参考画像 AIで作成
本来はユーザーから見えない、AIの「思考過程」を取り出せる問題が報告された。2026年8月10日にarXivへ投稿された論文「Stealing Reasoning Traces from Proprietary LLM APIs」で、研究チームが明らかにした。
OpenAI、Anthropic、Google各社のAPIでは、AIが回答を出すまでの詳しい推論過程を暗号化されたデータとして返す場合がある。研究チームは、高性能モデルが作った暗号化データを同じ会社の別モデルに渡し、内容を書き出すよう誘導すると、隠されていた推論を平文で復元できることを確認した。
暗号化データを読めるAI自身を「復号器」として利用した格好だ。研究チームはOpenAI、Anthropic、Googleのモデルで攻撃が成立したとしている。
研究のきっかけになったのは、ジョンズ・ホプキンス大学の暗号研究者Matthew Green氏が2026年5月に報告した実験だ。Green氏は、暗号化された推論データが別のセッションでも使える場合があることを発見し、各社に報告していた。研究チームは同じ性質を利用し、推論内容を取り出す方法へ発展させた。
研究チームはGitHubやHugging Faceで公開されていたAIエージェントなどのログ6708件を調べ、31万5320個の推論ブロックを復元した。実際のユーザーによるログからは、APIキー62件、パスワード33件、アクセストークン24件などの認証情報も見つかったという。ユーザーが通常の会話部分から秘密情報を削除していても、推論データ側に残っているケースがあった。
もう1つ重要とみられるのが、AIモデルの「蒸留」への影響だ。蒸留とは、高性能なAIの出力を教材にして、より小型なAIなどへ能力を移すための手法を指す。
通常、外部から利用できるのはAIの最終回答だけだが、途中の思考過程まで大量に取得できれば、「どう問題を分解したか」「どのような手順で答えにたどり着いたか」といった情報も学習に利用できる。最終回答だけを集めるより、性能の高いモデルをまねしやすくなる可能性があるというわけだ。
論文でも、この手法がAI企業による蒸留対策を回避し、他社が高性能モデルの思考データを集める手段になり得ると指摘している。ただし、盗み出した推論データを使ってフロンティアモデルと同等のAIを作れることまで実証したわけではない。
研究チームは論文公開前に各社へ問題を報告している。2026年8月時点では対策が導入され、論文で示された攻撃は再現できなくなったとしている。
ひとこと：AIエージェントの実行ログなどを公開している開発者は注意が必要だ。過去に暗号化された推論データを含むログを公開していた場合、APIキーやパスワードなどが含まれていなかったか確認し、必要に応じて認証情報を変更した方がいいだろう。
本記事はアフィリエイトプログラムによる収益を得ている場合があります
