Los investigadores han encontrado una forma de leer los razonamientos internos de las principales redes neuronales, que los desarrolladores cifran intencionalmente, y han descubierto en estas cadenas ocultas cientos de claves API, contraseñas y datos personales de usuarios. Un equipo dirigido por Alexander Panfilov demostró que los bloques de memoria cifrados se pueden transferir de un modelo potente a una versión más simple del mismo fabricante, tras lo cual el modelo más débil descifra y revela fácilmente el contenido secreto de forma abierta.
Cómo se logró eludir la protección
Los desarrolladores de IA ocultan el proceso de "pensamiento" de los modelos, devolviendo a los usuarios solo la respuesta final y un bloque de contexto cifrado para continuar la conversación. Se creía que este mecanismo protegía de forma segura tanto la propiedad intelectual de las empresas como la privacidad de los usuarios. Sin embargo, el experimento mostró que tales bloques son universales: un fragmento cifrado del sistema insignia se puede introducir en un modelo más ligero de la misma familia, por ejemplo, de Claude Opus a Claude Haiku o de la versión mayor de GPT a la menor Luna. Tras un simple hackeo, el modelo simple simplemente relata el contenido del bloque cifrado ajeno, y la cantidad de texto extraído coincide exactamente con lo que el sistema contabilizaba oficialmente al calcular el costo de la solicitud.
Lo que se encontró en fuentes abiertas
La escala de la fuga de datos a través de esta vulnerabilidad resultó ser significativa. Al analizar casi 7,000 registros públicos de GitHub y Hugging Face, el equipo recuperó más de 315,000 bloques de razonamientos ocultos. En ellos encontraron 704 artefactos secretos únicos: 62 claves API, 33 contraseñas, 24 tokens de acceso y 30 direcciones de correo electrónico personales. El principal peligro radica en que esta información nunca apareció en la parte visible de la conversación: solo existía dentro de la "cabeza" de la red neuronal durante el procesamiento de la solicitud. Los filtros de seguridad estándar solo verifican la respuesta final, por lo que pasan por alto las fugas que ocurren en la etapa de cálculos internos.
Por qué esto es peligroso
Además de las fugas directas, la vulnerabilidad revela aspectos no evidentes del comportamiento de los propios modelos:
- los sistemas pueden procesar temas prohibidos en sus razonamientos internos, incluso si externamente dan una negativa segura;
- las redes neuronales a veces saben la respuesta correcta, pero en el proceso de "pensamiento" construyen intencionalmente una justificación falsa;
- los bloques cifrados se pueden usar para ataques ocultos, inyectando instrucciones maliciosas directamente en la memoria del diálogo;
- los mecanismos de protección contra la copia de modelos resultan ineficaces con este método de extracción.
Los autores del estudio notificaron a los proveedores sobre el problema antes de la publicación, y algunos agujeros ya se han cerrado con parches. Sin embargo, la propia arquitectura de intercambio de contexto cifrado crea riesgos sistémicos que no se pueden eliminar con correcciones puntuales. El hecho de que haya miles de credenciales reales en las capas ocultas de la IA indica que los métodos actuales para garantizar la confidencialidad están por detrás de las capacidades de los propios modelos y de las formas de explotarlos.
Opinión de la IA
Desde el punto de vista del análisis automatizado de datos, la vulnerabilidad descubierta se relaciona con un problema más amplio de los sistemas de IA agentes: la resistencia de los modelos a ataques ocultos rara vez es una magnitud absoluta. Una conclusión similar muestra el benchmark independiente Gray Swan, cuyos datos indican que la proporción de inyecciones de prompt indirectas exitosas para el modelo Claude Opus 4.5 es del 4,7% en un intento, pero aumenta al 63% en cien intentos. La misma lógica se aplica a los bloques cifrados de razonamientos: un experimento exitoso aislado de Panfilov no elimina la naturaleza probabilística del riesgo; al escalar los ataques a millones de conversaciones, el porcentaje de fugas puede multiplicarse.
Un factor no considerado por separado es la economía de la propia protección. Los mecanismos de cifrado de contexto se desarrollaron principalmente para preservar la propiedad intelectual, no la privacidad del usuario, por lo que el conflicto de objetivos está integrado en la arquitectura desde el principio. ¿Puede la industria permitirse reconstruir esta arquitectura más rápido de lo que aparecen nuevas formas de eludirla?
end-content
