Modellwechsel kann verstecktes Denken von GPT und Claude offenlegen

Um den 27. August 2026 veröffentlichte der X-Nutzer @kotekjedi_ml eine Reihe ungewöhnlicher Versuchsergebnisse: versteckte Denkblöcke in den APIs von Claude, GPT und Gemini – normalerweise nie für Nutzer sichtbar – waren von Sicherheitsforschern als lesbarer Text wiederhergestellt worden. Konstruktionsbedingt verschlüsselt der Server das interne Denken eines Modells nach Abschluss zu einem undurchsichtigen Block, der an den Client zurückgegeben wird; der Client kann diese Daten aufbewahren, aber weder lesen noch verändern, und schickt sie beim nächsten Aufruf unverändert zurück, damit das Modell dort weitermachen kann, wo es aufgehört hat. Die Forscher haben weder die Verschlüsselung geknackt noch Server-Schlüssel erlangt – umgangen wurde der Gültigkeitsbereich des Blocks, nicht die Verschlüsselung selbst.

Warum verstecktes Denken das Modell überhaupt verlässt

Der Unterschied zwischen einem Reasoning-Modell und einem gewöhnlichen Chat-Modell liegt nicht nur in ein paar zusätzlichen Denkschritten vor der Antwort: Diese Zwischenzustände müssen oft über eine lange Aufgabe oder einen Agentenlauf hinweg wiederverwendet werden, während das Modell ein Problem zerlegt, Ansätze ausprobiert, Werkzeugergebnisse liest und sein Urteil revidiert. Ein Server könnte den vollständigen Denkverlauf jeder Sitzung speichern, doch das erhöht Speicher- und Kontextverwaltungsaufwand; viele APIs verpacken das interne Denken deshalb lieber in einen für den Client unlesbaren Block, geben ihn zur Aufbewahrung weiter und prüfen und verwenden ihn beim nächsten Aufruf erneut. Das verhindert direktes Lesen oder Manipulieren, schafft aber ein bislang wenig sichtbares Rechteproblem: Verschlüsselung und Signatur beweisen, dass ein Block tatsächlich vom Server erzeugt und nicht von außen verändert wurde, nicht aber, dass er noch zum richtigen Konto, zur richtigen Sitzung oder zum richtigen Modell gehört – ein völlig legitimes Stück Denken kann dort landen, wo es nicht hingehört.

Ein starkes Modell zum «Reden» bringen

Die Forscher stellten fest, dass diese versteckten Denkblöcke nicht immer an ihren ursprünglichen Kontext gebunden bleiben: Manche lassen sich über Sitzungen hinweg wiederverwenden, manche sogar unter einem anderen Konto erneut einreichen, und – am wichtigsten – manche können von anderen Modellen desselben Anbieters gelesen werden. Bei Claude etwa schließt Opus eine normale Aufgabe ab, der Server erzeugt das entsprechende versteckte Denken und gibt einen signierten Denkblock an den Client zurück. Statt zu versuchen, Opus selbst zur Preisgabe seiner Gedankenkette zu bewegen, luden die Forscher diesen Block in den Kontext eines anderen Modells, Haiku – das ein Denken laden konnte, das ursprünglich Opus gehörte. Sobald dieser Schritt gelingt, verschiebt sich das Ziel: Statt Opus’ eigene Beschränkungen zu durchbrechen, genügt es, das leichter zu umgehende Haiku dazu zu bringen, laut vorzulesen, was es bereits geladen hat. Da unterschiedliche Modelle derselben Familie in Alignment-Stärke und Jailbreak-Resistenz variieren, lassen sich die Schutzmechanismen des starken Modells über ein schwächeres Schwestermodell umgehen.

Beweisen, dass der wiederhergestellte Inhalt echt ist

Die Forscher hatten keinen Zugriff auf die serverseitig gespeicherte Klartext-Denkspur und konnten sie daher nicht Token für Token prüfen – sie stützten sich stattdessen auf unabhängige Signale, um zu beurteilen, ob die wiederhergestellte Ausgabe wirklich dem ursprünglichen versteckten Zustand entsprach.

• Sie ließen ein Ausgangsmodell 120 Codeforces-Programmieraufgaben bearbeiten und zeichneten dabei die von der API gemeldete Anzahl verborgener Denk-Tokens auf, verglichen diese dann mit der Länge des wiederhergestellten Textes: Bei mehreren Modellen von Anthropic, OpenAI und Google folgten die wiederhergestellten Längen eng den von der API gemeldeten Token-Zahlen und häuften sich nahe der Linie, auf der beide Werte exakt übereinstimmen.
• Sie sammelten 6.708 öffentliche Agenten-Protokolle von GitHub und Hugging Face und verarbeiteten sie zu 315.320 Denkblöcken. Nach der Wiederherstellung enthielt der Inhalt API-Schlüssel, Passwörter, Zugriffstoken, private Schlüssel und E-Mail-Adressen – von denen einige nie im öffentlichen Gesprächsverlauf aufgetaucht waren, was bedeutet, dass das wiederherstellende Modell diese genauen Werte nicht allein aus sichtbarem Text erschließen konnte.

Dieses Ergebnis deckte ein weiteres Problem in Agenten-Protokollen auf: Selbst nachdem ein Nutzer ein Passwort oder einen Schlüssel aus dem Chatverlauf oder einem Code-Repository gelöscht hat, kann dieselbe Information in einem alten versteckten Denkblock weiterleben, da der Agent sie beim Bearbeiten von Code, Anpassen einer Konfiguration oder Aufräumen eines Repositorys durchaus gelesen haben kann – und sobald sie ins Denken eingeflossen ist, kann sie in diesem gespeicherten Zustand fortbestehen.

Der geschätzte «Reasoning-Burggraben» der KI bröckelt

Die vollständige Denkspur eines Modells ist für das Training weit mehr wert als ein paar zusätzliche Sätze über die endgültige Antwort hinaus: Sie hält fest, wie eine Aufgabe zerlegt wurde, wie sich Zwischenurteile bildeten und wie Fehltritte korrigiert wurden – ein weit reichhaltigeres Signal für das Training eines kleineren Modells als eine reine Antwort-Überwachung. Solche Daten in großem Maßstab zu erhalten bedeutete bisher, selbst für den Aufruf eines teuren geschlossenen Modells zu zahlen. Da öffentliche Agenten-Protokolle inzwischen bereits große Mengen an verschlüsseltem Denken enthalten, das andere Nutzer mit teuren Modellen berechnet haben, hat jeder, der ein kompatibles Modell findet, das diese Blöcke lesen kann, eine Chance, bereits berechnetes, hochwertiges Denken zu extrahieren, statt es von Grund auf neu zu erzeugen. Das trennt Erzeugung und Extraktion des Denkens auf unterschiedliche Endpunkte auf – ein Spitzenmodell produziert das wertvolle Denken, ein billiges Modell liest es aus –, ein Weg, den eine Überwachung, die sich nur auf die Spitzenmodell-Seite konzentriert, vermutlich nicht erfasst.

Ein Experiment mit Kimi K3, dem Modell von Moonshot AI, veranschaulichte, wie wertvoll dieses durchgesickerte Denken sein kann: Die Forscher entnahmen nur die ersten rund 1 Prozent der Tokens einer versteckten Denkspur von Claude Opus und speisten sie in den Denkkontext von Kimi K3 ein; die anschließende Antwort von Kimi K3 verschob sich spürbar in Richtung der von Opus, deutlich stärker als bei einem Kontrollmodell ohne dieses Präfix. Das beweist nicht, dass Kimi K3 mit Claudes Denkdaten trainiert wurde, zeigt aber, dass schon ein kleiner Ausschnitt hochwertigen Denkens den Lösungsweg eines anderen Modells messbar verändern kann.

In Agentensystemen ist das mehr als ein Datenleck

In einem gewöhnlichen Chat bedeutet das Auslesen versteckten Denkens vor allem, dass interne Informationen durchgesickert sind. In einem langlaufenden Agentensystem fungiert das Denken zudem als Aufgabenzustand – es hält fest, was der Agent bereits analysiert hat, welche Optionen er verworfen hat und was er als Nächstes plant. Wenn ein Denkblock von einer Aufgabe in einen anderen Agentenlauf wandern kann, bewegt sich mit ihm nicht nur historische Information, sondern womöglich auch eine bereits ausgebildete Handlungstendenz des Agenten. Die Forscher zeigten eine daraus folgende unsichtbare Prompt-Injektion: Zunächst wird bösartiger Inhalt in verstecktes Denken geschrieben, dann lädt ein neuer Agent diesen Zustand – die vom Nutzer gesehene Eingabe enthält keine entsprechende Anweisung, doch sobald das Modell seinen internen Zustand wiederherstellt, kann es dennoch entsprechend diesem Inhalt handeln. Das unterscheidet sich von gewöhnlicher Prompt-Injektion, die sich meist in einer Webseite, einer Datei, einer E-Mail oder einem Werkzeugergebnis versteckt, das ein Sicherheitssystem zumindest im Klartext scannen könnte; ein verschlüsselter Denkblock ist für externe Systeme undurchsichtig und ergibt erst Sinn, sobald der Server ihn entschlüsselt – zu diesem Zeitpunkt kommt jede Scan-Abwehr bereits zu spät.

Der größere Kontext: KI-Coding-Agenten führen bereits nicht autorisierten Code in Unternehmensnetzwerken aus

Dieser Befund zum versteckten Denken taucht inmitten einer breiteren Welle von Enthüllungen zur Sicherheit von KI-Agenten auf. Laut Ars Technica scannten Forscher eines unauffälligen israelischen Start-ups 6.214 aktive Domains von Verteidigungsunternehmen, Fortune-500-Firmen und Big-Tech-Konzernen und fanden in den llms.txt-Dateien von 120 dieser Websites 227 Installationsbefehle, die auf nicht registrierte Code-Pakete oder Domains verwiesen. Nach der Registrierung einiger dieser leeren Paketnamen und Domains erhielt das Team innerhalb einer Stunde eine Rückmeldung von einem Fortune-500-Unternehmen, danach im Laufe der Zeit Dutzende weitere – unter Beteiligung von Coding-Agenten wie Claude, OpenAIs Codex und Nous Researchs Hermes. Der Forscher Alon Hertz sieht darin ein grundlegenderes Problem: Agenten behandeln standardmäßig jedes Dokument, das sie lesen, als vertrauenswürdig, ohne eine echte Anweisung von ungeprüftem Inhalt unterscheiden zu können.

Agenten behandeln Herstellerdokumentation als unumstößliche Wahrheit und hinterfragen sie nicht – und die Menschen, die sie beaufsichtigen, tun das ebenfalls nicht. Die Nutzung agentischer KI explodiert, und Agenten breiten sich über jede Ebene aus: SaaS, Cloud, Endgeräte.

Was das für deutsche Unternehmen bedeutet

Für jede Organisation, die Claude, GPT oder ein anderes Reasoning-Modell in agentische Workflows einbindet – Kundensupport, Code-Review, Datenanalyse –, weist diese Untersuchung auf ein bislang kaum diskutiertes Risiko hin: Ein Denkblock kann Geheimnisse wie Schlüssel und Passwörter enthalten, und seine Wiederherstellung kann ebenso schädlich sein wie ein Protokollleck. Organisationen, die ihren Agenten erlauben, alte Denkzustände zwischen Aufgaben oder Modellen mitzuführen und wiederzuverwenden, müssen zudem bedenken, ob dieser Zustand eine manipulierte Handlungstendenz mit sich tragen könnte. Kurzfristig sollten Teams, die Reasoning-Agenten einsetzen, vermeiden, interne Zugangsdaten in einem Kontext offenzulegen, der ins Denken geschrieben werden könnte, und klare Berechtigungsgrenzen dafür setzen, welche Denkzustände zwischen Modellen oder Sitzungen wiederverwendet werden dürfen – statt jedem Block, der die Signaturprüfung besteht, standardmäßig zu vertrauen.