Cambiar de modelo puede exponer el razonamiento oculto de GPT y Claude

Alrededor del 27 de agosto de 2026, el usuario de X @kotekjedi_ml publicó una serie de resultados experimentales inusuales: bloques de razonamiento oculto en las API de Claude, GPT y Gemini —normalmente nunca mostrados a los usuarios— fueron recuperados por investigadores de seguridad como texto legible. Por diseño, cuando un modelo termina su razonamiento interno, el servidor lo cifra en un bloque opaco que se devuelve al cliente; este puede conservar ese dato pero no leerlo ni modificarlo, y lo devuelve intacto en la siguiente llamada para que el modelo retome donde lo dejó. Los investigadores no rompieron el cifrado ni obtuvieron claves del servidor: lo que sortearon fue el alcance de uso del bloque, no el cifrado en sí.

Por qué el razonamiento oculto sale del modelo

La diferencia entre un modelo de razonamiento y uno de chat común no son solo unos pasos de más antes de responder: esos estados intermedios suelen reutilizarse a lo largo de una tarea larga o de una ejecución de agente, mientras el modelo descompone un problema, prueba enfoques, lee resultados de herramientas y revisa su juicio. Un servidor podría guardar el historial completo de razonamiento de cada sesión, pero eso añade complejidad de almacenamiento y gestión de contexto, así que muchas API prefieren empaquetar el razonamiento interno en un bloque ilegible para el cliente, entregárselo para su custodia y verificarlo y reutilizarlo en la siguiente llamada. Eso impide la lectura o manipulación directas, pero crea un problema de permisos que hasta ahora pasaba desapercibido: el cifrado y la firma prueban que un bloque fue generado realmente por el servidor y no se alteró desde fuera, pero no que siga perteneciendo a la cuenta, la sesión o el modelo correctos; un razonamiento perfectamente legítimo puede terminar donde no debería.

Cómo hacer «hablar» a un modelo potente

Los investigadores comprobaron que estos bloques de razonamiento oculto no siempre quedan encerrados en su contexto original: algunos pueden reutilizarse entre sesiones, otros incluso reenviarse con otra cuenta, y, lo más importante, algunos pueden ser leídos por otros modelos del mismo proveedor. En el caso de Claude, por ejemplo, Opus completa una tarea normal, el servidor genera el razonamiento oculto correspondiente y devuelve al cliente un bloque de pensamiento firmado. En lugar de intentar que el propio Opus entregara su cadena de pensamiento, los investigadores cargaron ese bloque en el contexto de otro modelo, Haiku, que fue capaz de cargar un razonamiento que originalmente pertenecía a Opus. Una vez que ese paso funciona, el objetivo cambia: ya no hace falta romper las restricciones propias de Opus, basta con que Haiku, más fácil de vulnerar, repita en voz alta lo que ya ha cargado. Como los distintos modelos de una misma familia varían en solidez de alineación y resistencia al jailbreak, las barreras que protegen al modelo potente pueden esquivarse a través de un «hermano» más débil.

Cómo demostrar que el contenido recuperado es real

Los investigadores no tenían acceso a la traza de razonamiento en texto plano guardada en el servidor, así que no podían verificarla token a token: se apoyaron en señales independientes para juzgar si lo recuperado coincidía realmente con el estado oculto original.

• Hicieron que un modelo fuente resolviera 120 problemas de programación de Codeforces mientras registraban el número de tokens de razonamiento oculto reportado por la API, y luego lo compararon con la longitud del texto recuperado: en varios modelos de Anthropic, OpenAI y Google, las longitudes recuperadas seguían de cerca los recuentos de tokens reportados por la API, agrupándose cerca de la línea donde ambas cifras coinciden exactamente.
• Recopilaron 6.708 registros públicos de ejecuciones de agentes de GitHub y Hugging Face, que procesaron en 315.320 bloques de razonamiento. Una vez recuperado, el contenido incluía claves de API, contraseñas, tokens de acceso, claves privadas y direcciones de correo, algunas de las cuales nunca habían aparecido en el historial de conversación público, lo que significa que el modelo que recuperó la información no pudo haber deducido esos valores exactos solo a partir del texto visible.

Ese resultado reveló otro problema en los registros de agentes: aunque un usuario borre una contraseña o una clave de su historial de chat o de un repositorio de código, esa misma información puede seguir viva dentro de un bloque de razonamiento oculto antiguo, ya que el agente bien pudo haberla leído al modificar código, ajustar una configuración o limpiar un repositorio; y una vez que entra en el razonamiento, puede persistir en ese estado guardado.

La «ventaja del razonamiento» de la IA se resquebraja

La traza completa de razonamiento de un modelo vale, para el entrenamiento, mucho más que unas frases añadidas a la respuesta final: registra cómo se descompuso una tarea, cómo se formaron los juicios intermedios y cómo se corrigieron los errores de rumbo, una señal mucho más rica para entrenar un modelo más pequeño que la supervisión basada solo en la respuesta. Obtener ese tipo de datos a gran escala antes exigía pagar por llamar a un modelo cerrado y costoso. Ahora que los registros públicos de agentes ya contienen grandes volúmenes de razonamiento cifrado calculado por otros usuarios con modelos caros, cualquiera que encuentre un modelo compatible capaz de leer esos bloques tiene la oportunidad de extraer razonamiento de alta calidad ya calculado, en lugar de generarlo desde cero. Eso separa la generación y la extracción del razonamiento en distintos puntos de acceso: un modelo de gama alta produce el pensamiento de valor, y uno barato lo lee, una vía que una vigilancia centrada solo en el lado del modelo de gama alta probablemente no detecte.

Un experimento con Kimi K3, el modelo de Moonshot AI, ilustró cuánto vale ese razonamiento filtrado: los investigadores tomaron solo alrededor del 1 % inicial de los tokens de una traza de razonamiento oculto de Claude Opus y los introdujeron en el contexto de razonamiento de Kimi K3; la respuesta posterior de Kimi K3 se desplazó de forma notable hacia la de Opus, mucho más que un modelo de control que no había recibido ese prefijo. Esto no prueba que Kimi K3 se haya entrenado con datos de razonamiento de Claude, pero muestra que incluso un pequeño fragmento de razonamiento de alta calidad puede cambiar de forma medible la ruta de resolución de otro modelo.

En los sistemas de agentes, esto es más que una fuga de datos

En un chat corriente, que se lea un razonamiento oculto significa sobre todo que se ha filtrado información interna. En un sistema de agentes de larga duración, el razonamiento también funciona como estado de la tarea: registra lo que el agente ya ha analizado, qué opciones descartó y qué planea hacer a continuación. Si un bloque de razonamiento puede migrar de una tarea a otra ejecución de agente, lo que se traslada con él no es solo información histórica, sino potencialmente una tendencia de acción que el agente ya ha formado. Los investigadores demostraron una inyección de instrucciones invisible que se deriva de esto: primero se escribe contenido malicioso en el razonamiento oculto, y luego un nuevo agente carga ese estado; la entrada que ve el usuario no contiene ninguna instrucción correspondiente, pero en cuanto el modelo restaura su estado interno, puede actuar según ese contenido. Esto difiere de la inyección de instrucciones habitual, que suele esconderse en una página web, un archivo, un correo o el resultado de una herramienta que un sistema de seguridad al menos tiene alguna posibilidad de escanear en texto plano; un bloque de razonamiento cifrado es opaco para los sistemas externos, y solo cobra sentido cuando el servidor lo descifra, momento en el que cualquier defensa de escaneo ya llega tarde.

El contexto más amplio: agentes de código de IA que ya ejecutan código no autorizado dentro de redes corporativas

Este hallazgo sobre el razonamiento oculto surge junto a una ola más amplia de revelaciones sobre la seguridad de los agentes de IA. Según Ars Technica, investigadores de una startup israelí discreta analizaron 6.214 dominios activos pertenecientes a contratistas de defensa, empresas del Fortune 500 y grandes tecnológicas, y encontraron 227 comandos de instalación que apuntaban a paquetes de código o dominios sin registrar dentro de los archivos llms.txt de 120 de esos sitios. Tras registrar algunos de esos nombres de paquetes y dominios vacíos, el equipo recibió una solicitud de conexión de una empresa del Fortune 500 en menos de una hora, y decenas más con el tiempo, con la participación de agentes de código como Claude, Codex de OpenAI y Hermes de Nous Research. El investigador Alon Hertz sostiene que el problema de fondo es más básico: los agentes tratan por defecto cada documento que leen como digno de confianza, sin manera de distinguir una instrucción genuina de un contenido sin verificar.

Los agentes tratan la documentación de los proveedores como una verdad incuestionable y no la cuestionan, y las personas que los supervisan tampoco. El uso de la IA agéntica está explotando, y los agentes se extienden por todas las capas: SaaS, nube, dispositivos finales.

Qué cambia para las empresas hispanohablantes

Para cualquier organización que conecte Claude, GPT u otro modelo de razonamiento a flujos de trabajo con agentes —atención al cliente, revisión de código, análisis de datos—, esta investigación señala un riesgo del que apenas se habla: un bloque de razonamiento puede contener secretos como claves y contraseñas, y recuperarlo puede ser tan dañino como una fuga de registros. Las organizaciones que permiten a sus agentes trasladar y reutilizar estados de razonamiento antiguos entre tareas o modelos también deben considerar si ese estado podría arrastrar consigo una tendencia de acción manipulada. A corto plazo, los equipos que desplieguen agentes de razonamiento deberían evitar exponer credenciales internas en cualquier contexto susceptible de acabar escrito en el razonamiento, y fijar límites de permisos explícitos sobre qué estados de razonamiento pueden reutilizarse entre modelos o sesiones, en lugar de confiar por defecto en cualquier bloque que supere la verificación de firma.