Trocar de modelo pode expor o raciocínio oculto de GPT e Claude

Por volta de 27 de agosto de 2026, o usuário do X @kotekjedi_ml publicou uma série de resultados experimentais fora do comum: blocos de raciocínio oculto nas APIs de Claude, GPT e Gemini — normalmente nunca exibidos aos usuários — foram recuperados por pesquisadores de segurança como texto legível. Por design, quando um modelo termina seu raciocínio interno, o servidor o criptografa em um bloco opaco devolvido ao cliente; o cliente guarda esse dado, mas não consegue lê-lo nem modificá-lo, e o devolve intacto na chamada seguinte para que o modelo retome de onde parou. Os pesquisadores não quebraram essa criptografia nem obtiveram chaves do servidor: o que eles contornaram foi o escopo de uso do bloco, não a criptografia em si.

Por que o raciocínio oculto sai do modelo

A diferença entre um modelo de raciocínio e um modelo de chat comum não está apenas em pensar alguns passos a mais antes de responder: esses estados intermediários costumam ser reaproveitados ao longo de uma tarefa longa ou de uma execução de agente, à medida que o modelo decompõe um problema, testa abordagens, lê resultados de ferramentas e revisa seu julgamento. Um servidor poderia guardar o histórico completo de raciocínio de cada sessão, mas isso aumenta a complexidade de armazenamento e gestão de contexto; por isso, muitas APIs preferem empacotar o raciocínio interno em um bloco ilegível para o cliente, entregá-lo para guarda, verificá-lo e reutilizá-lo na chamada seguinte. Isso impede a leitura ou alteração direta, mas cria um problema de permissões que até então passava despercebido: a criptografia e a assinatura provam que um bloco foi de fato gerado pelo servidor e não foi alterado externamente, mas não provam que ele ainda pertence à conta, à sessão ou ao modelo corretos — um raciocínio perfeitamente legítimo pode acabar em um lugar onde não deveria estar.

Como fazer um modelo forte «falar»

Os pesquisadores constataram que esses blocos de raciocínio oculto nem sempre ficam presos ao contexto original: alguns podem ser reutilizados entre sessões, outros até reenviados em outra conta e, o mais importante, alguns podem ser lidos por outros modelos do mesmo fornecedor. No caso do Claude, por exemplo, o Opus conclui uma tarefa normal, o servidor gera o raciocínio oculto correspondente e devolve ao cliente um bloco de pensamento assinado. Em vez de tentar fazer o próprio Opus entregar sua cadeia de pensamento, os pesquisadores carregaram esse bloco no contexto de outro modelo, o Haiku — que conseguiu carregar um raciocínio que originalmente pertencia ao Opus. Uma vez que essa etapa funciona, o alvo muda: não é mais preciso driblar as restrições do próprio Opus, basta que o Haiku, mais fácil de contornar, repita em voz alta o que já carregou. Como modelos de uma mesma família variam em robustez de alinhamento e resistência a jailbreak, as barreiras que protegem o modelo forte podem ser contornadas por meio de um «irmão» mais fraco.

Como provar que o conteúdo recuperado é real

Os pesquisadores não tinham acesso ao rastro de raciocínio em texto puro guardado no servidor, então não podiam conferi-lo token a token — recorreram a sinais independentes para julgar se o resultado recuperado realmente correspondia ao estado oculto original.

• Fizeram um modelo de origem resolver 120 problemas de programação do Codeforces enquanto registravam a contagem de tokens de raciocínio oculto reportada pela API, e depois compararam isso com o tamanho do texto recuperado: em vários modelos da Anthropic, da OpenAI e do Google, os tamanhos recuperados acompanharam de perto as contagens de tokens reportadas pela API, concentrando-se perto da linha em que os dois valores coincidem exatamente.
• Coletaram 6.708 registros públicos de execuções de agentes no GitHub e no Hugging Face, que processaram em 315.320 blocos de raciocínio. Uma vez recuperado, o conteúdo incluía chaves de API, senhas, tokens de acesso, chaves privadas e endereços de e-mail — alguns dos quais nunca haviam aparecido em nenhum lugar do histórico de conversa público, o que significa que o modelo que fez a recuperação não poderia simplesmente ter deduzido esses valores exatos a partir do texto visível.

Esse resultado revelou outro problema nos registros de agentes: mesmo depois que um usuário apaga uma senha ou uma chave do histórico de chat ou de um repositório de código, a mesma informação pode continuar viva dentro de um bloco de raciocínio oculto antigo, já que o agente bem pode tê-la lido ao editar código, ajustar uma configuração ou limpar um repositório — e, uma vez inserida no raciocínio, ela pode persistir nesse estado armazenado.

A «vantagem do raciocínio» da IA está se corroendo

O rastro completo de raciocínio de um modelo vale, para o treinamento, muito mais do que algumas frases a mais além da resposta final: ele registra como uma tarefa foi decomposta, como os julgamentos intermediários se formaram e como os erros de percurso foram corrigidos — um sinal bem mais rico, para treinar um modelo menor, do que uma supervisão baseada apenas na resposta. Obter esse tipo de dado em escala antes exigia pagar para chamar um modelo fechado e caro por conta própria. Agora que os registros públicos de agentes já contêm grandes volumes de raciocínio criptografado calculado por outros usuários em modelos caros, quem encontrar um modelo compatível capaz de ler esses blocos tem a chance de extrair raciocínio de alta qualidade já calculado, em vez de gerá-lo do zero. Isso separa a geração e a extração do raciocínio em pontos de acesso diferentes — um modelo de ponta produz o pensamento valioso, e um modelo barato o lê —, um caminho que um monitoramento concentrado apenas no lado do modelo de ponta provavelmente não vai detectar.

Um experimento com o Kimi K3, modelo da Moonshot AI, ilustrou o quanto esse raciocínio vazado pode valer: os pesquisadores pegaram apenas cerca de 1% dos tokens iniciais de um rastro de raciocínio oculto do Claude Opus e os inseriram no contexto de raciocínio do Kimi K3; a resposta seguinte do Kimi K3 se deslocou visivelmente na direção da resposta do Opus, muito mais do que um modelo de controle que não recebeu esse prefixo. Isso não prova que o Kimi K3 tenha sido treinado com dados de raciocínio do Claude, mas mostra que mesmo um pequeno trecho de raciocínio de alta qualidade pode mudar de forma mensurável o caminho de resolução de outro modelo.

Em sistemas de agentes, isso é mais do que um vazamento de dados

Em um chat comum, ter o raciocínio oculto lido significa sobretudo que informações internas vazaram. Em um sistema de agentes de longa duração, o raciocínio também funciona como estado da tarefa — registrando o que o agente já analisou, quais opções descartou e o que planeja fazer a seguir. Se um bloco de raciocínio pode migrar de uma tarefa para outra execução de agente, o que se desloca com ele não é só informação histórica, mas potencialmente uma tendência de ação que o agente já formou. Os pesquisadores demonstraram uma injeção de prompt invisível que decorre disso: conteúdo malicioso é escrito primeiro no raciocínio oculto, e depois um novo agente carrega esse estado — a entrada que o usuário vê não contém nenhuma instrução correspondente, mas assim que o modelo restaura seu estado interno, ele ainda pode agir de acordo com esse conteúdo. Isso difere da injeção de prompt comum, geralmente escondida em uma página web, um arquivo, um e-mail ou um resultado de ferramenta que um sistema de segurança pelo menos tem alguma chance de escanear em texto puro; um bloco de raciocínio criptografado é opaco para sistemas externos, e só ganha sentido quando o servidor o descriptografa — momento em que qualquer defesa de escaneamento já chega tarde demais.

O contexto mais amplo: agentes de código de IA já executando código não autorizado dentro de redes corporativas

Essa descoberta sobre o raciocínio oculto surge junto com uma onda mais ampla de revelações sobre segurança de agentes de IA. Segundo a Ars Technica, pesquisadores de uma startup israelense discreta escanearam 6.214 domínios ativos pertencentes a contratantes de defesa, empresas da Fortune 500 e grandes empresas de tecnologia, e encontraram 227 comandos de instalação apontando para pacotes de código ou domínios não registrados dentro dos arquivos llms.txt de 120 desses sites. Depois de registrar alguns desses nomes de pacotes e domínios vazios, a equipe recebeu um pedido de conexão de retorno de uma empresa da Fortune 500 em menos de uma hora, e dezenas mais ao longo do tempo — envolvendo agentes de código como Claude, Codex da OpenAI e Hermes da Nous Research. O pesquisador Alon Hertz argumenta que o problema de fundo é mais básico: os agentes tratam, por padrão, cada documento que leem como confiável, sem meios de distinguir uma instrução genuína de um conteúdo não verificado.

Os agentes tratam a documentação dos fornecedores como uma verdade inquestionável e não a questionam — e as pessoas que os supervisionam também não. O uso de IA agêntica está explodindo, e os agentes estão se espalhando por todas as camadas: SaaS, nuvem, endpoint.

O que muda para as empresas brasileiras

Para qualquer organização que conecte Claude, GPT ou outro modelo de raciocínio a fluxos de trabalho com agentes — atendimento ao cliente, revisão de código, análise de dados —, esta pesquisa aponta um risco pouco discutido até agora: um bloco de raciocínio pode carregar segredos como chaves e senhas, e recuperá-lo pode ser tão danoso quanto um vazamento de logs. Organizações que permitem que seus agentes carreguem e reaproveitem estados de raciocínio antigos entre tarefas ou modelos também precisam considerar se esse estado pode carregar junto uma tendência de ação adulterada. No curto prazo, equipes que implantam agentes de raciocínio devem evitar expor credenciais internas em qualquer contexto que corra o risco de ser escrito no raciocínio, e definir limites de permissão explícitos sobre quais estados de raciocínio podem ser reaproveitados entre modelos ou sessões, em vez de confiar por padrão em qualquer bloco que passe na verificação de assinatura.