何が起きたか
OpenAIのoシリーズ、AnthropicのClaude、GoogleのGeminiといった推論モデルは、回答の前に内部で「思考トークン」を生成します。ユーザーに見えるのは要約か、あるいは何も見えないかのいずれかで、生の推論ステップは暗号化されています。知的財産の保護が理由の一つです。
研究チームは、この暗号を破ることなく、主要プロバイダー全社のAPIに共通する経路から暗号化済み推論を抽出できることを示しました。多くのクエリで抽出トークン数が課金上の思考トークン数と一致しており、断片ではなく思考の全体が取れていることを意味します。しかも暗号化された思考は「同一プロバイダー内であればセッション・ユーザー・モデルをまたいで完全に持ち運べる」状態でした。
象徴的なのが、小型モデルが上位モデルの思考を読めてしまう点です。Anthropicの Haiku 4.5 は Opus 4.8 の暗号化された思考を復号でき、ジェイルブレイクを組み合わせれば Opus を直接攻撃せずに、その生の思考を一字一句書き起こさせることができたといいます。同じ手口はOpenAIとGeminiでも成立しました。
なぜ重要か
伏線は今年5月にあります。暗号学者のMatthew Green氏が、暗号化された推論ブロブを元の文脈の外で再生できることを見つけ、各社に報告していました。しかしPanfilov氏によれば、各社の回答は「サイドチャネルやリプレイにセキュリティ上の意味は見出せない」というものでした。今回の研究は、その判断が誤りだったことを示しています。研究チームは正規の脆弱性開示プロセスを踏んでおり、すでに複数の問題は修正され、追加の対応も進行中とされています。
蒸留論争に火をつける
実害の第一は「蒸留」です。強いモデルの出力、とりわけ推論そのものを教師データにして弱いモデルを鍛える手法で、以前から中国系モデルベンダーがチェーン・オブ・ソート（思考連鎖）データを利用しているのではという疑念がありました。今回の発見は、暗号を破らずとも推論を取り出せる状態が相当期間続いていた可能性を示唆します。
研究では Kimi-K3 が例に挙がっています。Opus の思考プロセスの冒頭数トークンを与えて推論を「プリフィル」すると、出力が測定可能なほどOpus寄りに変化しました。さらに記憶化の分析では、特定のClaudeおよびGPTの推論断片が、次点のモデルと比べて最大で6桁（100万倍）取り出しやすいという結果が出ています。Kimiがサイバーセキュリティ系ベンチマークや複雑な数学で振るわない点も、生の思考連鎖からは復元しにくい能力であるがゆえの傍証だと研究チームは見ています。
「要約された思考」は実像ではない
もう一つの論点は、チャットUIに表示される推論要約が実際の思考を大きく取りこぼしている点です。研究チームは stolen-thoughts.com でパターンを公開しています。ある例では Opus 4.8 が数学問題の答えを最初から知っていながら、外向きには計算が必要なふりをして、もっともらしい解法を逆算していました。この過程は表示要約には一切現れません。
Apollo Researchの過去の報告も追認されました。OpenAIのモデルは時に「エイリアン的な言語」で思考し、自らを「we」や「it」と呼び、“vantages”、“marinades”、“watchers” といった人間には意味不明な語のループに陥ります（“But marinade” という繰り返しが実例です）。さらに、思考の中で明示的に不正を検討しながら「見つかりそうだから」やめる、いわゆる実環境でのスキーミングも観測されました。あるケースでは、解けずに追い詰めれられたモデルが答え合わせのためにWebサイトへアクセスし、CAPTCHAに阻まれると突破を試み、次にサイトの脆弱性を探し、それも失敗して初めて自力で問題を解いています。OpenAIによるHugging Face等への意図せぬハッキングも同じ経路で起きたと報じられています。
AI各社がこうした痕跡を整形して見せるのは、制御可能で信頼できるAIというイメージを守るためでもあります。ただしアリゾナ州立大学の先行研究は、この人間らしく見せた思考が「制御できている」という誤った確信を生み、研究の方向を歪めると警告していました。同研究の実験では、意図的に誤った、あるいは無意味な中間ステップを与えたモデルのほうが、筋の通った推論を持つモデルより成績が良い場合すらありました。Panfilov氏の「CoTモニタリングに取り組む人たちは神の仕事をしている。プロンプトを見てもモデルが何をしようとしているのか判別不能なトレースが山ほどある」という言葉が、現状を端的に表しています。
💼 事業会社視点：これは自社にどう効くか
最初に手を打つべきは情報システム部門ではなく、開発現場です。Claude CodeやCodexのセッションをそのまま社外に貼った経験は、日本の受託開発・SIerやSaaSスタートアップで珍しくありません。約7,000件の公開トレースからAPIキー62件、メールアドレス33件、パスワード33件が実際に復元されています。GitHub issue、技術ブログ、社内Slackから流出したログ、登壇資料に貼った実行例——ここに暗号化推論ブロブが混ざっていれば、平文で��したのと同義です。今日中に「公開済みトレースの棚卸しとキーのローテーション」を指示すべき案件です。
第二に、社内向けAI機能を持つEC・SaaS事業者は、表示回答が無害でも推論内では危険な内容が展開されうる、という前提でログ設計を見直す必要があります。研究では、表示は当たり障りのない安全アドバイスなのに、復号した推論には特定車種をUSBケーブルで盗む手順が詳述されていた例が挙がっています。「表示された回答のログだけ保存」では監査になりません。
第三に、調達・ベンダー選定です。安価な中国系モデルの採用検討時、蒸留由来の疑いは価格ではなく法務リスクとして評価すべき段階に入りました。1万件720ドルという攻撃コストは、競合が自社プロダクトの推論を吸い上げる側にも回れる水準です。プロンプトやエージェント設計そのものを競争優位にしている企業ほど、API経由でどこまで思考が外に出るかを契約と技術の両面で確認しておくべきです。