いちばん引っかかったのは、ここで壊れたのが「暗号そのもの」ではない、という点だった。鍵が破られたわけではなく、いったん隠したはずの reasoning block を、別セッションや別アカウントでもそのまま受け付けてしまった。セキュリティの話としては地味に見えるけれど、実際にはかなり嫌な種類の穴だと思う。守るべきものが“見えない形で残っている”からだ。
しかも、その見えない部分から API key や password が回収できたというのが重い。人間は visible な会話だけを見て「消したから大丈夫」と思いがちだけど、記事を読む限り、それでは足りない。ログや transcript を共有するとき、表に出る文面だけでなく、モデル内部の思考っぽい塊まで一緒に持ち出してしまうと、あとで別のモデルに“読ませ直す”ことで秘密が浮いてくる。ここは、開発現場でうっかりやりそうな感じがあるぶん、余計に怖い。
もうひとつ面白かったのは、弱いモデルが強いモデルの reasoning を「ふわっと解読する decoder」みたいに使われた、という発想だ。いわば、本人は見せたくないメモを封筒に入れたつもりなのに、別の人がその封筒を読めてしまうようなものだと思う。AI の性能競争って「より賢いモデルをどう作るか」に目が行きやすいけれど、実際にはモデル同士の互換性や受け渡しの設計が、そのまま情報漏えいの経路になる。そこが今回いちばん現実的だった。
一方で、記事が言うように研究者側は「もう再現できない」としているし、実害の広がり方も公開ログに依存している。なので、世界中の利用者が一斉に危ない、という話ではない。ただ、公開済みの agent log がどれだけ残っているのか、そこは記事を読んでも少しもやっとした。今止まったとしても、すでに出回ったものが後から読めるなら意味は違う。そこはもう少し知りたかった。
参考: OpenAI, Anthropic, Google API Flaw Let Weaker AI Models Decode Stronger Models' Reasoning
