Vol de pensées : la faille qui a déchiffré le raisonnement crypté de Claude, GPT et Gemini

Comment fonctionne l'attaque par rejeu

Lorsqu'un utilisateur interroge un modèle de pointe comme Claude Opus 4.8 ou GPT-5.6 Sol via une API, le modèle effectue un raisonnement interne étape par étape — sa « chaîne de pensée » — et renvoie ce raisonnement au client sous la forme d'un bloc opaque de texte crypté. Lors des appels suivants, le client transmet ce bloc à l'API, permettant au modèle de poursuivre son raisonnement sans que le fournisseur stocke l'état intermédiaire côté serveur .

Ce que les chercheurs ont découvert, c'est que ces blocs cryptés ne sont liés ni à une session, ni à un utilisateur, ni même à un modèle spécifique. Ils partagent une seule clé de chiffrement globale pour toutes les sessions et tous les utilisateurs . Cela signifie qu'un bloc capturé lors d'une conversation peut être rejoué dans un autre contexte. L'astuce clé : injectez un bloc d'un modèle de pointe lourdement protégé dans un modèle frère plus faible et moins aligné du même fournisseur (par exemple, Claude Haiku), et le modèle plus faible — qui a moins de garde-fous — décodera et affichera le contenu du bloc textuellement .

L'exécution de l'attaque ne nécessite que deux appels API : un pour capturer le bloc crypté et un pour l'injecter dans le modèle plus faible. Les chercheurs ont démontré que l'attaque fonctionne à grande échelle .

Preuves circonstancielles de distillation : les schémas de probabilité anormaux de Kimi K3

L'attaque n'a pas seulement exposé le raisonnement des modèles de pointe — elle a également fourni de nouvelles preuves dans le débat en cours sur la question de savoir si la société chinoise d'IA Moonshot AI a entraîné son modèle Kimi K3 en distillant (essentiellement en copiant) le raisonnement des modèles américains.

Après avoir extrait les traces de raisonnement de Claude Opus 4.8 et GPT-5.6 Sol, les chercheurs les ont comparées aux résultats de modèles à poids ouverts, dont Kimi K3. Ils ont constaté que les résultats de Kimi K3 présentaient ce qu'ils ont décrit comme des « phénomènes de probabilité anormaux » correspondant étroitement aux schémas trouvés dans les traces de raisonnement de Claude et GPT .

Ces preuves sont circonstancielles, pas définitives. Des chercheurs indépendants affirment que les résultats « fournissent des preuves — bien que non concluantes — que certains modèles chinois ont peut-être été entraînés en distillant des informations de raisonnement à partir de modèles américains » . Autre découverte suggestive : lorsqu'on lui a demandé de s'identifier, Kimi K3 s'est initialement présenté comme « Claude » d'Anthropic, alimentant encore les accusations .

Kimi K3 est un modèle à poids ouverts de 2,8 billions de paramètres publié par Moonshot AI le 16 juillet 2026. Il surpasse Claude Opus 4.8 sur plusieurs références, mais il n'est pas un leader sans équivoque. Sur l'indice indépendant Artificial Analysis Intelligence, K3 obtient un score de 57, contre 60 pour Claude Fable 5 et 59 pour GPT-5.6 Sol. Moonshot elle-même a été inhabituellement franche en admettant que K3 reste globalement en retrait par rapport à GPT-5.6 Sol et Claude Fable 5 .

Le débat sur le calendrier

L'accusation de distillation n'est pas nouvelle — Anthropic et OpenAI ont déjà accusé des entreprises chinoises de distiller systématiquement leurs modèles. Un examen d'articles et de brevets universitaires chinois a révélé que des chercheurs militaires chinois utilisaient les résultats des modèles d'OpenAI et d'Anthropic pour former des systèmes d'IA nationaux destinés à des capacités de défense .

Le lancement de Kimi K3 a immédiatement suscité la controverse. Quelques heures après sa sortie le 16 juillet, Anthropic a accusé Moonshot d'avoir construit K3 en distillant Claude, et l'affirmation est parvenue jusqu'à la Maison Blanche, évoquant la possibilité de sanctions .

Cependant, les critiques de l'affirmation de distillation soulèvent un problème de calendrier. Claude Opus 4.8 a été publié peu avant le lancement de Kimi K3. Des chercheurs indépendants affirment que le calendrier rend une copie directe « peu plausible » car il n'y avait tout simplement pas assez de temps pour entraîner un modèle de 2,8 billions de paramètres en utilisant la distillation à partir d'un modèle qui venait à peine d'être publié . Moonshot affirme que K3 a été construit à partir de recherches indépendantes .

Vulnérabilité de sécurité : fuite de données sensibles à la vue de tous

La même faille architecturale a exposé une vulnérabilité de sécurité pratique. Parce que les modèles de pointe intègrent parfois des identifiants et des données personnelles dans leur processus de raisonnement, les blocs de raisonnement cryptés que les développeurs partageaient publiquement — dans les journaux de session d'agents, par exemple — contenaient des informations sensibles que quiconque connaissant l'astuce pouvait lire.

En scannant environ 7 000 journaux de session d'agents partagés publiquement avant août 2026, les chercheurs ont trouvé 62 clés API actives, 33 mots de passe et d'autres données utilisateur sensibles — 704 artefacts de confidentialité au total — cachés à l'intérieur des blocs de raisonnement cryptés . Tout développeur ayant publié des journaux d'agents bruts a peut-être exposé sans le savoir des clés API, des mots de passe et des informations personnelles identifiables dans des blocs qu'il croyait illisibles . Cela incluait les journaux stockés dans des dépôts GitHub publics .

Les chercheurs ont identifié quatre voies d'abus distinctes rendues possibles par la vulnérabilité : la reconstruction du raisonnement caché, la récupération de secrets intégrés dans les traces d'agents, l'injection d'instructions via un canal non inspectable, et le rejeu entre sessions de blocs non expirés .

Réponses des fournisseurs : correctifs côté serveur après divulgation

Les trois entreprises ont déployé des correctifs côté serveur après que l'équipe de recherche a suivi les procédures de divulgation responsable .

Les chercheurs ont communiqué leurs conclusions à OpenAI, Anthropic, Google, Microsoft et Hugging Face. Après la mise en œuvre des changements par les fournisseurs, des vérifications de reproductibilité ont confirmé que la principale technique d'extraction ne fonctionne plus contre les versions actuelles de l'API . La documentation conseille désormais de supprimer les blocs de raisonnement avant de partager des journaux ou de changer de modèle en cours de conversation .

Notamment, le chercheur en cryptographie Matthew Green avait signalé séparément la vulnérabilité de rejeu entre sessions à OpenAI et Anthropic via leurs programmes de bug bounty en mai 2026, mais avait reçu des réponses dismissives avant la publication de l'article académique .

Les correctifs sont en place depuis août 2026, mais les journaux de session historiques avec des blocs de raisonnement déjà extraits du web public restent accessibles .

Pourquoi cela est important

L'attaque des « pensées volées » révèle une tension fondamentale dans la conception des API d'IA modernes. Les fournisseurs veulent décharger l'état du raisonnement vers le client pour des raisons d'évolutivité et de latence, mais la liaison cryptographique nécessaire pour sécuriser cet état entre sessions, utilisateurs et modèles nécessite une conception minutieuse. L'approche de la clé de chiffrement globale unique utilisée par Anthropic, OpenAI et Google était un raccourci qui a créé une vulnérabilité de sécurité et de confidentialité affectant tous les utilisateurs et développeurs qui interagissaient avec ces API.

L'attaque se situe également au cœur d'un conflit croissant entre les États-Unis et la Chine autour de la distillation de l'IA. Bien que les preuves concernant Kimi K3 soient circonstancielles, elles fournissent les preuves techniques les plus solides à ce jour que la distillation pourrait avoir lieu à grande échelle, et donnent aux décideurs politiques et aux chercheurs un nouvel outil pour enquêter sur la provenance des modèles d'IA.