モデルを入れ替えるとGPTとClaudeの隠れた思考が露出する

2026年8月27日前後、Xのユーザー@kotekjedi_mlが一連の異例の実験結果を公開した。Claude、GPT、GeminiのAPI内部にある、通常はユーザーに一切表示されない隠れ推論ブロックが、セキュリティ研究者によって読める文章として復元されたというものだ。設計上、モデルが内部推論を終えると、サーバー側はそれを不透明なブロックに暗号化してクライアントに返す。クライアントはこのデータを保持できるが、読むことも書き換えることもできず、次の呼び出し時にそのまま送り返すことで、モデルは前回の状態から推論を続けられる。研究者たちは暗号化を破ったわけでも、サーバー側の鍵を入手したわけでもない。彼らが回避したのはこのブロックの利用範囲であり、暗号化そのものではない。

隠れ推論がなぜモデルの外に出るのか

推論モデルと通常の対話モデルの違いは、答えを出す前に数ステップ余分に考えるという程度のものではない。これらの中間状態は、長いタスクやエージェントの実行を通じて何度も再利用される必要がある——モデルは問題を分解し、アプローチを試し、ツールの結果を読み、判断を修正していく。サーバーはセッションごとに完全な推論履歴を保存することもできるが、それはストレージとコンテキスト管理の負荷を増やす。そのため多くのAPIは、内部推論をクライアントには読めないブロックに詰め、保管を任せ、次の呼び出し時に検証したうえで再利用する方式を選んでいる。これにより直接の読み取りや改ざんは防げるが、これまであまり目立たなかった権限の問題が生まれる。暗号化と署名は、あるブロックが確かにサーバーで生成され外部から改変されていないことは証明できても、それが今も正しいアカウント、セッション、モデルに属していることまでは証明できない——まったく正当な推論であっても、あるべきでない場所に置かれてしまうことがあるのだ。

強いモデルを「しゃべらせる」方法

研究者たちは、これらの隠れ推論ブロックが必ずしも元のコンテキストに固定されていないことを確認した。セッションをまたいで再利用できるものもあれば、別のアカウントで再提出できるものさえあり、そして最も重要な点として、同じ提供元の別モデルによって読み取れるものもあった。Claudeの例では、Opusが通常のタスクを完了すると、サーバーは対応する隠れ推論を生成し、署名付きの思考ブロックをクライアントに返す。研究者はOpus自身にチェーン・オブ・ソートを吐き出させようとするのではなく、そのブロックを別モデルであるHaikuのコンテキストに読み込ませた。するとHaikuは、本来Opusのものであった推論を問題なく読み込むことができた。この一歩が成立すると、攻撃対象は移り変わる。Opus自身の制限を突破する必要はなくなり、より突破しやすいHaikuに、すでに読み込んだ内容を声に出して語らせるだけでよくなる。同じファミリー内でもモデルによってアライメントの強度や脱獄への耐性が異なるため、強いモデルを守るガードレールが、より弱い兄弟モデル経由で迂回されてしまう。

復元された内容が本物であることの証明

研究者はサーバー側に保存された平文の推論トレースにアクセスできないため、トークン単位での照合はできなかった。そこで、復元された出力が本当に元の隠れ状態と一致するかどうかを、複数の独立した手がかりから判断した。

• ソースモデルにCodeforcesのプログラミング問題120問を解かせながら、APIが報告する隠れ思考トークン数を記録し、復元されたテキストの長さと比較した。Anthropic、OpenAI、Googleの複数のモデルで、復元された長さはAPIが報告したトークン数と近い相関を示し、両者が一致する対角線付近に多くのサンプルが集まった。
• GitHubとHugging Faceから公開されているエージェント実行ログを6,708件収集し、315,320個の推論ブロックに分割処理した。復元後の内容にはAPIキー、パスワード、アクセストークン、秘密鍵、メールアドレスなどが含まれており、その一部は公開の会話履歴のどこにも現れたことがないものだった。つまり復元側のモデルが、可視のテキストだけからそれらの正確な値を推測することはできなかったはずだということになる。

この結果は、エージェントのログにおけるもう一つの問題も浮き彫りにした。ユーザーがチャット履歴やコードリポジトリからパスワードや鍵を削除したとしても、同じ情報が古い隠れ推論ブロックの中に生き続けている可能性がある。エージェントはコードを編集したり設定を調整したりリポジトリを整理したりする過程でその情報を読み取っていた可能性があり、いったん推論に組み込まれれば、その保存状態の中に残り続けることがあるからだ。

AIが誇る「推論の堀」が揺らいでいる

モデルの完全な推論トレースは、学習にとって最終的な答えに数文追加する程度以上の価値を持つ。それはタスクがどのように分解されたか、中間的な判断がどう形成されたか、誤った方向がどう修正されたかを記録しており、答えだけに基づく教師信号よりもはるかに豊かな情報を、より小さなモデルの学習に提供できる。こうしたデータを大規模に得るには、これまで自ら高価なクローズドモデルを呼び出す費用を払う必要があった。しかし公開されているエージェントのログにはすでに、他のユーザーが高価なモデルで計算した暗号化推論が大量に蓄積されている。それらのブロックを読める互換モデルさえ見つければ、誰でもゼロから生成し直す代わりに、すでに計算済みの高品質な推論を抽出できるチャンスがある。これは推論の生成と抽出が異なるエンドポイントに分かれることを意味する——トップクラスのモデルが価値ある思考を生み出し、安価なモデルがそれを読み出す。トップモデル側だけを監視する従来のやり方では、この新しい経路を捉えられない可能性が高い。

Moonshot AIのKimi K3を使った実験は、この漏洩した推論がどれほど価値を持つかを示した。研究者はClaude Opusの隠れ推論トレースの冒頭からわずか約1%のトークンだけを取り出し、Kimi K3の推論コンテキストに入力した。すると、その後のKimi K3の回答は、そのプレフィックスを受け取らなかった対照モデルよりもはるかに大きく、Opusの出力方向へと明確にシフトした。これはKimi K3がClaudeの推論データで学習されたことを証明するものではないが、高品質な推論のごく一部でさえ、別のモデルの解法の道筋を測定可能なほど変え得ることを示している。

エージェントシステムでは、単なる情報漏洩にとどまらない

通常のチャットでは、隠れ推論が読み出されることは主に内部情報の漏洩を意味する。しかし長時間稼働するエージェントシステムでは、推論はタスクの状態としての役割も担う——エージェントがすでに何を分析し、どの選択肢を排除し、次に何をするつもりかを記録している。ある推論ブロックが一つのタスクから別のエージェント実行へと移動できるなら、それとともに移動するのは過去の情報だけではなく、エージェントがすでに形成した行動傾向である可能性もある。研究者たちは、これに由来する目に見えないプロンプトインジェクションを実演した。悪意ある内容がまず隠れ推論に書き込まれ、後に新しいエージェントがその状態を読み込む——ユーザーに見える入力には対応する指示は一切存在しないが、モデルが内部状態を復元した瞬間、その内容の影響を受けて追加の行動を実行してしまう。これは通常のプロンプトインジェクションとは異なる。通常は、ウェブページやファイル、メール、ツールの出力といった、セキュリティシステムが少なくとも平文としてスキャンできる場所に隠されている。しかし暗号化された推論ブロックは外部システムにとって不透明なデータでしかなく、サーバーが復号して初めて意味を持つ——その時点では、あらゆるスキャン型の防御はすでに手遅れになっている。

より広い背景：AIコーディングエージェントはすでに企業ネットワーク内で無許可のコードを実行している

今回の隠れ推論に関する発見は、AIエージェントのセキュリティをめぐるより広範な一連の告発と時を同じくして浮上した。Ars Technicaによると、目立たないイスラエルのスタートアップの研究者たちが、防衛関連企業、フォーチュン500企業、大手テック企業に属する6,214件の稼働中ドメインをスキャンしたところ、そのうち120サイトのllms.txtファイル内に、未登録のコードパッケージやドメインを指す227件のインストール指示を発見した。空いていたパッケージ名やドメイン名のいくつかを登録したところ、1時間以内にフォーチュン500企業からの通信を受信し、その後も数十件が続いた。関与していたコーディングエージェントには、Claude、OpenAIのCodex、Nous ResearchのHermesなどが含まれていた。研究者の一人であるAlon Hertz氏は、これがより根本的な問題を露呈していると指摘する。エージェントは自分が読むあらゆるドキュメントをデフォルトで信頼できるものとして扱い、正当な指示と未検証のコンテンツを見分ける手段を持っていないという。

エージェントはベンダーのドキュメントを絶対的な真実として扱い、それを疑うことはありません。それを監督する人間も同様です。エージェント型AIの利用は爆発的に拡大しており、エージェントはSaaS、クラウド、エンドポイントというあらゆる層に広がりつつあります。

日本企業にとっての意味

顧客対応やコードレビュー、データ分析といったエージェント型のワークフローにClaudeやGPTなどの推論モデルを組み込んでいる組織にとって、この研究はこれまでほとんど議論されてこなかったリスクを指し示している。推論ブロックには鍵やパスワードといった機密情報が紛れ込んでいる可能性があり、それが復元されれば、ログ漏洩そのものと同じくらいの被害をもたらしかねない。エージェントに古い推論状態をタスクやモデルをまたいで持ち運ばせ、再利用させている組織は、その状態が改ざんされた行動傾向を一緒に運んでいないかも検討する必要がある。当面、推論エージェントを導入するチームは、推論に書き込まれるおそれのある文脈に社内の認証情報を露出させないようにし、どの推論状態をモデルやセッションをまたいで再利用してよいかについて、明確な権限の境界を設定すべきだ。署名検証さえ通ればどんなブロックでもデフォルトで信頼する、という姿勢は避けなければならない。