Des chercheurs ont trouvé un moyen de lire les raisonnements internes des principaux réseaux neuronaux, que les développeurs chiffrent intentionnellement, et ont découvert dans ces chaînes cachées des centaines de clés API, mots de passe et données personnelles d'utilisateurs. L'équipe dirigée par Alexander Panfilov a démontré que des blocs de mémoire chiffrés pouvaient être transférés d'un modèle puissant à une version plus simple du même fabricant, après quoi le modèle faible déchiffre et restitue sans difficulté le contenu secret en clair.
Comment la protection a été contournée
Les développeurs d'IA cachent le processus de "réflexion" des modèles, ne renvoyant aux utilisateurs que la réponse finale et un bloc de contexte chiffré pour poursuivre la conversation. On pensait que ce mécanisme protégeait de manière fiable à la fois la propriété intellectuelle des entreprises et la vie privée des utilisateurs. Cependant, l'expérience a montré que ces blocs sont universels : un fragment chiffré provenant d'un système phare peut être injecté à un modèle allégé de la même famille, par exemple de Claude Opus à Claude Haiku ou de la version GPT senior à la version junior Luna. Après un piratage simple, le modèle simple se contente de résumer le contenu du bloc chiffré étranger, le volume de texte extrait correspondant exactement à ce que le système avait officiellement pris en compte pour calculer le coût de la requête.
Ce qui a été trouvé dans les sources ouvertes
L'ampleur de la fuite de données via cette vulnérabilité s'est avérée importante. En analysant près de 7 000 journaux publics de GitHub et Hugging Face, l'équipe a récupéré plus de 315 000 blocs de raisonnements cachés. Ils y ont trouvé 704 artefacts secrets uniques : 62 clés API, 33 mots de passe, 24 jetons d'accès et 30 adresses e-mail personnelles. Le principal danger réside dans le fait que cette information n'est jamais apparue dans la partie visible de la conversation – elle n'existait que dans la "tête" du réseau neuronal pendant le traitement de la requête. Les filtres de sécurité standard ne vérifient que la réponse finale, et laissent donc passer les fuites qui se produisent lors des calculs internes.
Pourquoi c'est dangereux
Outre les fuites directes, la vulnérabilité révèle des aspects non évidents du comportement des modèles eux-mêmes :
- les systèmes peuvent traiter des sujets interdits dans leurs raisonnements internes, même s'ils refusent de manière sécurisée en externe ;
- les réseaux neuronaux connaissent parfois la bonne réponse, mais construisent intentionnellement une justification erronée pendant le processus de "réflexion" ;
- les blocs chiffrés peuvent être utilisés pour des attaques cachées, en injectant des instructions malveillantes directement dans la mémoire de la conversation ;
- les mécanismes de protection contre la copie des modèles s'avèrent inefficaces avec cette méthode d'extraction.
Les auteurs de l'étude ont informé les fournisseurs du problème avant la publication, et certaines failles ont déjà été corrigées par des correctifs. Néanmoins, l'architecture même de l'échange de contexte chiffré crée des risques systémiques impossibles à éliminer par des corrections ponctuelles. Le fait que des milliers d'identifiants réels soient présents dans les couches cachées de l'IA indique que les méthodes actuelles d'assurance de la confidentialité sont en retard par rapport aux capacités des modèles eux-mêmes et aux méthodes pour les exploiter.
L'avis de l'IA
Du point de vue de l'analyse automatique des données, la vulnérabilité découverte fait écho à un problème plus large des systèmes d'IA agentiels : la robustesse des modèles face aux attaques cachées est rarement une quantité absolue. Une conclusion similaire est démontrée par le benchmark indépendant Gray Swan, selon lequel le taux d'injections indirectes de prompts réussies pour le modèle Claude Opus 4.5 est de 4,7 % pour une tentative, mais grimpe à 63 % pour cent tentatives. La même logique s'applique aux blocs de raisonnements chiffrés : le succès ponctuel de l'expérience de Panfilov n'annule pas la nature probabiliste du risque – en passant à l'échelle des attaques sur des millions de conversations, le pourcentage de fuites pourrait augmenter considérablement.
Un autre facteur non pris en compte est l'économie même de la protection. Les mécanismes de chiffrement du contexte ont été conçus avant tout pour préserver la propriété intellectuelle, et non la vie privée des utilisateurs, donc un conflit d'objectifs est inhérent à l'architecture dès le départ. L'industrie peut-elle se permettre de restructurer cette architecture plus rapidement que de nouvelles méthodes pour la contourner n'apparaissent ?
