VASIOTA.COM, Berita AI – Peneliti keamanan menemukan celah pada mekanisme API yang digunakan sejumlah penyedia AI besar untuk menyembunyikan reasoning model mereka. Dalam penelitian yang melibatkan sistem dari Anthropic, OpenAI, dan Google, peneliti menunjukkan bahwa reasoning trace terenkripsi dari model yang lebih kuat dapat diekstrak dengan bantuan model yang lebih lemah dari penyedia yang sama.
Temuan tersebut dipublikasikan pada 10 Agustus 2026 dalam paper “Stealing Reasoning Traces from Proprietary LLM APIs” oleh peneliti dari University of Tübingen, Max Planck Institute for Intelligent Systems, MATS Research, dan Snyk. Penelitian ini bukan menunjukkan bahwa enkripsi model AI berhasil dipecahkan secara kriptografis, melainkan menemukan kelemahan pada cara reasoning block dipertukarkan melalui API.
Model AI modern yang memiliki kemampuan reasoning biasanya tidak memberikan seluruh proses berpikir internalnya kepada pengguna. Sebagai gantinya, sejumlah penyedia mengirimkan reasoning trace dalam bentuk blok terenkripsi ke perangkat klien, kemudian blok tersebut dikirim kembali pada permintaan API berikutnya untuk mempertahankan konteks percakapan.
Masalah muncul ketika peneliti menemukan bahwa blok tersebut dapat digunakan kembali pada model lain dalam ekosistem penyedia yang sama. Mereka mengambil reasoning trace dari model yang lebih kuat, kemudian memasukkannya ke model yang lebih lemah dan memiliki perlindungan alignment yang berbeda.
Model yang lebih lemah tersebut kemudian dapat dipaksa untuk mengeluarkan isi reasoning trace dalam bentuk teks biasa. Dengan metode ini, peneliti tidak perlu melakukan jailbreak langsung terhadap model premium yang menghasilkan reasoning tersebut.
Temuan itu memiliki implikasi terhadap perlindungan kekayaan intelektual model AI. Reasoning trace dapat berisi langkah pemecahan masalah yang jauh lebih informatif daripada jawaban akhir. Jika dapat dikumpulkan dalam skala besar, data tersebut berpotensi digunakan untuk proses model distillation, yaitu teknik untuk memindahkan sebagian kemampuan model yang lebih besar ke model lain.
Peneliti menguji metode tersebut pada sistem dari Anthropic, OpenAI, dan Google. Dalam eksperimennya, mereka menunjukkan bahwa mekanisme yang sama dapat digunakan untuk mengekstrak reasoning dari model-model milik ketiga penyedia tersebut.
Dampaknya tidak berhenti pada persoalan kekayaan intelektual. Peneliti juga menganalisis 315.320 reasoning block yang dikumpulkan dari repositori publik. Dari data tersebut, mereka melaporkan menemukan 367 artefak informasi identitas pribadi (PII) dan 182 kredensial. Kredensial yang ditemukan mencakup informasi seperti API key dan password yang secara tidak sengaja tersimpan di dalam log yang dibagikan ke publik.
Temuan ini memperlihatkan risiko lain dari asumsi bahwa blok terenkripsi yang diterima aplikasi dapat diperlakukan sebagai data yang sepenuhnya tidak dapat dibaca. Dalam kasus tertentu, informasi sensitif yang berada di dalam reasoning trace dapat menjadi bagian dari artefak yang kemudian tersebar melalui log atau repositori publik.
Peneliti juga menemukan bahwa metode tersebut dapat membuka informasi berbahaya yang sebelumnya tidak ditampilkan oleh jawaban akhir model. Dalam salah satu skenario yang mereka jelaskan, model dapat menolak permintaan berbahaya pada respons akhirnya, sementara informasi terkait tetap berada di dalam reasoning trace.
Ada pula risiko terhadap sistem AI agent. Menurut paper tersebut, reasoning block dapat menjadi media untuk menyisipkan instruksi tersembunyi yang tidak terlihat dalam respons biasa. Jika blok tersebut kemudian digunakan dalam workflow agent, penyerang berpotensi memanfaatkannya untuk memengaruhi proses yang dijalankan agent.
Namun, temuan ini tidak berarti ChatGPT atau Gemini saat ini dapat dibobol bebas menggunakan model murah, dan penelitian tersebut juga tidak membuktikan bahwa perusahaan tertentu telah mencuri reasoning model Amerika menggunakan metode ini.
Peneliti memang menemukan kemiripan tertentu antara reasoning yang diekstraksi dari model frontier dan keluaran model open-weight Kimi K3 dalam eksperimen mereka. Namun, seperti ditegaskan dalam laporan WIRED, hasil tersebut tidak dapat membuktikan secara kausal bahwa distillation telah dilakukan oleh pengembang model tertentu.
Peneliti juga telah melakukan pengungkapan bertanggung jawab kepada penyedia terkait. WIRED melaporkan bahwa OpenAI, Anthropic, dan Google telah melakukan mitigasi terhadap jalur yang memungkinkan pengambilan data pribadi tersebut. Dengan demikian, temuan penelitian tidak boleh dipahami sebagai bukti bahwa seluruh data pengguna saat ini masih terbuka terhadap serangan yang sama.
Anthropic mengatakan kepada WIRED bahwa perusahaan telah mulai membangun mitigasi jangka pendek terhadap perilaku replay yang dijelaskan dalam penelitian. Perusahaan juga menegaskan bahwa penelitian tersebut tidak melibatkan pengambilan kunci enkripsi maupun akses ke infrastruktur internal Anthropic. OpenAI dan Google tidak memberikan komentar kepada WIRED saat laporan tersebut diterbitkan.
Meski sebagian risiko telah dimitigasi, peneliti menilai persoalan ekstraksi reasoning untuk distillation membutuhkan perubahan yang lebih mendasar pada arsitektur API. Artinya, memperbaiki kebocoran informasi pribadi tidak otomatis menghilangkan seluruh kemungkinan untuk mengambil reasoning model melalui mekanisme replay.
Temuan tersebut menjadi peringatan baru bagi industri AI. Selama reasoning trace dikirim ke sisi klien dan dapat digunakan kembali untuk mempertahankan konteks, blok yang dirancang sebagai informasi terenkripsi tetap menjadi bagian dari permukaan serangan.
Bagi pengguna biasa, penelitian ini tidak berarti percakapan ChatGPT atau Gemini tiba-tiba dapat dibaca orang lain. Risiko yang ditunjukkan penelitian lebih spesifik, terutama menyangkut arsitektur API, pengelolaan reasoning block, log yang dibagikan secara publik, perlindungan data sensitif, serta upaya mengekstraksi kemampuan model premium melalui distillation.
Namun bagi pengembang yang menggunakan API reasoning atau membangun AI agent, temuan tersebut memberikan insight penting, karena data yang dikirim ke sisi klien tidak boleh otomatis dianggap aman hanya karena tampil dalam bentuk terenkripsi. Pengelolaan log, kredensial, dan artefak reasoning tetap membutuhkan perlindungan tersendiri.
