Xint descobre bug na API da OpenAI que expôs raciocínio bruto de modelos via compaction smuggling

A Xint relata que, em agosto de 2026, achou um bug na API da OpenAI que vaza reasoning traces brutos de modelos de fronteira. A técnica, chamada de compaction smuggling, contorna as mitigações que a OpenAI implantou depois do paper Stolen Thoughts. A OpenAI confirmou o problema e aplicou uma correção não detalhada em 23 de outubro de 2026. A Xint recebeu US$ 6.000 de recompensa.

O raciocínio bruto só sai da API como um bloco criptografado (encrypted_content). O cliente não lê, mas pode reenviar em turnos seguintes. A defesa de agosto bloqueava o replay do raciocínio em outro modelo. Só que o endpoint /responses/compact roda no mesmo modelo que gerou o raciocínio, e o parâmetro instructions é controlado pelo cliente. O ataque tem três chamadas: gerar o raciocínio com gpt-5.6-sol e store=False; pedir à compaction, sem a tarefa original no histórico, que preserve o raciocínio literalmente num JSON com tabs no lugar de espaços (o que passou pelos classificadores de política de uso); e enviar o item de compaction a gpt-4.1 e gpt-4o, que o repetiram como estava. Funcionou em todos os níveis de esforço testados, de minimal a max.

A Xint não consegue provar fidelidade token a token sem o texto original, limitação que os autores do Stolen Thoughts também têm. O item de compaction (612 tokens) é maior que o raciocínio de origem (405), o que é esperado com o overhead de JSON e tabs. Para a Xint, qualquer etapa no servidor que leia raciocínio decifrado e aceite instruções do cliente é um potencial oráculo de decifração.

Em 12 de agosto de 2026, o CEVIU noticiou o texto "Vazamento de Dados Sensíveis por Rastreamento de Chain-of-Thought em Modelos de IA", sobre a pesquisa que mostrou rastros criptografados de raciocínio vulneráveis em APIs de OpenAI, Anthropic e Google. Em 9 de setembro de 2026, o texto "Nova Técnica Expõe Processos Internos de Modelos de IA" descreveu o método em que um modelo mais fraco e menos protegido é usado para extrair o raciocínio. A novidade agora é que as mitigações aplicadas depois dessas pesquisas foram contornadas por outro caminho (a compaction), e a OpenAI confirmou e corrigiu em 23 de outubro de 2026.

Para quem desenha APIs de IA ou depende delas, a leitura é que criptografar o raciocínio não basta se algum recurso do servidor o decifra sob instruções do cliente. Para quem protege propriedade intelectual de modelos, o caso reforça que defesas contra destilação precisam cobrir cada recurso que toque o raciocínio decifrado.