AIの“秘密の思考”が抜き取られるおそれ　過去にログを公開した開発者は要注意

参考画像　AIで作成

　本来はユーザーから見えない、AIの「思考過程」を取り出せる問題が報告された。2026年8月10日にarXivへ投稿された論文「Stealing Reasoning Traces from Proprietary LLM APIs」で、研究チームが明らかにした。

　OpenAI、Anthropic、Google各社のAPIでは、AIが回答を出すまでの詳しい推論過程を暗号化されたデータとして返す場合がある。研究チームは、高性能モデルが作った暗号化データを同じ会社の別モデルに渡し、内容を書き出すよう誘導すると、隠されていた推論を平文で復元できることを確認した。

　暗号化データを読めるAI自身を「復号器」として利用した格好だ。研究チームはOpenAI、Anthropic、Googleのモデルで攻撃が成立したとしている。

　研究のきっかけになったのは、ジョンズ・ホプキンス大学の暗号研究者Matthew Green氏が2026年5月に報告した実験だ。Green氏は、暗号化された推論データが別のセッションでも使える場合があることを発見し、各社に報告していた。研究チームは同じ性質を利用し、推論内容を取り出す方法へ発展させた。

　研究チームはGitHubやHugging Faceで公開されていたAIエージェントなどのログ6708件を調べ、31万5320個の推論ブロックを復元した。実際のユーザーによるログからは、APIキー62件、パスワード33件、アクセストークン24件などの認証情報も見つかったという。ユーザーが通常の会話部分から秘密情報を削除していても、推論データ側に残っているケースがあった。

　もう1つ重要とみられるのが、AIモデルの「蒸留」への影響だ。蒸留とは、高性能なAIの出力を教材にして、より小型なAIなどへ能力を移すための手法を指す。

　通常、外部から利用できるのはAIの最終回答だけだが、途中の思考過程まで大量に取得できれば、「どう問題を分解したか」「どのような手順で答えにたどり着いたか」といった情報も学習に利用できる。最終回答だけを集めるより、性能の高いモデルをまねしやすくなる可能性があるというわけだ。

　論文でも、この手法がAI企業による蒸留対策を回避し、他社が高性能モデルの思考データを集める手段になり得ると指摘している。ただし、盗み出した推論データを使ってフロンティアモデルと同等のAIを作れることまで実証したわけではない。

　研究チームは論文公開前に各社へ問題を報告している。2026年8月時点では対策が導入され、論文で示された攻撃は再現できなくなったとしている。

ひとこと：AIエージェントの実行ログなどを公開している開発者は注意が必要だ。過去に暗号化された推論データを含むログを公開していた場合、APIキーやパスワードなどが含まれていなかったか確認し、必要に応じて認証情報を変更した方がいいだろう。

■関連サイト

• Stealing Reasoning Traces from Proprietary LLM APIs | arXiv