Trocar de modelo pode expor o raciocínio oculto do GPT e do Claude

Por volta de 27 de agosto de 2026, o utilizador do X @kotekjedi_ml publicou uma série de resultados experimentais fora do comum: blocos de raciocínio oculto nas APIs do Claude, do GPT e do Gemini — normalmente nunca mostrados aos utilizadores — foram recuperados por investigadores de segurança como texto legível. Por conceção, quando um modelo termina o seu raciocínio interno, o servidor cifra-o num bloco opaco devolvido ao cliente; este guarda esse dado, mas não consegue lê-lo nem modificá-lo, devolvendo-o intacto na chamada seguinte para que o modelo retome de onde parou. Os investigadores não quebraram a cifra nem obtiveram chaves do servidor: o que contornaram foi o âmbito de utilização do bloco, não a cifra em si.

Porque é que o raciocínio oculto sai do modelo

A diferença entre um modelo de raciocínio e um modelo de conversação comum não está apenas em pensar mais alguns passos antes de responder: esses estados intermédios costumam ser reaproveitados ao longo de uma tarefa longa ou de uma execução de agente, à medida que o modelo decompõe um problema, testa abordagens, lê resultados de ferramentas e revê o seu julgamento. Um servidor poderia guardar o histórico completo de raciocínio de cada sessão, mas isso aumenta a complexidade de armazenamento e de gestão do contexto; por isso, muitas APIs preferem empacotar o raciocínio interno num bloco ilegível para o cliente, entregando-lho para guarda, verificação e reutilização na chamada seguinte. Isso impede a leitura ou alteração diretas, mas cria um problema de permissões que até agora passava despercebido: a cifra e a assinatura provam que um bloco foi de facto gerado pelo servidor e não foi alterado externamente, mas não que continua a pertencer à conta, à sessão ou ao modelo certos — um raciocínio perfeitamente legítimo pode acabar num sítio onde não devia estar.

Como fazer um modelo forte «falar»

Os investigadores constataram que estes blocos de raciocínio oculto nem sempre ficam presos ao contexto original: alguns podem ser reutilizados entre sessões, outros até reenviados noutra conta e, o mais importante, alguns podem ser lidos por outros modelos do mesmo fornecedor. No caso do Claude, por exemplo, o Opus conclui uma tarefa normal, o servidor gera o raciocínio oculto correspondente e devolve ao cliente um bloco de pensamento assinado. Em vez de tentar fazer o próprio Opus entregar a sua cadeia de pensamento, os investigadores carregaram esse bloco no contexto de outro modelo, o Haiku — que conseguiu carregar um raciocínio que originalmente pertencia ao Opus. Uma vez que este passo funciona, o alvo muda: já não é preciso contornar as restrições próprias do Opus, bastando que o Haiku, mais fácil de contornar, repita em voz alta o que já carregou. Como os modelos de uma mesma família variam na robustez do alinhamento e na resistência ao jailbreak, as barreiras que protegem o modelo forte podem ser contornadas através de um «irmão» mais fraco.

Como provar que o conteúdo recuperado é real

Os investigadores não tinham acesso ao rasto de raciocínio em texto simples guardado no servidor, pelo que não o podiam verificar token a token — apoiaram-se em sinais independentes para avaliar se o resultado recuperado correspondia mesmo ao estado oculto original.

• Fizeram um modelo de origem resolver 120 problemas de programação do Codeforces enquanto registavam a contagem de tokens de raciocínio oculto reportada pela API, e depois compararam esse valor com o comprimento do texto recuperado: em vários modelos da Anthropic, da OpenAI e da Google, os comprimentos recuperados acompanharam de perto as contagens de tokens reportadas pela API, concentrando-se perto da linha onde os dois valores coincidem exatamente.
• Recolheram 6708 registos públicos de execuções de agentes no GitHub e no Hugging Face, que processaram em 315320 blocos de raciocínio. Uma vez recuperado, o conteúdo incluía chaves de API, palavras-passe, tokens de acesso, chaves privadas e endereços de correio eletrónico — alguns dos quais nunca tinham aparecido em lado nenhum do histórico de conversação público, o que significa que o modelo de recuperação não podia simplesmente ter deduzido esses valores exatos a partir do texto visível.

Este resultado revelou outro problema nos registos de agentes: mesmo depois de um utilizador apagar uma palavra-passe ou uma chave do histórico de conversa ou de um repositório de código, a mesma informação pode continuar viva dentro de um bloco de raciocínio oculto antigo, uma vez que o agente bem pode tê-la lido ao editar código, ajustar uma configuração ou limpar um repositório — e, uma vez inserida no raciocínio, pode persistir nesse estado guardado.

A «vantagem do raciocínio» da IA está a esmorecer

O rasto completo de raciocínio de um modelo vale, para o treino, muito mais do que umas frases a mais além da resposta final: regista como uma tarefa foi decomposta, como se formaram os julgamentos intermédios e como os erros de percurso foram corrigidos — um sinal muito mais rico, para treinar um modelo mais pequeno, do que uma supervisão limitada à resposta. Obter este tipo de dados em grande escala exigia, até agora, pagar para chamar um modelo fechado e dispendioso por conta própria. Agora que os registos públicos de agentes já contêm grandes volumes de raciocínio cifrado calculado por outros utilizadores em modelos caros, quem encontrar um modelo compatível capaz de ler esses blocos tem a hipótese de extrair raciocínio de alta qualidade já calculado, em vez de o gerar de raiz. Isto separa a geração e a extração do raciocínio em pontos de acesso diferentes — um modelo de topo produz o pensamento valioso, e um modelo barato limita-se a lê-lo —, um caminho que uma vigilância centrada apenas no lado do modelo de topo dificilmente irá detetar.

Uma experiência com o Kimi K3, modelo da Moonshot AI, ilustrou o valor deste raciocínio vazado: os investigadores retiraram apenas cerca de 1% dos tokens iniciais de um rasto de raciocínio oculto do Claude Opus e introduziram-nos no contexto de raciocínio do Kimi K3; a resposta seguinte do Kimi K3 deslocou-se visivelmente para a direção da do Opus, muito mais do que um modelo de controlo que não recebeu esse prefixo. Isto não prova que o Kimi K3 tenha sido treinado com dados de raciocínio do Claude, mas mostra que mesmo um pequeno fragmento de raciocínio de alta qualidade pode alterar de forma mensurável o percurso de resolução de outro modelo.

Nos sistemas de agentes, isto é mais do que uma fuga de dados

Numa conversa comum, ter o raciocínio oculto lido significa sobretudo que informação interna foi exfiltrada. Num sistema de agentes de longa duração, o raciocínio também funciona como estado da tarefa — registando o que o agente já analisou, que opções descartou e o que planeia fazer a seguir. Se um bloco de raciocínio pode migrar de uma tarefa para outra execução de agente, o que se desloca com ele não é apenas informação histórica, mas potencialmente uma tendência de ação que o agente já formou. Os investigadores demonstraram uma injeção de instruções invisível que decorre disto: conteúdo malicioso é primeiro escrito no raciocínio oculto, e depois um novo agente carrega esse estado — a entrada que o utilizador vê não contém qualquer instrução correspondente, mas assim que o modelo restaura o seu estado interno, pode ainda assim agir de acordo com esse conteúdo. Isto difere da injeção de instruções habitual, geralmente escondida numa página web, num ficheiro, num e-mail ou num resultado de ferramenta que um sistema de segurança tem pelo menos alguma hipótese de analisar em texto simples; um bloco de raciocínio cifrado é opaco para os sistemas externos, só ganhando significado quando o servidor o decifra — altura em que qualquer defesa de análise já chega tarde.

O contexto mais alargado: agentes de código de IA já a executar código não autorizado dentro de redes empresariais

Esta descoberta sobre o raciocínio oculto surge a par de uma onda mais ampla de revelações sobre a segurança de agentes de IA. Segundo a Ars Technica, investigadores de uma startup israelita discreta analisaram 6214 domínios ativos pertencentes a fornecedores de defesa, empresas da Fortune 500 e grandes tecnológicas, e encontraram 227 comandos de instalação que apontavam para pacotes de código ou domínios não registados dentro dos ficheiros llms.txt de 120 desses sítios. Depois de registarem alguns desses nomes de pacotes e domínios vazios, a equipa recebeu um pedido de ligação de retorno de uma empresa da Fortune 500 em menos de uma hora, e dezenas mais ao longo do tempo — envolvendo agentes de código como o Claude, o Codex da OpenAI e o Hermes da Nous Research. O investigador Alon Hertz defende que o problema de fundo é mais básico: os agentes tratam, por definição, cada documento que leem como digno de confiança, sem forma de distinguir uma instrução genuína de um conteúdo não verificado.

Os agentes tratam a documentação dos fornecedores como uma verdade inquestionável e não a questionam — e as pessoas que os supervisionam também não. A utilização de IA agêntica está a explodir, e os agentes estão a espalhar-se por todas as camadas: SaaS, nuvem, terminais.

O que muda para as empresas portuguesas

Para qualquer organização que ligue o Claude, o GPT ou outro modelo de raciocínio a fluxos de trabalho com agentes — apoio ao cliente, revisão de código, análise de dados —, esta investigação aponta para um risco ainda pouco discutido: um bloco de raciocínio pode conter segredos como chaves e palavras-passe, e recuperá-lo pode ser tão prejudicial como uma fuga de registos. As organizações que permitem que os seus agentes transportem e reutilizem estados de raciocínio antigos entre tarefas ou modelos também precisam de considerar se esse estado pode transportar consigo uma tendência de ação adulterada. A curto prazo, as equipas que implementam agentes de raciocínio devem evitar expor credenciais internas em qualquer contexto suscetível de ser escrito no raciocínio, e definir limites de permissão explícitos sobre que estados de raciocínio podem ser reutilizados entre modelos ou sessões, em vez de confiar por defeito em qualquer bloco que passe a verificação de assinatura.