Uma investigação recente revelou uma vulnerabilidade em APIs de IA pertencentes aos maiores provedores de tecnologia do mundo, incluindo OpenAI, Anthropic e Google.
A falha de segurança permitia que pesquisadores interceptassem e descriptografassem a chamada cadeia de raciocínio (conhecida tecnicamente como chain-of-thought) dos modelos de inteligência artificial mais avançados do mercado.
O problema afetava diretamente os blocos de dados criptografados que são enviados entre o cliente e o servidor para manter o contexto de uma conversa ativo sem sobrecarregar a infraestrutura central do provedor.
Ao analisar essa arquitetura, os especialistas identificaram que os objetos de raciocínio criptografados não possuíam amarração única com a sessão ou com o usuário que os gerou.
Com isso, um bloco gerado em uma consulta confidencial podia ser reutilizado em outra conta e até mesmo submetido a um modelo secundário. A descoberta acendeu um alerta global sobre a segurança em inteligência artificial e a gestão de privacidade em ambientes corporativos de desenvolvimento.
O mecanismo do ataque por reutilização de blocos criptografados
Para otimizar o processamento e proteger a propriedade intelectual dos modelos, as empresas do setor optaram por encapsular o raciocínio interno em blocos de texto cifrado entregues diretamente ao cliente.
No entanto, a implementação falhou ao utilizar uma lógica criptográfica reutilizável em toda a família de modelos de um mesmo provedor. Esse padrão permitiu a execução de um ataque altamente eficiente de injeção de contexto.
Modelos menores atuando como oráculos de descriptografia
O vetor de exploração baseou-se na assimetria de salvaguardas existentes entre os diferentes portes de modelos. Os pesquisadores capturaram o bloco criptografado de um modelo de alto desempenho como o Claude Opus ou o GPT-5 e o injetaram na requisição de uma versão mais simples e barata, como o Claude Haiku ou modelos da linha Mini.
Como os sistemas menores possuem regras de alinhamento e filtros de segurança menos severos, bastou aplicar instruções diretas para que o modelo secundário lesse o bloco e transcrevesse todo o raciocínio original em texto puro.
Porém, o aspecto mais grave dessa técnica foi demonstrado pela capacidade de contornar as proteções do modelo principal sem a necessidade de violar suas barreiras diretamente, utilizando a versão menor como um verdadeiro oráculo de descriptografia.
Impacto na privacidade e vazamento de credenciais em repositórios públicos
A verificação prática dos riscos foi conduzida a partir da análise de 6.708 trajetórias públicas de agentes interativos disponibilizadas em plataformas como GitHub e Hugging Face. Durante o estudo, a equipe processou 315.320 blocos de raciocínio ocultos que haviam sido publicados inadvertidamente por desenvolvedores ao compartilharem logs de execução.
A extração de dados revelou informações altamente sensíveis armazenadas no histórico interno da inteligência artificial. Entre os itens recuperados em texto claro, destacam-se os seguintes registros:
- 62 chaves de API privadas de serviços em nuvem e plataformas de terceiros.
- 33 senhas corporativas e de acesso a bancos de dados.
- 24 tokens de acesso e 7 chaves privadas de criptografia.
- 30 endereços de e-mail pessoais e corporativos.
- Centenas de outros artefatos com informações de identificação pessoal (PII).
Um dado crítico apontado no relatório é que aproximadamente 64 dos itens confidenciais recuperados existiam exclusivamente dentro do bloco de raciocínio interno da IA, nunca tendo sido exibidos na resposta visível ao usuário.
Portanto, mesmo os desenvolvedores que limparam as mensagens visíveis antes de publicar seus históricos acabaram expondo credenciais sem saber.
Os quatro vetores de ataque identificados pelos pesquisadores
A pesquisa categorizou as implicações dessa falha de criptografia em IA em quatro frentes principais de ameaça cibernética:
- Bypass de mecanismos anti-destilação: Possibilidade de copiar o raciocínio proprietário de modelos avançados para treinar sistemas concorrentes.
- Extração em massa de dados privados: Captura automatizada de credenciais e informações pessoais em repositórios públicos de código.
- Exposição de raciocínios perigosos: Acesso às etapas internas de processamento onde a IA analisou instruções maliciosas, mesmo quando a resposta final ao usuário foi uma recusa de segurança.
- Injeção de prompt invisível: Inserção de payloads maliciosos ocultos diretamente dentro dos blocos criptografados para comprometer agentes autônomos.
Mitigações aplicadas e recomendações de segurança em infraestrutura
Após a notificação responsável realizada pelos pesquisadores às empresas afetadas, foram implementadas mitigações do lado dos servidores para impedir a reutilização de blocos de raciocínio entre diferentes sessões.
A exploração descrita no relatório original deixou de ser reproduzível nas versões atuais das APIs. Não há indícios de que a falha tenha sido explorada por cibercriminosos antes do bloqueio das rotas de vulnerabilidade.
No entanto, o caso deixa lições fundamentais para a arquitetura de sistemas baseados em inteligência artificial. A Recomendação dos especialistas em segurança da informação reflete a necessidade de sanitizar integralmente todos os metadados gerados por APIs.
Certamente, o hábito de realizar o armazenamento de transcripts brutos sem o devido isolamento e criptografia de chave por sessão representa um risco contínuo para a integridade de ativos digitais nas organizações.
