In Kürze

  • Ein Team aus acht Forschenden von MATS Research, dem ELLIS Institute Tübingen, dem Max-Planck-Institut für intelligente Systeme und der Sicherheitsfirma Snyk zeigt, dass OpenAI, Anthropic und Google für die verschlüsselten «Reasoning»-Blöcke ihrer APIs jeweils einen einzigen globalen Schlüssel statt sitzungs- oder nutzerspezifischer Schlüssel verwenden.
  • Damit liessen sich verschlüsselte Denkschritte aus öffentlich geteilten Entwickler-Logs decodieren: Die Forschenden werteten 6708 öffentlich zugängliche Agenten-Protokolle aus, entschlüsselten 315'320 Reasoning-Blöcke und rekonstruierten daraus 182 Zugangsdaten sowie 367 einzelne persönliche Informationen.
  • Der Kryptograf Matthew Green von der Johns Hopkins University hatte die zugrunde liegende Schwachstelle bereits im Mai 2026 den Anbietern gemeldet, laut eigener Aussage aber die Antwort erhalten, es gebe «keine Sicherheitsimplikationen»; die Hauptangriffsmethode gilt seit August 2026 zwar als nicht mehr reproduzierbar, eine öffentlich bestätigte Umstellung auf sitzungsspezifische Schlüssel oder eine unabhängige Prüfung der Korrektur fehlt bislang.

Was ist passiert?

Ein achtköpfiges Forschungsteam von MATS Research, dem ELLIS Institute Tübingen, dem Max-Planck-Institut für intelligente Systeme und der Sicherheitsfirma Snyk hat am 10. August 2026 auf arXiv ein Papier veröffentlicht, das eine grundlegende Schwachstelle in den «Reasoning»-APIs von OpenAI, Anthropic und Google offenlegt. Alle drei Anbieter verschlüsseln die internen Denkschritte ihrer Modelle, bevor sie zwischen API-Aufrufen weitergereicht werden – verwenden dafür aber jeweils einen einzigen globalen Schlüssel statt individueller Sitzungsschlüssel. Ein verschlüsselter Block liess sich dadurch nicht nur innerhalb derselben Sitzung, sondern auch sitzungs- und kontoübergreifend erneut abspielen und in Tests sogar einem schwächeren Modell derselben Anbieterfamilie zum Entschlüsseln vorlegen.

Die Forschenden untermauerten den Befund mit einer grossangelegten Auswertung: Aus 6708 öffentlich zugänglichen Agenten-Protokollen, wie sie Entwicklerinnen und Entwickler etwa zu Debugging-Zwecken in Foren oder Code-Repositorien teilen, entschlüsselten sie 315'320 Reasoning-Blöcke und rekonstruierten daraus 182 Zugangsdaten sowie 367 einzelne persönliche Informationen. Der Kryptograf Matthew Green von der Johns Hopkins University hatte die zugrunde liegende Replay-Schwachstelle bereits im Mai 2026 gemeldet, laut eigener Darstellung aber die Rückmeldung erhalten, es bestünden keine Sicherheitsimplikationen.

Warum ist das wichtig?

Reasoning-Funktionen gehören zu den am schnellsten wachsenden Bestandteilen moderner KI-Produkte, weil sie komplexere, mehrstufige Aufgaben zuverlässiger lösen. Anbieter verschlüsseln die dabei anfallenden Zwischenschritte bewusst, um Geschäftsgeheimnisse zu schützen und Missbrauch zu verhindern – dass ausgerechnet diese Schutzmassnahme durch einen einzigen globalen Schlüssel ausgehebelt werden konnte, betrifft nicht nur die drei grössten Anbieter gleichzeitig, sondern auch praktisch jede Anwendung, die auf deren Reasoning-Modelle aufbaut, von Programmier-Assistenten bis zu autonomen Agenten.

Besonders schwer wiegt, dass die Schwachstelle laut den Forschenden bereits im Mai 2026 bekannt gemacht wurde, ohne dass die Anbieter unmittelbar reagierten. Erst die Veröffentlichung der konkreten Ausbeute – Hunderte rekonstruierte Zugangsdaten und persönliche Informationen aus bereits öffentlich zugänglichen Logs – hat sichtbar gemacht, wie real das Risiko war. Der Fall reiht sich damit in eine wachsende Zahl von Vorfällen ein, bei denen grundlegende Architekturentscheidungen grosser KI-Anbieter erst durch unabhängige Sicherheitsforschung hinterfragt werden.

Was bedeutet das für die Schweiz?

  • Schweizer Banken, Versicherungen, Anwaltskanzleien und Behörden, die «Reasoning»-Funktionen von OpenAI, Anthropic oder Google für die Verarbeitung sensibler Daten nutzen, sind von der Schwachstelle unabhängig vom Standort ihrer eigenen Infrastruktur betroffen, da die Verschlüsselung zentral bei den US-Anbietern ansetzt.
  • Nach revidiertem Datenschutzgesetz (DSG) müssen Verantwortliche angemessene technische und organisatorische Massnahmen treffen und Datenschutzverletzungen dem EDÖB melden; wurden über geteilte Entwickler-Logs Personendaten Schweizer Kundinnen und Kunden offengelegt, kann dies eine meldepflichtige Verletzung nach Art. 24 DSG darstellen, auch wenn die technische Ursache ausserhalb der Schweiz liegt.
  • Für Schweizer Software- und IT-Teams, die KI-Agenten im Alltag einsetzen und zu Debugging-Zwecken Sitzungsprotokolle in Foren oder auf GitHub teilen, zeigt der Fall ein konkretes Risiko: Bereits veröffentlichte Logs können nachträglich Geheimnisse preisgeben, was interne Richtlinien zum Umgang mit KI-Protokollen nötig macht.

Verwendete Quellen

Das Forschungspapier wurde am 10. August 2026 auf arXiv veröffentlicht; The Hacker News und weitere Sicherheitsmedien ordneten die Befunde Mitte August 2026 ein.

Häufige Fragen

Was ist die Kernaussage zu Forschende entschlüsseln geheime KI-«Gedanken» von OpenAI, Anthropic und Google aus öffentlich geteilten Logs?

Ein Team aus acht Forschenden von MATS Research, dem ELLIS Institute Tübingen, dem Max-Planck-Institut für intelligente Systeme und der Sicherheitsfirma Snyk zeigt, dass OpenAI, Anthropic und Google für die verschlüsselten «Reasoning»-Blöcke ihrer APIs jeweils einen einzigen globalen Schlüssel statt sitzungs- oder nutzerspezifischer Schlüssel verwenden.

Warum ist diese KI-Meldung für die Schweiz relevant?

Schweizer Banken, Versicherungen, Anwaltskanzleien und Behörden, die «Reasoning»-Funktionen von OpenAI, Anthropic oder Google für die Verarbeitung sensibler Daten nutzen, sind von der Schwachstelle unabhängig vom Standort ihrer eigenen Infrastruktur betroffen, da die Verschlüsselung zentral bei den US-Anbietern ansetzt.

Welche Quelle nutzt KI News Schweiz für diese Einordnung?

Das Forschungspapier wurde am 10. August 2026 auf arXiv veröffentlicht; The Hacker News und weitere Sicherheitsmedien ordneten die Befunde Mitte August 2026 ein.