Bevor ein KI-Modell wie Claude, GPT oder Gemini Ihnen eine Antwort gibt, durchläuft es einen internen Denkprozess. Dieser Prozess heißt Reasoning. Die Anbieter zeigen ihn nicht offen an, sondern verschicken ihn verschlüsselt an die anfragende Anwendung zurück, damit das Gespräch über mehrere Antworten hinweg seinen Zusammenhang behält.
Sicherheitsforscher haben Anfang August 2026 gezeigt, dass diese Verschlüsselung ein bestimmtes Risiko nicht abdeckt, für das sie eigentlich gedacht war.
Was genau haben die Forscher herausgefunden?
Ein verschlüsselter Denkblock aus einer Anfrage an ein starkes Modell lässt sich unverändert in eine Anfrage an ein schwächeres Modell desselben Anbieters einsetzen, und das schwächere Modell gibt seinen Inhalt teilweise im Klartext wieder.
Das Team aus ELLIS Institute Tübingen, Max-Planck-Institut, MATS Research und Snyk hat dafür keine Verschlüsselung gebrochen. Der Block wird einfach in einem anderen Kontext wiederverwendet, für den er nie vorgesehen war. Bei einer Prüfung von rund 6.700 öffentlich einsehbaren KI-Agenten-Sitzungen auf GitHub und Hugging Face fanden die Forscher darin unter anderem 62 API-Schlüssel und 33 Passwörter, die ausschließlich im verschlüsselten Denkblock steckten, nicht in der sichtbaren Antwort.
Warum ist das ein Architekturproblem und kein Einzelfehler?
Der Schlüssel, der diese Blöcke absichert, gilt beim jeweiligen Anbieter für alle Nutzer, alle Sitzungen und alle Modelle gleichzeitig, statt an eine bestimmte Sitzung gebunden zu sein.
Eine Verschlüsselung beweist nur, dass ein Datenblock echt ist. Sie beweist nicht, zu wem er gehört oder wofür er bestimmt war. Genau diese zweite Eigenschaft fehlte hier. Für ein Unternehmen, das eine KI-Lösung aufbaut, ist das der eigentliche Lernpunkt: Eine Zugriffsgrenze muss technisch erzwungen werden. Sie darf sich nicht darauf verlassen, dass niemand auf die Idee kommt, sie zu testen.
Was bedeutet das für Unternehmen, die mehrere KI-Modelle kombinieren?
Wer in einem Arbeitsablauf Daten zwischen verschiedenen KI-Anbietern weiterreicht, etwa ein Modell für die Analyse und ein anderes für die Umsetzung, gibt an jeder Übergabestelle einen Teil der Kontrolle ab.
Ein Beispiel, ohne dass daraus eine Empfehlung für den Einzelfall folgt: Ein mittelständisches Unternehmen mit einer mehrstufigen Dokumentenprüfung, bei der ein Modell die Vorprüfung übernimmt und ein zweites die Freigabe vorbereitet, hat an dieser Schnittstelle einen Punkt, an dem interne Informationen den ursprünglich vorgesehenen Rahmen verlassen können. Ob das im Einzelfall relevant ist, hängt von den verarbeiteten Daten und der gewählten Architektur ab.
Was sollten Sie jetzt konkret prüfen?
Ob überhaupt ein Risiko besteht, hängt davon ab, ob in Ihrer KI-Nutzung Reasoning-Daten den Anbieter wechseln oder öffentlich geteilt werden.
Drei Fragen dafür:
→ Werden in Ihren KI-Anwendungen Ergebnisse eines Modells an ein Modell eines anderen Anbieters weitergereicht?
→ Haben Sie oder Ihr Team jemals eine vollständige KI-Sitzung mit sichtbaren technischen Metadaten öffentlich geteilt, etwa in einem Repository oder einem Forum?
→ Wissen Sie, welche Daten in den internen Zwischenschritten eines Modells verarbeitet werden, nicht nur in der sichtbaren Antwort?
Die Anbieter haben nach der Meldung durch die Forscher bereits nachgebessert. Die Frage, die davon unberührt bleibt: Wie viele Ihrer eigenen Schnittstellen zwischen KI-Systemen wurden je auf diese Art von Annahme geprüft?
