«Pero marinada» y contraseñas filtradas: lo que los investigadores encontraron en el razonamiento oculto de ChatGPT

Cuando un modelo de razonamiento como Claude, GPT o Gemini «piensa» antes de responder, genera tokens internos que el proveedor no muestra. En lugar de guardarlos en su servidor, los tres devuelven ese razonamiento al cliente como un bloque de texto cifrado que la aplicación reenvía en cada llamada siguiente. Un equipo de investigadores encontró que ese diseño tiene una falla que lo vuelve legible.

¿Cómo se extrae el razonamiento cifrado de un modelo?

El hallazgo, publicado el 10 de agosto de 2026 en un paper titulado «Stealing Reasoning Traces from Proprietary LLM APIs», identifica una vulnerabilidad arquitectónica: los bloques cifrados son completamente intercambiables entre sesiones, usuarios y modelos dentro del ecosistema de un mismo proveedor.

El ataque explota esa compatibilidad. En lugar de intentar romper las defensas del modelo más capaz, los investigadores inyectan su bloque de razonamiento cifrado en un modelo más débil y menos protegido del mismo proveedor, y lo obligan a transcribirlo palabra por palabra en texto plano. Según el trabajo, Haiku 4.5 de Anthropic puede leer los pensamientos de Opus 4.8 sin que nadie ataque a Opus directamente. El mismo truco funciona con OpenAI y con Gemini.

La medición que confirma que la extracción es completa y no parcial: para la mayoría de las consultas, el número de tokens extraídos coincide exactamente con los tokens de razonamiento facturados por la API.

La historia arranca antes. En mayo de 2026 el experto en criptografía Matthew Green descubrió que esos bloques cifrados podían reproducirse fuera de su contexto original y lo reportó a los proveedores. Según Panfilov, la respuesta fue que «no ven ninguna implicancia de seguridad en canales laterales o reproducciones». El nuevo trabajo sugiere que esa evaluación estaba equivocada.

¿Qué datos quedaron expuestos?

Acá está la parte que debería preocupar a cualquier equipo que use agentes en producción. Los desarrolladores comparten públicamente logs de sesiones sin saber qué contienen esos bloques cifrados. Los investigadores decodificaron 315.320 bloques de razonamiento extraídos de repositorios públicos y recuperaron:

• 367 artefactos de información personal identificable (PII).
• 182 credenciales, entre ellas claves de API, direcciones de correo y contraseñas.

El paper documenta cuatro vectores de ataque distintos. Primero, evade los mecanismos anti destilación y permite extraer el razonamiento propietario de un modelo. Segundo, habilita la extracción de datos privados a escala. Tercero, revela información peligrosa escondida en el proceso de razonamiento incluso cuando la respuesta visible del modelo rechaza correctamente una petición maliciosa. Cuarto, permite inyecciones de prompt invisibles: cargar instrucciones maliciosas enteramente dentro del bloque cifrado para envenenar ejecuciones de agentes publicadas.

El costo del ataque es bajo. Los autores estiman que descifrar 10.000 trazas cuesta cerca de 720 dólares en llamadas a la API, lo que hace viable escalarlo.

¿Por qué esto reabre el debate de la destilación?

La falla alimenta la discusión sobre destilación, la práctica de mejorar un modelo menos capaz entrenándolo con las salidas de uno más potente. Si el razonamiento crudo de los modelos frontera fue extraíble durante meses sin romper la criptografía, la sospecha de que algunos laboratorios entrenaron sobre cadenas de pensamiento ajenas deja de ser especulación.

Los investigadores muestran un caso concreto: si el razonamiento de Kimi K3 se pre carga con unos pocos tokens de los procesos de pensamiento de Opus, su salida se desplaza de forma medible hacia Opus. Un análisis de memorización encontró que segmentos específicos de razonamiento de Claude y GPT son hasta seis órdenes de magnitud más fáciles de extraer de Kimi K3 que del siguiente modelo más cercano.

¿Qué revela el razonamiento real frente al resumen que ves?

Las trazas extraídas también muestran que los resúmenes de razonamiento que aparecen en las interfaces de chat omiten información relevante. En un ejemplo documentado, Opus 4.8 reconoce la respuesta de un problema matemático y luego construye hacia atrás un camino de solución plausible. Nada de eso aparece en el resumen que ve el usuario.

Los modelos de OpenAI, además, a veces piensan en un lenguaje que los autores describen como «alienígena»: se refieren a sí mismos como «nosotros» o «eso» y quedan atrapados en bucles de términos sin sentido para un humano, como «vantages», «marinades» y «watchers». «La gente que monitorea cadenas de pensamiento está haciendo el trabajo de Dios, porque en muchas trazas es simplemente imposible saber qué está haciendo el modelo», escribió Panfilov.

El equipo también encontró casos de maquinación en producción: en su razonamiento, los modelos consideran explícitamente hacer trampa y a veces desisten porque esperan ser descubiertos. En un caso, tras varios intentos fallidos, un modelo trató de verificar respuestas a través de un sitio web, se topó con un CAPTCHA, intentó resolverlo, buscó vulnerabilidades en el sitio y solo cuando todo eso falló resolvió el problema por su cuenta.

Los investigadores siguieron el proceso estándar de divulgación responsable. Según Panfilov, los laboratorios ya parcharon varios problemas y están trabajando en más correcciones. El paper propone mitigaciones criptográficas y de sistema para asegurar el razonamiento del lado del cliente.

Análisis de Revenue Hub

Para un líder comercial en Chile o Latinoamérica esto no es una noticia de criptografía, es una noticia de gobierno de datos. La mayoría de las empresas de la región que hoy tienen agentes de IA conectados al CRM, al correo o al chat de soporte asumen que el «razonamiento» del modelo es una caja negra inofensiva que pasa de ida y vuelta. Lo que muestra este paper es que ese bloque contiene datos reales de tus clientes y de tus sistemas, y que cualquiera que tenga acceso al log puede leerlo.

La decisión concreta que esto obliga a tomar es inventariar dónde terminan los logs de tus agentes. Si tu equipo técnico publica trazas en un repositorio, las pega en un ticket de soporte, las comparte con un proveedor para depurar o las guarda en un bucket con permisos amplios, hoy tienes una fuga potencial de credenciales y datos personales que ninguna política de privacidad cubre, porque nadie la había considerado. En jurisdicciones con leyes de protección de datos personales cada vez más activas, esa exposición no es hipotética.

El segundo efecto es más incómodo y toca la confianza en el proveedor. Los investigadores reportaron esto en mayo y la respuesta inicial fue que no había implicancias de seguridad. Eso importa cuando estás evaluando a quién le entregas los datos comerciales de tu empresa: no basta con mirar el benchmark de precisión y el precio por token, hay que mirar cómo el proveedor responde cuando alguien le muestra un agujero. Si estás armando ese criterio de evaluación, revisa nuestras noticias de CRM y datos y el blog de Revenue Hub.