Des traces de raisonnement d’IA contournées via des blocs chiffrés réutilisables

Des chercheurs mettent en lumière une faille dans plusieurs API de grands modèles de langage : des blocs chiffrés censés protéger les traces de raisonnement seraient réutilisables entre sessions, utilisateurs et modèles d’un même fournisseur. Publiée le 8 septembre 2026, l’étude intitulée Stealing Reasoning Traces from Proprietary LLM APIs explique qu’un modèle plus faible peut être poussé à déchiffrer ces traces et à les renvoyer en clair. Le sujet compte pour les éditeurs d’IA, mais aussi pour les développeurs qui manipulent des journaux de session sans toujours mesurer ce qu’ils contiennent. Et, oui, le chiffrement qui parle trop, c’est rarement une bonne journée pour la sécurité.

Une faille de conception plutôt qu’un simple “bug”

Le point de départ est architectural. Selon l’article, les fournisseurs ne stockent pas ces traces côté serveur ; ils renvoient au client des blocs de texte chiffré, que l’application doit réinjecter à chaque requête suivante. Problème : ces blocs seraient compatibles d’une session à l’autre, mais aussi d’un modèle à l’autre au sein d’un même environnement fournisseur. En exploitant cette interchangeabilité, les chercheurs disent avoir construit un jailbreak de déchiffrement à grande échelle.

Le mécanisme est assez tordu pour mériter un sous-titre à lui seul. En injectant une trace chiffrée provenant d’un modèle donné dans un autre modèle, moins protégé, ils parviendraient à le faire décoder puis afficher la trace mot pour mot. L’objectif n’est pas de forcer directement le modèle le plus robuste, mais de contourner ses garde-fous par un intermédiaire plus faible. C’est une forme d’attaque qui s’appuie sur la chaîne de traitement, pas sur la force brute.

Ce que les chercheurs disent avoir récupéré

L’étude avance quatre vecteurs d’attaque. D’abord, elle permettrait de contourner les mécanismes anti-distillation, c’est-à-dire les protections destinées à empêcher la copie du savoir interne d’un modèle propriétaire. Les auteurs affirment avoir démontré ce point sur Anthropic, OpenAI et Google. Ensuite, ils disent avoir pu extraire à grande échelle des données privées publiées par des développeurs dans des dépôts publics, sans savoir que les blocs chiffrés contenaient autre chose que du bruit.

Les chiffres cités sont parlants. À partir de 315 320 blocs de raisonnement récupérés sur des repositories publics, les chercheurs disent avoir retrouvé 367 éléments de données personnelles identifiables, ou PII — des informations qui permettent d’identifier directement ou indirectement une personne — ainsi que 182 identifiants d’accès. L’étude évoque aussi un troisième risque : révéler des informations dangereuses pourtant cachées dans le raisonnement interne, même quand la réponse visible du modèle refuse prudemment une requête malveillante. Enfin, elle mentionne des prompt injections invisibles, donc des consignes malicieuses dissimulées dans ces blocs chiffrés, capables d’empoisonner des déploiements d’agents publics.

Qui est exposé, et pourquoi cela change la donne

Les plus concernés sont les fournisseurs d’API d’IA, les équipes qui construisent des agents et, plus largement, les organisations qui journalisent ou partagent des sessions sans filtrer ce qui transite dans ces blocs. Le risque n’est pas seulement théorique : il touche à la propriété intellectuelle, à la confidentialité et à la chaîne de confiance entre l’application, l’API et les données qu’elle transporte. Dans ce contexte, une simple trace de raisonnement peut devenir un objet sensible, presque à l’insu de l’utilisateur.

Les auteurs disent avoir suivi une démarche de divulgation responsable et proposent des mesures cryptographiques et système pour sécuriser ce raisonnement côté client. Le détail de ces contre-mesures n’est pas précisé dans le résumé fourni, mais le message est clair : si ces blocs circulent comme de simples paquets réutilisables, ils deviennent attaquables. Les équipes produit vont donc devoir regarder de près comment elles gèrent ces traces, surtout lorsqu’elles sortent du périmètre strictement maîtrisé de l’inférence.