysons le mécanisme de cette vulnérabilité, les scénarios d’attaque démontrés, l’ampleur des fuites de données, et les mesures concrètes pour vous protéger. Que vous soyez développeur, RSSI ou simplement utilisateur d’API d’IA générative, cette faille mérite toute votre attention.

Saviez-vous que les pensées cachées de votre IA, celles qu’elle génère avant de vous répondre, pourraient être lues par un modèle moins intelligent ? C’est ce que révèle une étude publiée en août 2026, qui a mis au jour une vulnérabilité inédite dans les API de raisonnement des principaux fournisseurs d’IA.

Comment la faille fonctionne-t-elle ?

Des objets chiffrés trop permissifs

Les API de raisonnement d’OpenAI, Anthropic et Google utilisent des objets chiffrés pour préserver le raisonnement de l’IA entre les appels API, notamment dans les scénarios où la gestion de l’historique est manuelle ou sans état. OpenAI renvoie des encrypted reasoning items que les applications peuvent rejouer avec un historique géré manuellement. Anthropic transmet le raisonnement complet dans une signature chiffrée, tandis que Google utilise des encrypted thought signatures. Ces objets permettent de conserver l’état du raisonnement sans exposer le texte clair directement au client.

Toutefois, le défaut réside dans la portabilité de ces objets chiffrés. En effet, ils ne sont pas liés de manière unique à la session ou à l’utilisateur qui les a créés. Les chercheurs ont découvert qu’un bloc de raisonnement créé dans une session pouvait être rejoué dans une autre session, voire utilisé avec un autre modèle compatible du même fournisseur. Cette propriété ouvre la porte à des abus sérieux.

Le tableau ci-dessous résume les approches des trois fournisseurs avant les correctifs :

Le décodage par des modèles plus faibles

L’aspect le plus surprenant de cette vulnérabilité est la possibilité d’utiliser un modèle plus faible comme décodeur flou (fuzzy decoder) pour transcrire le raisonnement produit par un modèle plus fort. Concrètement, les chercheurs ont utilisé Claude Haiku 4.5 pour décoder des traces de Claude, GPT-5.6 Luna pour des traces GPT, et Gemini Robotics ER-1.6 pour des traces Gemini. En sollicitant ces modèles plus légers, ils ont pu reconstituer le raisonnement caché contenu dans les objets chiffrés, y compris des informations sensibles.

« L’attaque ne nécessite pas de casser le chiffrement lui-même. Elle repose sur le fait que les blocs opaques sont acceptés et traités par le fournisseur, permettant à un modèle compatible d’agir comme un décodeur. » - Extrait de l’étude Stealing Reasoning Traces from Proprietary LLM APIs.

Cette technique s’appuie sur des travaux antérieurs du cryptographe Matthew Green de l’université Johns Hopkins, qui avait démontré en mai 2026 que les blocs de raisonnement chiffrés pouvaient être rejoués entre sessions et comptes, sans toutefois parvenir à une extraction fiable des secrets. La nouvelle étude transforme ce rejeu en une méthode d’extraction à grande échelle.

Matthew Green a déclaré : « J’ai signalé le comportement de rejeu à OpenAI et Anthropic via leurs programmes de bug bounty. OpenAI a qualifié mon rapport de non reproductible, et Anthropic n’a pas vu d’implications de sécurité. » Ce n’est que plusieurs mois plus tard que la communauté a pris la mesure du problème.

Les quatre scénarios d’attaque démontrés

Les chercheurs ont identifié quatre voies d’attaque exploitant cette faille :

1. Vol de raisonnement propriétaire : un attaquant peut extraire le raisonnement détaillé d’un modèle concurrent pour effectuer de la distillation de modèle et améliorer ses propres IA. Cela représente un risque de propriété intellectuelle pour les fournisseurs.
2. Extraction de données privées : en récupérant des traces d’agents publiées, il est possible d’extraire des secrets utilisateur comme des clés API, mots de passe ou tokens d’accès. Sur les 704 artefacts trouvés, 64 n’étaient visibles que dans le raisonnement caché.
3. Récupération de contenu nuisible : des contenus dangereux (instructions de hacking, recettes de substances illicites) cachés derrière une réponse visible sécurisée peuvent être révélés via le décodage du raisonnement.
4. Injection de prompt invisible : un attaquant peut insérer une instruction malveillante dans un bloc de raisonnement opaque et le rejouer dans une tâche non liée, provoquant des actions non autorisées sans que l’utilisateur ne voie l’injection. Les chercheurs ont démontré cette attaque en faisant en sorte que le modèle ajoute une action de téléchargement vers un serveur contrôlé par l’attaquant.

Ces scénarios montrent la gravité de la faille, qui va bien au-delà d’un simple problème de confidentialité. Imaginez qu’un concurrent puisse dérober le raisonnement de votre modèle propriétaire en quelques clics, ou qu’un attaquant puisse injecter des instructions invisibles dans vos agents IA. Ce n’est pas de la science-fiction, mais une réalité démontrée.

Les chercheurs ont également démontré que la même portabilité permet une injection de prompt invisible. En créant un bloc de raisonnement opaque contenant une instruction malveillante, ils ont pu le rejouer dans une tâche non liée, provoquant l’ajout d’une action de téléchargement sans que l’instruction apparaisse dans le texte visible. Cette attaque est particulièrement dangereuse car elle contourne les mécanismes de filtrage de contenu.

L’impact en chiffres : des milliers de secrets exposés

L’étude a analysé 6 708 trajectoires d’agents publiques et décodé 315 320 blocs de raisonnement. Après exclusion des sources de référence (benchmarks), les chercheurs ont compté 704 artefacts de confidentialité provenant de sessions utilisateur réelles, répartis comme suit :

Parmi ces artefacts, 64 n’apparaissaient que dans le raisonnement caché et n’étaient pas visibles dans la trace lisible. Cela signifie que même si vous nettoyez soigneusement les parties visibles de vos logs, des secrets peuvent encore se trouver dans les blocs de raisonnement opaques.

« Sanitizing the readable conversation could therefore leave secrets inside an opaque block that another account was able to replay. » - Extrait de l’étude.

Les chercheurs précisent qu’ils ne disposent pas du texte clair de référence pour le raisonnement propriétaire, ils ne peuvent donc garantir que chaque trace reconstituée est une copie exacte. Leurs vérifications de fidélité se sont appuyées sur les comptes de tokens de raisonnement et des comparaisons qualitatives, avec des longueurs extraites généralement en phase avec les comptes de tokens de réflexion rapportés par les fournisseurs.

Conséquences pour les entreprises françaises

Pour les entreprises françaises, cette exposition est d’autant plus critique qu’elles doivent se conformer au RGPD. Une fuite de données personnelles via des logs d’IA pourrait entraîner des sanctions sévères de la part de la CNIL. Prenons un exemple concret : une entreprise de la fintech utilise un agent IA pour analyser des transactions et publie ses logs d’agents sur un dépôt open source. Un attaquant récupère les blocs de raisonnement et en extrait des clés API permettant d’accéder à son infrastructure bancaire. Selon le rapport, 62 clés API ont été découvertes dans les traces publiques, ce qui montre que ce scénario est loin d’être théorique.

L’ANSSI recommande une gestion rigoureuse des secrets et une surveillance des logs. Cette vulnérabilité renforce l’importance de ces bonnes pratiques.

Recommandations pour sécuriser vos déploiements

Face à cette vulnérabilité, les chercheurs et les experts en sécurité recommandent plusieurs mesures concrètes :

• Supprimer les blocs de raisonnement des traces partagées publiquement. Utilisez des scripts pour filtrer les champs encrypted_reasoning ou thinking avant toute publication.
• Éviter de commettre des transcriptions d’API brutes dans des dépôts de code, même si le texte visible a été nettoyé. Les objets chiffrés peuvent encore contenir des informations exploitables.
• Utiliser des outils de détection pour identifier la présence d’objets de raisonnement dans vos logs avant de les partager. Des outils comme GitGuardian ou TruffleHog peuvent être configurés pour repérer les motifs d’objets chiffrés.
• Mettre à jour vos bibliothèques client dès que les fournisseurs publient des correctifs. OpenAI, Anthropic et Google ont déjà mis en place des atténuations, mais il est crucial de les appliquer.
• Auditer les traces existantes : si vous avez publié des logs d’agents par le passé, vérifiez s’ils contiennent des blocs de raisonnement et retirez-les ou révoquez les secrets potentiellement exposés.
• Former vos équipes aux risques liés aux API d’IA et aux bonnes pratiques de gestion des logs.

Exemple de commande pour filtrer les blocs de raisonnement dans un fichier JSON (avec jq) :

jq 'del(.choices[].message.reasoning)' agent_log.json > clean_log.json

Ce type de script peut être intégré dans votre pipeline de déploiement pour garantir que les traces partagées sont exemptes d’objets sensibles. Pour une sécurité renforcée, vous pouvez également automatiser la détection via des outils de scan de code.

Il est également recommandé de mettre en place une politique de gestion des logs d’IA, incluant une revue régulière des traces publiées et l’utilisation d’outils de détection de secrets. L’ANSSI propose des guides pour la sécurisation des API qui peuvent être adaptés à ce contexte.

Quelle réponse des fournisseurs ?

Selon les chercheurs, les attaques démontrées ne sont plus reproductibles depuis août 2026 après les correctifs apportés par les fournisseurs. Cependant, aucune confirmation publique officielle n’a été émise par OpenAI, Anthropic ou Google à ce jour. Les modifications documentées dans leurs API suggèrent que des atténuations ont été mises en place :

• OpenAI continue de recommander de rejouer les encrypted reasoning items mais a probablement renforcé leur liaison à la session.
• Google indique que son backend gère la compatibilité des pensées lorsqu’un modèle change de session.
• Anthropic précise désormais que les thinking blocks sont liés au modèle qui les a produits et doivent être supprimés lors d’un changement de modèle.

Néanmoins, la question des blocs déjà publiés reste ouverte. Les chercheurs ont décodé des centaines de milliers de blocs provenant de dépôts publics, mais l’étude ne précise pas si ces blocs restent décodables après les correctifs. Il est donc impératif de traiter les traces existantes comme potentiellement vulnérables.

Le rapport de reproductibilité indique que l’attaque principale n’est plus reproductible depuis août 2026, mais cela ne couvre pas les blocs déjà publiés. Les chercheurs n’ont pas documenté d’exploitation malveillante dans la nature, mais le risque demeure pour les traces historiques.

Plusieurs questions restent en suspens :

• Les fournisseurs ont-ils informé les utilisateurs dont les secrets ont été exposés ?
• Les blocs déjà publiés sont-ils toujours décodables ?
• Des attaquants ont-ils exploité cette faille avant sa découverte ?
• Comment les fournisseurs comptent-ils prévenir ce type de vulnérabilité à l’avenir ?

Conclusion : une vigilance accrue s’impose

La faille de sécurité des API de raisonnement IA découverte par les chercheurs rappelle que les mécanismes conçus pour améliorer la transparence et la continuité des modèles peuvent aussi devenir des vecteurs d’attaque. La portabilité des objets chiffrés, couplée à la possibilité de les décoder via des modèles plus faibles, crée un risque sérieux pour la confidentialité des données.

En tant que professionnel de la sécurité, vous devez intégrer ces nouvelles menaces dans votre analyse de risques. Les API d’IA générative sont devenues incontournables, mais leur adoption ne doit pas se faire au détriment de la protection des données. Appliquez les recommandations ci-dessus, surveillez les communications des fournisseurs et formez vos équipes aux bonnes pratiques.

Cette affaire constitue également une piqûre de rappel pour l’industrie : la sécurité des API d’IA doit être pensée dès la conception, et non après coup. Les chercheurs ont démontré que des attaques complexes peuvent naître de simples défauts de liaison entre sessions. Il est temps de prendre ces risques au sérieux.

Nous vous invitons à partager cet article avec vos collègues et à engager une réflexion sur la sécurité de vos déploiements d’IA. Si vous avez des questions ou des retours d’expérience, n’hésitez pas à les partager dans les commentaires.