Imagine pagar alguns centavos de dólares para ler os pensamentos privados de um modelo que custou bilhões para ser construído. Isso agora é possível. Um estudo de 116 páginas do MATS, ELLIS Tübingen e colaboradores demonstra que o raciocínio interno de Claude, GPT e Gemini pode ser extraído em texto puro com apenas duas chamadas de API — feitas pelo próprio modelo assistente mais barato de cada empresa. A cerca de US$ 720 por dez mil traços, o preço de uma extração antes impossível agora é trivial. E é justamente essa trivialidade que transforma isso em uma história estratégica, e não apenas um boletim de segurança.
A fraqueza vive no design, não na criptografia
Focar em “a criptografia falhou” perde o ponto principal. A história real é um trade-off de armazenamento. Tarefas de raciocínio precisam de continuidade — um passo deve herdar o contexto do anterior. Manter esse contexto no servidor é caro e colide com promessas de não retenção, então os fornecedores entregam o raciocínio criptografado ao cliente para guardar, recuperando-o na requisição seguinte. É nesse atalho que a exposição nasceu.
Os blocos não têm vínculo com uma sessão, um usuário ou um modelo gerador. Podem ser movidos livremente dentro do ecossistema do fornecedor. A interoperabilidade era o objetivo — downgrades mais suaves, histórico comprimido, transições elegantes. Mas isso também deu ao irmão mais barato e menos protegido a capacidade de recitar o pensamento do modelo principal. Quando uma defesa ignora seu próprio ponto de entrada mais frágil, ela nunca foi uma defesa de verdade.
Uma reprecificação da “inteligência oculta”
A leitura comercial importa mais do que o exploit. Se qualquer pessoa pode extrair raciocínio oculto em massa por alguns centavos de dólares, o prêmio atribuído ao “pensamento invisível” perde sua base. O mesmo artigo também converte o rumor de destilação em um fenômeno mensurável: um modelo reproduziu a formulação de outro até um milhão de vezes acima da taxa esperada, e os scores de similaridade saltaram de 0,17 para 0,33 nos testes de priming. Treinamento por cópia deixa de ser rumor no momento em que pode ser medido — e cópia mensurável acarreta risco jurídico.
Três públicos, três lições
Para os fornecedores, a correção é vinculamento, proteção contra replay, ou mover o estado de volta ao servidor com armazenamento de vida curta. A pergunta maior é o que resta quando o “pensamento secreto” se vai — para a maioria dos laboratórios, a resposta são dados, ferramentas e ecossistema, as partes que uma chamada de API barata não alcança.
Para desenvolvedores, tratem os logs de agentes como credenciais. A reconstrução de 315.000 blocos de raciocínio a partir de 6.708 traços públicos revelou 328 blocos — cerca de 4,9% — que vazavam chaves, senhas ou tokens. Façam rotação de credenciais, prefiram as de vida curta e limpem os logs.
Para compradores de modelos, a diferença de raciocínio oculto entre pesos fechados e abertos é menor do que as tabelas de benchmarks sugerem. Escolham com base em dados, ferramentas e adequação de alinhamento, em vez de pagar um prêmio pela opacidade.
O artigo complementar Ataque de Extração de Chain-of-Thought em Claude & GPT detalha a mecânica do exploit e o checklist defensivo; este artigo cobre o impacto comercial e setorial. Leia-os juntos para ter o quadro completo.
Leituras relacionadas: guia da API DeepSeek V4 Pro, como a MiniMax co-projeta modelos e harnesses e nossa análise dos pesos abertos do Qwen 3.8; o artigo científico está em arXiv 2608.09867.
