L’essentiel
- Une équipe menée par Alexander Panfilov a extrait en clair les traces de raisonnement chiffrées d’Anthropic, OpenAI et Google, en rejouant les blocs d’un modèle puissant dans un modèle plus faible de la même famille.
- Le scan d’environ 7 000 sessions partagées publiquement a exposé 62 clés d’API, 33 mots de passe et 33 adresses e-mail.
- Décoder 10 000 traces reviendrait à environ 720 dollars d’appels d’API ; les trois fournisseurs ont depuis bloqué l’attaque.
Demandez à Claude Haiku 4.5 de recopier, mot pour mot, le bloc de raisonnement qu’on vient de lui glisser. Il obéit. Le bloc n’est pas le sien : il vient d’Opus 4.8, le modèle le plus capable de la maison, et il était censé rester chiffré.
C’est la mécanique décrite par l’équipe d’Alexander Panfilov dans son étude sur le vol de traces de raisonnement. Elle vaut chez Anthropic, chez OpenAI et chez Google. Et elle sépare enfin deux objets que l’industrie avait pris soin de confondre.
Le résumé qu’on vous montre, la sténo que le modèle écrit
Quand un modèle de raisonnement travaille, il produit des tokens internes (les unités de texte qu’il manipule) avant de répondre. Vous n’en voyez presque jamais le texte brut : soit un résumé lissé, soit rien du tout. Le reste part chiffré vers votre client, sous forme de blocs opaques que vous renvoyez tels quels au tour suivant.
Les chercheurs ont ouvert ces blocs. Ce qu’il y a dedans ne ressemble en rien au paragraphe poli que l’interface vous sert. GPT-5.5, au travail sur une feuille de style, écrit : « Need app.css truncated. Need maybe not need. » De la sténo télégraphique, sans syntaxe, écrite pour personne. Le résumé affiché n’est donc pas une version courte de la pensée du modèle : c’est un autre texte, reconstruit après coup pour être lisible.
La nuance a des conséquences concrètes en audit. Si vous justifiez une décision automatisée par le résumé de raisonnement de votre modèle, vous documentez une reformulation, pas le calcul. Les deux peuvent diverger, et rien dans l’API ne permettait jusqu’ici de le vérifier.
Chiffrer pour protéger le client, ou pour le tenir à distance
Les fournisseurs justifient le chiffrement de ces blocs par la protection de leur propriété intellectuelle. Son premier effet est ailleurs : il vous empêche de lire ce que vous payez. Les chercheurs relèvent que le nombre de tokens extraits correspond exactement, pour la plupart des requêtes, au volume de tokens de réflexion facturés. Vous réglez une pensée que vous n’avez pas le droit de consulter.
Le défaut de conception tient en une phrase : tous les modèles d’une même famille partageaient la même clé. Les blocs sont, selon les auteurs, entièrement portables d’une session, d’un utilisateur et d’un modèle à l’autre chez un même fournisseur. Il suffisait donc de prendre la trace d’un modèle robuste, de la rejouer dans son petit frère plus facile à contourner, puis de demander à ce dernier de la transcrire. Haiku 4.5 s’est révélé le plus docile, grâce à un préfixe glissé en tête de sa réponse, une prise que les versions 4.6 n’acceptent plus. Le même principe fonctionnait chez OpenAI et sur Gemini.
Le secret industriel s’est retourné en canal de fuite. Et il avait été signalé : dès mai, le cryptographe Matthew Green montrait que ces blocs pouvaient être rejoués hors de leur contexte d’origine. Les fournisseurs ont répondu, rapporte Panfilov, que ni ce genre de canal détourné ni le rejeu n’avaient de conséquence pour la sécurité. Le diagnostic était faux.
La preuve qui manquait aux accusations de distillation
Le sujet dépasse la fuite de données. Depuis deux ans, on soupçonne certains laboratoires d’entraîner leurs modèles sur les chaînes de raisonnement des modèles occidentaux : c’est ce qu’on appelle la distillation. Le débat butait sur l’absence de preuve, ces chaînes étant réputées inaccessibles.
Elles ne l’étaient pas. Les auteurs estiment qu’on pouvait en récupérer depuis un moment, sans casser la moindre couche cryptographique. Leur analyse pointe Kimi-K3 : préremplir son raisonnement avec quelques tokens issus d’Opus déplace mesurablement sa sortie vers Opus. Le modèle reproduit aussi certains segments de raisonnement de Claude et de GPT jusqu’à six ordres de grandeur plus facilement que les autres modèles testés. Ses performances faibles en cybersécurité et en mathématiques complexes vont dans le même sens : ce sont précisément les compétences qu’une trace brute transmet mal.
Le coût fait basculer l’affaire à l’échelle industrielle. Décoder 10 000 traces revient à environ 720 dollars d’appels d’API. À ce tarif, la collecte massive n’est plus une hypothèse de laboratoire.
Vos sessions partagées, archives en clair
Côté utilisateur, l’addition est immédiate. Toute session Claude Code ou Codex publiée avec ses blocs chiffrés devient déchiffrable. Sur environ 7 000 traces publiques scannées : 62 clés d’API, 33 mots de passe, 33 adresses e-mail. Vous aviez partagé un journal d’exécution, vous avez publié vos secrets.
Plus retors encore : l’injection de prompt, qui consiste à glisser au modèle des instructions qu’il prendra pour siennes. Les chercheurs amènent un modèle à réfléchir à une exfiltration de fichier, puis réinjectent cette trace chiffrée dans un autre modèle. Les modèles traitent leur propre raisonnement comme intouchable et suivent ces instructions bien plus volontiers que celles d’un message utilisateur. La zone que le fournisseur protégeait le plus offre le meilleur vecteur d’attaque.
Les correctifs sont passés, l’opacité reste
Les trois fournisseurs ont accusé réception et bloqué l’attaque : les auteurs ne parviennent plus à la rejouer. Bonne nouvelle, et rien de plus. Le correctif rétablit l’étanchéité de la boîte noire, il ne vous rend pas la lecture de ce que vous achetez. Le contraste avec les modèles à poids ouverts est net : DeepSeek-R1 écrit son raisonnement brut entre deux balises think, que n’importe quel client peut lire. L’opacité relève donc d’un choix commercial, pas d’une contrainte technique.
Dans vos propres logs, les blocs de raisonnement chiffrés méritent désormais le traitement d’un token d’accès : données sensibles, à purger avant tout partage public. Quant au résumé de raisonnement, il n’a jamais constitué une trace d’audit ; on vient simplement de le prouver.
Mon avis
La faille cryptographique se répare en une semaine. La réponse de mai, non. Trois laboratoires qui publient des chartes de sécurité de vingt pages ont classé sans suite un signalement de Matthew Green, l’un des cryptographes les plus écoutés du domaine, parce que le rejeu de blocs ne rentrait pas dans leur grille de risques. Je pense que cette asymétrie va nous coûter cher : tant que le raisonnement restera un actif à protéger plutôt qu’un artefact à auditer, chaque correctif fermera une porte en laissant intacte la raison pour laquelle elle existait. Et la prochaine fuite, elle, ne sera pas trouvée par des universitaires qui préviennent avant de publier.
