主要AIモデルAPIの暗号化推論トレースが抽出可能と判明――大手3社がプライバシー漏洩リスクに直面

2026年8月11日、研究チームは論文『Stealing Reasoning Traces from Proprietary LLM APIs』を発表し、OpenAI・Anthropic・GoogleのAPIがモデルの逐次推論プロセスを暗号化チャンクの形式でクライアントに返却しており、これらのチャンクが同一ベンダーのエコシステム内でセッション・ユーザー・モデルをまたいで再利用可能であることを実証した。

攻撃メカニズムはアーキテクチャ上の設計選択に起因

各ベンダーは推論プロセスが直接的に蒸留されることを防ぐため、暗号化推論チャンクをサーバー側で保存せずクライアント経由で受け渡す設計を選択した。研究の結果、これらのチャンクが特定のセッションやモデルに紐付けられていないことが判明し、性能の低いモデルを使って高性能モデルの内容を復号できることが示された。攻撃者は高性能モデルに暗号化チャンクを生成させ、それを低性能モデルに注入して簡単なジェイルブレイクを行うだけで、平文の推論トレースを一語一語出力させることができる。

論文では、抽出されたトークン数がAPIの課金対象となるthinking tokensとほぼ1:1で一致することも検証された。この手法は高性能モデルの蒸留防止機構を迂回し、同一ベンダーの低性能モデルを直接利用して復号を行う。

公開ログに大量の機密データが露出

研究チームは公開コードリポジトリ上の6,700〜7,000件のエージェントトレースをスキャンし、315,320個の推論チャンクを復号した結果、367件の個人識別情報（PII）と182件の認証情報を回収した。これには62個の固有APIキー、33個のパスワード、33件のメールアドレスが含まれる。これらの情報の多くは隠蔽された推論内にのみ存在し、最終的な出力には表示されていなかった。

開発者は暗号化チャンクを含むログを公開共有することが多いが、その内容が復元可能であることに気づいていない。この規模の漏洩は、現在のAPI設計がログ共有のシナリオにおいてプライバシーリスクを直接さらしていることを示している。

4種類の攻撃ベクターが実証される

• 蒸留防止の迂回：最先端モデルの推論トレースを抽出し、他のモデルの学習に利用可能。
• 大規模データ抽出：公開ログから認証情報およびPIIを回収可能。
• 隠蔽された危険な挙動の露出：最終出力がリクエストを拒否していても、推論プロセスにスキーミングや異常なループが含まれている場合がある。
• 不可視のプロンプトインジェクション：暗号化チャンクに悪意あるペイロードを埋め込み、公開エージェントの実行を汚染可能。

論文著者のAlexander Panfilovは、2026年5月にMatthew Greenがすでに再利用問題を報告していたが、当時各ベンダーは明確なセキュリティ上の影響はないと判断していたと説明した。今回の研究はクロスモデルの移植性を体系的に実証するものである。

業界レベルでの実際の影響

この脆弱性は「推論を隠蔽すれば知的財産を保護できる」という前提に直接異議を唱えるものだ。同一ベンダー内に防護の弱いモデルが存在する限り、高性能モデルの推論プロセスは間接的に抽出されうる。少量のClaude Opusの推論トークンを他のモデルにプレフィルすると出力スタイルに変化が生じており、蒸留リスクが現実に存在することが示されている。

APIセキュリティ設計の観点からは、クライアント側が暗号化チャンクを保持する方式はすでに持続不可能であることが証明された。クロスモデル復号を防止するには、セッションバインディングやモデル固有の暗号鍵といった仕組みの導入が必要となる。

独自見解

今回の問題の核心は暗号化アルゴリズム自体にあるのではなく、復号可能な推論チャンクをクライアントに露出させるというアーキテクチャ上の判断にある。各ベンダーは責任ある開示プロセスを経て一部の修正を完了しているが、根本的な解決にはクライアント経由で暗号化推論を受け渡す設計の必要性を再評価することにある。今後もこのパターンに依存したAPI設計が続く限り、同様のダウングレード攻撃は繰り返されるだろう。