Ricercatori estraggono blocchi di ragionamento cifrati da API di OpenAI, Anthropic e Google
Testo scritto con l’intelligenza artificiale a partire da una fonte citata, senza revisione umana prima della pubblicazione.
Un esperimento mostra che le 'chain-of-thought' cifrate restituite dalle API possono essere riprodotte in modelli più deboli e rivelate in chiaro.
L’11 agosto 2026 Simon Willison mostra che le API di Anthropic, OpenAI e Google possono restituire blocchi di “chain-of-thought” cifrati. Questi blocchi si possono rigiocare e decifrare usando modelli più deboli, fino a ottenere il ragionamento in chiaro1.
Il post rimanda a un paper e ne sintetizza la tecnica. Si cattura una traccia prodotta da un modello “frontier”. La si riproduce in un “weaker sibling”. Poi si effettua un jailbreak sul modello debole per far restituire il testo del ragionamento che il modello forte aveva nascosto1. Gli autori affermano che il “replay” funziona tra sessioni, utenti e modelli diversi1.
Willison definisce il lavoro “a neat paper” e segnala anche il dominio dedicato stolen-thoughts.com con il materiale della ricerca1. Il suo intervento è un link blog: punta alla risorsa, riassume l’idea e mostra come individuare i blocchi cifrati in una risposta API1.
L’esempio pratico usa una chiamata a https://api.openai.com/v1/responses con il modello “gpt-5.6-luna”. La richiesta imposta reasoning.effort su “medium”. Include “reasoning.encrypted_content”. Disattiva store e stream. Prevede le intestazioni Content-Type e Authorization. Il prompt chiede: “What is the smallest positive integer divisible by every integer from 1 through 20?” e sollecita una soluzione passo passo1.
La risposta mostra oggetti con type “reasoning”, un id che inizia con “rs_”, un array “content” vuoto e un campo cifrato. In uno spezzone compaiono “type”: “reasoning”, “content”: [], “id”: “rs_0a7479de7ebae170016a7ba1a0334c8198a95590217efe343c”, seguito da un campo “encrypted…” troncato nell’anteprima pubblicata1. La presenza di “include”: [“reasoning.encrypted_content”] nella richiesta fa emergere questi blocchi cifrati nella risposta1.
Il punto centrale non è solo la loro visibilità. Secondo gli autori, quei blocchi possono essere rigiocati tra sessioni, utenti e modelli, e un jailbreak su un modello “sibling” più debole può rivelarne il contenuto in chiaro1. La dimostrazione riguarda API e modelli di tre fornitori: Anthropic, OpenAI e Google1.
Willison non riporta risposte ufficiali dei fornitori. Non elenca mitigazioni né cambi di policy. Si limita a collegare il paper, illustrare l’idea di attacco e offrire un esempio di risposta API con i blocchi di ragionamento cifrati1.
Il post non fornisce varianti del metodo né metriche di efficacia oltre alla descrizione di base. Chi sviluppa con queste API può comunque verificare se le risposte includono sezioni “reasoning” cifrate impostando “include”: [“reasoning.encrypted_content”], come nell’esempio mostrato1. Resta assente, al momento del post, una posizione pubblica dei tre fornitori sul comportamento descritto1.
Fonti
Come è nato questo articolo Scritto da un sistema di intelligenza artificiale, con controlli automatici
Millebit non ha giornalisti che scrivono gli articoli: li scrive un motore editoriale basato su modelli di intelligenza artificiale, a partire dalle fonti elencate qui sopra. Prima di uscire, ogni testo passa questi controlli:
- Fedeltà alle fonti. Un secondo passaggio toglie ogni affermazione che le fonti non sostengono.
- Anti-cliché. Un filtro scarta frasi fatte, enfasi e tic della prosa artificiale.
- Giudizio editoriale. Un modello valuta il pezzo su sette criteri (apertura, chiarezza, economia, concretezza, voce, struttura, fedeltà) e sotto 7,8/10 non si pubblica.
I controlli riducono gli errori ma non li eliminano: un modello può fraintendere una fonte. Per le decisioni importanti, risali alla fonte originale. Se trovi un errore, segnalacelo.
Per vedere Millebit nelle notizie principali di Google, aggiungilo alle tue fonti preferite. Oppure segui l’edizione di oggi, il feed RSS o La Sintesi.