Model wisselen kan verborgen redenering van GPT en Claude blootleggen

Rond 27 augustus 2026 publiceerde X-gebruiker @kotekjedi_ml een reeks ongewone experimentele resultaten: verborgen redeneerblokken in de API's van Claude, GPT en Gemini — normaal nooit aan gebruikers getoond — waren door beveiligingsonderzoekers hersteld tot leesbare tekst. Standaard versleutelt de server, zodra een model zijn interne redenering heeft afgerond, dit tot een ondoorzichtig blok dat aan de client wordt teruggegeven; de client kan die data bewaren maar niet lezen of wijzigen, en stuurt ze bij de volgende aanroep ongewijzigd terug zodat het model kan verdergaan waar het gebleven was. De onderzoekers braken de versleuteling niet en verkregen geen serversleutels — wat ze omzeilden was het gebruiksbereik van het blok, niet de versleuteling zelf.

Waarom verborgen redenering het model ooit verlaat

Het verschil tussen een redeneermodel en een gewoon chatmodel zit niet alleen in een paar extra denkstappen vóór het antwoord: die tussentoestanden moeten vaak worden hergebruikt tijdens een lange taak of een agentrun, terwijl het model een probleem ontleedt, aanpakken uitprobeert, resultaten van tools leest en zijn oordeel bijstelt. Een server zou de volledige redeneergeschiedenis van elke sessie kunnen bewaren, maar dat verhoogt de opslag- en contextbeheerlast; veel API's verpakken interne redenering daarom liever in een voor de client onleesbaar blok, geven het in bewaring en verifiëren en hergebruiken het bij de volgende aanroep. Dat voorkomt direct lezen of manipuleren, maar creëert een tot dusver weinig zichtbaar rechtenprobleem: versleuteling en ondertekening bewijzen dat een blok echt door de server is gegenereerd en niet van buitenaf is gewijzigd, maar niet dat het nog bij het juiste account, de juiste sessie of het juiste model hoort — een volkomen legitieme redenering kan terechtkomen waar ze niet hoort.

Een sterk model laten «praten»

De onderzoekers ontdekten dat deze verborgen redeneerblokken niet altijd aan hun oorspronkelijke context vastzitten: sommige kunnen tussen sessies worden hergebruikt, sommige zelfs onder een ander account opnieuw worden ingediend, en — het belangrijkst — sommige kunnen door andere modellen van dezelfde leverancier worden gelezen. Bij Claude bijvoorbeeld voltooit Opus een normale taak, genereert de server de bijbehorende verborgen redenering en stuurt een ondertekend denkblok terug naar de client. In plaats van te proberen Opus zelf zijn gedachteketen te laten prijsgeven, laadden de onderzoekers dat blok in de context van een ander model, Haiku — dat een redenering kon laden die oorspronkelijk aan Opus toebehoorde. Zodra die stap lukt, verschuift het doelwit: in plaats van Opus' eigen beperkingen te doorbreken, hoeft de makkelijker te omzeilen Haiku alleen maar hardop te herhalen wat het al heeft geladen. Omdat verschillende modellen binnen dezelfde familie verschillen in alignmentsterkte en jailbreak-weerstand, kunnen de waarborgen rond het sterke model worden omzeild via een zwakker zustermodel.

Bewijzen dat de herstelde inhoud echt is

De onderzoekers hadden geen toegang tot het platteksttraject van de redenering dat serverzijdig wordt bewaard, en konden het dus niet token voor token controleren — ze steunden in plaats daarvan op onafhankelijke signalen om te beoordelen of de herstelde uitvoer echt overeenkwam met de oorspronkelijke verborgen toestand.

• Ze lieten een bronmodel 120 Codeforces-programmeeropgaven doorwerken terwijl ze het door de API gerapporteerde aantal verborgen denk-tokens registreerden, en vergeleken dat vervolgens met de lengte van de herstelde tekst: bij meerdere modellen van Anthropic, OpenAI en Google volgden de herstelde lengtes nauwgezet de door de API gerapporteerde tokenaantallen, geclusterd rond de lijn waar beide cijfers exact overeenkomen.
• Ze verzamelden 6.708 openbare agentlogboeken van GitHub en Hugging Face en verwerkten die tot 315.320 redeneerblokken. Eenmaal hersteld, bevatte de inhoud API-sleutels, wachtwoorden, toegangstokens, privésleutels en e-mailadressen — waarvan sommige nooit ergens in de openbare gespreksgeschiedenis waren verschenen, wat betekent dat het herstellende model die exacte waarden niet simpelweg uit zichtbare tekst kon hebben afgeleid.

Dat resultaat legde nog een probleem in agentlogboeken bloot: zelfs nadat een gebruiker een wachtwoord of sleutel uit de chatgeschiedenis of een codearchief verwijdert, kan dezelfde informatie voortleven binnen een oud verborgen redeneerblok, aangezien de agent die tijdens het bewerken van code, het aanpassen van een configuratie of het opschonen van een archief best gelezen kan hebben — en eenmaal in de redenering opgenomen, kan ze blijven bestaan in die opgeslagen toestand.

De geroemde «reasoning-slotgracht» van AI brokkelt af

Het volledige redeneertraject van een model is voor training veel meer waard dan een paar extra zinnen naast het uiteindelijke antwoord: het legt vast hoe een taak werd ontleed, hoe tussentijdse oordelen zich vormden en hoe verkeerde afslagen werden gecorrigeerd — een veel rijker signaal om een kleiner model te trainen dan supervisie op basis van alleen het antwoord. Dat soort data op grote schaal verkrijgen betekende voorheen dat je zelf moest betalen om een duur gesloten model aan te roepen. Nu openbare agentlogboeken al grote hoeveelheden versleutelde redenering bevatten die door andere gebruikers met dure modellen zijn berekend, heeft iedereen die een compatibel model vindt dat die blokken kan lezen, een kans om al berekende, hoogwaardige redenering te extraheren in plaats van ze vanaf nul te genereren. Dat splitst het genereren en extraheren van redenering over verschillende eindpunten — een topmodel produceert het waardevolle denkwerk, een goedkoop model leest het uit —, een route die toezicht dat zich alleen op de topmodelkant richt, waarschijnlijk niet opmerkt.

Een experiment met Kimi K3, het model van Moonshot AI, illustreerde hoe waardevol die gelekte redenering kan zijn: onderzoekers namen slechts ongeveer de eerste 1% van de tokens uit een verborgen redeneertraject van Claude Opus en voerden die in de redeneercontext van Kimi K3 in; het daaropvolgende antwoord van Kimi K3 verschoof merkbaar richting dat van Opus, veel meer dan bij een controlemodel dat dat voorvoegsel niet kreeg. Dat bewijst niet dat Kimi K3 is getraind op de redeneerdata van Claude, maar toont wel dat zelfs een klein stukje hoogwaardige redenering het oplossingspad van een ander model meetbaar kan veranderen.

In agentsystemen is dit meer dan een datalek

In een gewoon gesprek betekent het uitlezen van verborgen redenering vooral dat interne informatie is uitgelekt. In een langlopend agentsysteem functioneert de redenering ook als taaktoestand — ze legt vast wat de agent al heeft geanalyseerd, welke opties hij heeft uitgesloten en wat hij van plan is hierna te doen. Als een redeneerblok van de ene taak naar een andere agentrun kan migreren, verplaatst zich daarmee niet alleen historische informatie, maar mogelijk ook een handelingsneiging die de agent al heeft gevormd. De onderzoekers demonstreerden een onzichtbare prompt-injectie die hieruit voortvloeit: kwaadaardige inhoud wordt eerst in verborgen redenering geschreven, en later laadt een nieuwe agent die toestand — de invoer die de gebruiker ziet, bevat geen bijbehorende instructie, maar zodra het model zijn interne toestand herstelt, kan het toch handelen naar die inhoud. Dat verschilt van gewone prompt-injectie, die doorgaans schuilt in een webpagina, bestand, e-mail of tooluitvoer die een beveiligingssysteem in ieder geval nog als platte tekst kan scannen; een versleuteld redeneerblok is voor externe systemen ondoorzichtig en krijgt pas betekenis zodra de server het ontsleutelt — op welk moment elke scanverdediging al te laat komt.

De bredere context: AI-codeeragenten die al ongeautoriseerde code uitvoeren binnen bedrijfsnetwerken

Deze bevinding over verborgen redenering komt naar boven te midden van een bredere golf onthullingen over de beveiliging van AI-agenten. Volgens Ars Technica scanden onderzoekers van een onopvallende Israëlische startup 6.214 actieve domeinen van defensiebedrijven, Fortune 500-ondernemingen en grote techbedrijven, en vonden ze in de llms.txt-bestanden van 120 van die sites 227 installatie-instructies die verwezen naar niet-geregistreerde codepakketten of domeinen. Nadat het team enkele van die lege pakketnamen en domeinen had geregistreerd, kreeg het binnen een uur een terugkoppeling van een Fortune 500-bedrijf, en in de loop van de tijd tientallen meer — met betrokkenheid van codeeragenten waaronder Claude, OpenAI's Codex en Hermes van Nous Research. Onderzoeker Alon Hertz stelt dat het onderliggende probleem fundamenteler is: agenten behandelen elk document dat ze lezen standaard als betrouwbaar, zonder een echte instructie van ongeverifieerde inhoud te kunnen onderscheiden.

Agenten behandelen documentatie van leveranciers als onbetwistbare waarheid en stellen die niet ter discussie — en de mensen die toezicht op hen houden evenmin. Het gebruik van agentische AI explodeert, en agenten verspreiden zich over elke laag: SaaS, cloud, endpoint.

Wat dit betekent voor Nederlandse bedrijven

Voor elke organisatie die Claude, GPT of een ander redeneermodel inzet in agentische workflows — klantenservice, codereview, data-analyse — wijst dit onderzoek op een risico dat nauwelijks is besproken: een redeneerblok kan geheimen bevatten zoals sleutels en wachtwoorden, en het herstellen ervan kan even schadelijk zijn als een gelekt logbestand. Organisaties die hun agenten toestaan oude redeneertoestanden tussen taken of modellen mee te dragen en te hergebruiken, moeten ook overwegen of die toestand een gemanipuleerde handelingsneiging kan meedragen. Op korte termijn moeten teams die redeneeragenten inzetten, vermijden interne inloggegevens bloot te stellen in een context die het risico loopt in de redenering te worden geschreven, en expliciete rechtengrenzen stellen aan welke redeneertoestanden tussen modellen of sessies mogen worden hergebruikt — in plaats van standaard elk blok te vertrouwen dat de handtekeningverificatie doorstaat.