Compaction-Funktion von OpenAI gab verborgene Reasoning-Spuren im Klartext preis

Xint erprobte die Technik an gpt-5.6-sol, einem der Reasoning-Modelle von OpenAI, und nutzte dafür selbst formulierte Mathematik- und Algorithmus-Aufgaben. Die ausgelesenen Denkschritte stammten aus eben diesen eigenen Anfragen; Xint erhebt nicht den Anspruch, dass sich damit das Reasoning anderer Nutzer erreichen ließe.

Der Ablauf: Xint schickte eine Aufgabe an gpt-5.6-sol und bewahrte das zurückgelieferte verschlüsselte Reasoning-Element auf. Anschließend rief die Firma den Compaction-Schritt auf demselben Modell auf und wies es an, das Reasoning wortgetreu in das verdichtete Element zu kopieren – wobei jedes Leerzeichen durch einen Tabulator ersetzt wurde, um die Filter der OpenAI-Nutzungsrichtlinien zu umgehen. Da Compaction-Elemente zwischen Modellen weitergereicht werden können, übergab Xint das Element an die günstigeren Modelle gpt-4.1 und gpt-4o und ließ sie ihre Eingabe exakt wiederholen, was beide taten.

Ob der kopierte Text wortgleich dem echten Reasoning entspricht, kann Xint nach eigenen Angaben nicht beweisen, da das Original zum Vergleich fehlte. Dass zwei verschiedene günstigere Modelle denselben Text ausgaben, schließt Fehler im Kopierschritt aus, lässt aber offen, ob die Compaction den Text umformuliert hat.

Die Methode unterlief eine bereits ausgelieferte Gegenmaßnahme. Im August hatten die Forscher hinter einer Arbeit mit dem Titel „Stolen Thoughts" gezeigt, dass verschlüsseltes Reasoning eines starken Modells in ein schwächeres Modell desselben Anbieters eingespielt werden kann, das es dann im Klartext wiedergibt. OpenAI und andere Anbieter blockierten dieses modellübergreifende Wiedereinspielen kurz darauf. Die Compaction umging diese Sperre laut Xint, weil der Verdichtungsschritt auf demselben Modell läuft, das das Reasoning erzeugt hat, und die Cross-Model-Prüfung damit nie auslöst.

Die Idee baut auf einer früheren Arbeit von Xint namens GhostCompact auf, die zeigte, dass sich der Compaction-Schritt dazu bringen lässt, vom Angreifer gewählte Aufgaben auszuführen. Den Code hat Xint in seinem GitHub-Repository veröffentlicht.

Behoben wurde das Problem serverseitig bei OpenAI, Entwickler, die auf der API aufsetzen, müssen also nichts ändern. Xint sprach von einem nicht offengelegten Fix und erklärte, OpenAI habe den Forschern eine Prämie von 6.000 US-Dollar gezahlt.

Getestet wurde ausschließlich gpt-5.6-sol; ob das neuere Modell GPT-6 Astra betroffen ist, prüfte Xint nicht. Unbekannt ist auch, ob jemand die Methode genutzt hat, bevor OpenAI sie schloss. Xint argumentiert zudem, dass das Schließen dieses einen Wegs womöglich nicht genüge: Aus Sicht der Firma kann jeder serverseitige Schritt, der das entschlüsselte Reasoning eines Modells liest und dabei Nutzeranweisungen befolgt, es nach außen tragen.

OpenAI hält die rohen Denkschritte unter anderem deshalb verborgen, um Distillation zu verhindern – also das Trainieren eines günstigeren Modells auf den Ausgaben eines fremden Modells. Rohes Reasoning taugt als Trainingsmaterial besser als die bloße Endantwort, weil es zeigt, wie das Modell das Problem durchdacht hat; genau das macht es für Konkurrenten interessant.

Im September erklärte OpenAI, eine Kampagne aus dem Juli unterbunden zu haben, die auf die verborgenen Reasoning-Spuren seiner Modelle zielte; einen zentralen Teil davon führte das Unternehmen auf Personen zurück, die dem chinesischen Anbieter Moonshot AI nahestehen. Anthropic sowie eine gemeinsame Warnung von US-Behörden berichteten jeweils ebenfalls von in China ansässigen Laboren, die es auf die verborgenen Denkschritte amerikanischer Modelle abgesehen haben. Mit der Compaction-Methode von Xint steht nichts davon in Zusammenhang – sie ist eine Demonstration und kein in freier Wildbahn beobachteter Angriff.