Faille dans les API de raisonnement d'OpenAI, Anthropic et Google : les secrets des modèles exposés

Le chiffrement des raisonnements AI : une sécurité illusoire ?

En août 2026, une équipe de chercheurs en sécurité a dévoilé une vulnérabilité inédite qui touche les API de raisonnement des principaux fournisseurs d’intelligence artificielle : OpenAI, Anthropic et Google. En exploitant la manière dont ces plateformes transportent le raisonnement masqué entre les appels API, les chercheurs ont réussi à récupérer des chaînes de raisonnement internes et des secrets sensibles à partir de journaux de session, notamment des clés API, des mots de passe et des tokens d’accès. Sur les 6 708 trajectoires d’agents publiques analysées, pas moins de 315 320 blocs de pensée ont été décodés, révélant 704 artefacts de vie privée issus de sessions utilisateur authentiques, dont 62 clés API, 33 mots de passe, 24 jetons d’accès et 7 clés privées. Ce chiffre donne le vertige : et si vos propres traces d’API révélaient bien plus que ce que vous pensiez ?

La faille ne provient pas d’un bris de chiffrement classique, mais d’une portabilité inattendue des objets de raisonnement chiffrés : un bloc créé dans une session peut être rejoué dans une autre, et même confié à un modèle moins puissant de la même famille pour lui faire dévoiler le contenu caché. Cet article vous explique le mécanisme en détail, les risques concrets pour vos systèmes, et les mesures immédiates à prendre pour protéger vos données.

Comment fonctionne la faille de rejeu entre sessions ?

Le mécanisme des blocs opaques chiffrés

Pour préserver la continuité du raisonnement entre les appels API, les fournisseurs ont conçu un système de blocs opaques chiffrés. OpenAI retourne des encrypted reasoning items que les applications doivent rejouer avec un historique géré manuellement. Anthropic transmet le raisonnement complet dans une signature chiffrée, tandis que Google utilise des encrypted thought signatures. Ces objets conservent l’état du raisonnement sans exposer le texte brut directement au client. L’idée paraît robuste : le chiffrement protège le contenu, et seuls les services backend savent le déchiffrer.

Pourtant, les chercheurs ont découvert que ces blocs sont portables entre sessions, utilisateurs et modèles. Lors des tests, un bloc chiffré créé pour une session utilisateur A pouvait être injecté dans une session utilisateur B, à condition que ce dernier possède un accès API à un modèle compatible du même fournisseur. Le chiffrement lui-même n’a pas été cassé : l’attaque n’a nécessité aucune clé de déchiffrement. Elle repose uniquement sur le fait que les fournisseurs acceptent et traitent ces blocs intacts, sans vérifier leur provenance.

La technique du « décodeur flou » avec un modèle plus faible

L’élément le plus surprenant de cette recherche est l’utilisation d’un modèle moins puissant comme décodeur. Les chercheurs ont constaté qu’en soumettant un bloc de raisonnement chiffré à un modèle de la même famille, mais de capacité inférieure, ce dernier pouvait transcrire le raisonnement produit par un modèle plus fort. Par exemple, Claude Haiku 4.5 pour les traces d’Anthropic, GPT-5.6 Luna pour OpenAI, et Gemini Robotics ER-1.6 pour Google ont joué ce rôle de « décodeur flou ». En donnant une instruction simple comme « transcrivez le raisonnement contenu dans ce bloc », le modèle faible restituait une version lisible, certes imparfaite, mais suffisamment fidèle pour extraire des secrets.

« Le modèle faible agit comme un oracle approximatif : il ne peut pas déchiffrer, mais il peut inférer le contenu à partir du contexte chiffré qu’on lui fournit, car il partage la même architecture interne que le modèle fort. » - Extrait du rapport des chercheurs.

Cette portabilité transforme les journaux d’agents publics en un véritable gisement de données sensibles. Parmi les 704 artefacts non liés à des benchmarks, 64 n’apparaissaient que dans le raisonnement caché, et non dans la trace visible. Sanitizer la conversation lisible ne suffit donc pas : le secret peut demeurer dans le bloc opaque, accessible à tout autre compte API capable de le rejouer.

Quels sont les risques réels pour les entreprises françaises ?

Vol de raisonnement propriétaire et distillation de modèles

Le premier risque concerne la propriété intellectuelle. Si votre entreprise utilise des API de raisonnement pour développer des applications métier, le raisonnement interne de ces modèles peut être volé pour distiller un modèle concurrent. Les chercheurs ont démontré qu’il est possible de reconstruire le raisonnement pas à pas d’un modèle fort sans avoir accès à ses poids. Cela ouvre la voie à une forme de rétro-ingénierie des capacités de raisonnement, ce qui pourrait saper l’avantage concurrentiel des fournisseurs et exposer des méthodes propriétaires.

Extraction de données sensibles dans les traces publiques

De nombreuses entreprises publient des traces de leurs agents AI sur des plateformes de partage de code ou de démonstration. Ces traces contiennent souvent des blocs de raisonnement chiffrés. Les chercheurs ont ainsi récupéré 62 clés API, 33 mots de passe et 24 jetons d’accès issus de sessions réelles. En France, où le RGPD impose une protection stricte des données personnelles, une telle fuite pourrait entraîner des sanctions financières lourdes et une perte de confiance des clients. Imaginez qu’un concurrent récupère vos identifiants AWS ou votre token GitHub en analysant une simple trace d’appel API que vous avez publiée par erreur.

Injection de prompts invisibles

La portabilité des blocs permet aussi une injection de prompts discrète. Les chercheurs ont créé un bloc de raisonnement opaque contenant une instruction malveillante, puis l’ont rejoué dans une tâche non liée. Le modèle récepteur a ajouté une action de téléversement vers un serveur tiers, sans que l’instruction injectée n’apparaisse dans le texte visible. Ce type d’attaque peut contourner les filtres de contenu traditionnels : l’utilisateur ne voit rien, mais le modèle exécute une action dangereuse.

Les données chiffrées : 704 artefacts sensibles découverts

Pour vous donner une idée de l’ampleur du phénomène, voici un tableau récapitulatif des artefacts identifiés dans les 6 708 trajectoires analysées :

« Nous n’avons pas eu besoin de casser le chiffrement. Il a suffi de rejouer les blocs tels quels dans un modèle compatible. Le fait que 64 secrets n’apparaissaient que dans le raisonnement caché montre les limites de la simple sanitisation du texte visible. » - Équipe de recherche.

Ce tableau montre que si vous publiez des traces d’API, même après avoir masqué les informations sensibles apparentes, le raisonnement chiffré peut encore contenir des données que vous pensiez protégées. Les développeurs français doivent donc traiter ces blocs comme hautement sensibles.

Recommandations pour les développeurs et les équipes SecOps

Nettoyer les traces avant publication

La mesure la plus immédiate est de supprimer systématiquement les blocs de raisonnement opaques avant de partager des traces d’agents. Que ce soit dans un article de blog, un dépôt GitHub ou une démonstration publique, assurez-vous que les champs opaque_reasoning, encrypted_thought ou équivalents sont effacés. Si vous devez conserver le contexte, recréez la trace sans ces blocs.

Gérer manuellement l’état des sessions

Évitez de compter sur les blocs chiffrés pour préserver l’état. Préférez une gestion stateless où vous stockez l’historique des échanges côté client, sans réinjecter les blocs de raisonnement. Les fournisseurs recommandent désormais cette approche après les divulgations, mais tous n’ont pas mis à jour leur documentation de manière explicite.

Surveiller les mises à jour des fournisseurs

OpenAI, Anthropic et Google ont appliqué des correctifs côté serveur qui, selon les chercheurs, rendent l’attaque principale non reproductible depuis août 2026. Toutefois, les blocs déjà publiés restent décodables. Vérifiez régulièrement les notes de version de vos API et abonnez-vous aux bulletins de sécurité des fournisseurs. En France, l’ANSSI recommande une veille active sur les vulnérabilités des composants AI utilisés par les systèmes d’information.

Appliquer le principe de moindre privilège aux comptes API

Limitez les droits des comptes API qui peuvent rejouer des blocs. Si un bloc de raisonnement est intercepté, il ne pourra être exploité que si le compte attaquant possède un accès à un modèle compatible. Restreignez les permissions et utilisez des clés API dédiées par application.

Former les équipes aux risques des traces d’IA

Beaucoup de développeurs ignorent que les blocs de raisonnement chiffrés peuvent être rejoués. Organisez des sessions de sensibilisation sur les risques de fuite via les journaux d’API. Montrez-leur concrètement comment un bloc anodin peut contenir un mot de passe. Une équipe informée est la meilleure défense.

Conclusion : une faille colmatée, mais une leçon pour l’industrie

La vulnérabilité découverte par les chercheurs met en lumière une faille dans la conception des API de raisonnement : le postulat implicite que le chiffrement suffit à protéger le contenu, sans prendre en compte la portabilité des objets. Bien que les fournisseurs aient corrigé le comportement côté serveur, les blocs déjà publiés restent une menace. Les 315 320 blocs décodés montrent que des secrets sensibles ont déjà fui, et il est possible que d’autres artefacts soient encore exploitables.

Pour les entreprises françaises, la leçon est claire : ne faites pas confiance au chiffrement seul. Traitez chaque bloc opaque comme s’il était en clair. Nettoyez vos traces, gérez l’état manuellement et formez vos équipes. La cybersécurité ne s’arrête pas à la couche réseau : elle doit intégrer les nouveaux artefacts des API d’IA, qui peuvent devenir une porte dérobée inattendue. En adoptant ces bonnes pratiques, vous protégerez non seulement vos données, mais aussi la réputation de votre organisation face à des attaquants de plus en plus créatifs.