Ein Aufruf an den Endpunkt /responses/compact, dessen instructions-Parameter verlangt, die zuvor erzeugte Denkspur wortgleich in ein JSON-Feld zu schreiben – und wenige Sekunden später gibt ein älteres Modell diesen Inhalt unverändert wieder aus. Der Fehler in der OpenAI-API wurde im August 2026 bekannt und trägt den Namen Compaction Smuggling. Er zielt auf Daten, die OpenAI mit mehreren Schutzschichten vom Client fernhalten wollte. Das Forscherteam Xint hat den Angriff beschrieben, OpenAI hat die Meldung bestätigt und am 23. Oktober 2026 einen nicht näher benannten Fix ausgeliefert; das Team erhielt dafür ein Bug-Bounty von 6.000 Dollar. Der Vorgang ist keine Kuriosität. Er zeigt, wo die Grenze zwischen „verschlüsselt“ und „geschützt“ verläuft – und wie leicht man sie verwechselt.
Ein Bild aus der Papierwelt hilft: OpenAIs Infrastruktur arbeitet mit versiegelten Umschlägen. Der Kunde darf den Umschlag halten, weiterreichen und zurückgeben, aber nicht hineinsehen. Nur im Haus des Absenders wird er geöffnet, und dort liest ihn das Modell, das ihn geschrieben hat. Diese Konstruktion ist der Kern der Verteidigung – und dort setzt der Angriff an, weil im selben Haus noch andere Angestellte arbeiten.
Warum Reasoning-Modelle ihre Denkspur überhaupt verbergen
Modelle wie gpt-5.6-sol denken erst und antworten dann. Über die API bekommen Nutzer davon in der Regel nur eine optionale Zusammenfassung zu sehen, nicht die rohe Kette der Gedanken. Ein Grund dafür ist Destillation: Ein kleineres „Schüler“-Modell wird mit den Ausgaben eines großen „Lehrer“-Modells trainiert, und rohe Denkspuren sind dafür wertvolleres Material als fertige Antworten. Sie enthalten Sackgassen, verworfene Ansätze und Selbstkorrekturen – also das, was beim Denken tatsächlich passiert und was ein Endresultat gerade nicht mehr verrät.
Der Kompromiss, den OpenAI gefunden hat, ist einfach: Die API liefert die rohe Denkspur als verschlüsselten Block aus. Der Client kann ihn nicht lesen, ihn aber in späteren Turns zurückschicken, woraufhin der Server ihn entschlüsselt und dem Modell erneut vorlegt. Dasselbe Prinzip gilt für Compactions. Damit ist gemeint, dass ein Modell ein langes Gespräch zu einem undurchsichtigen, verschlüsselten Element zusammenfasst, wenn der Kontext zu groß wird – ein Vorgang, den Xint bereits in einem früheren Beitrag zu einem Werkzeug namens GhostCompact untersucht hat.
Der Vorlauf: gestohlene Gedanken und die Reaktion der Anbieter
Im August 2026 veröffentlichten Panfilov und weitere Autoren die Arbeit „Stealing Reasoning Traces from Proprietary LLM APIs“ unter stolen-thoughts.com. Sie bauten auf früheren Untersuchungen von Matthew Green auf, der gezeigt hatte, dass verschlüsselte Reasoning-Blöcke portabel sind: Man kann sie aus einem Kontext herausnehmen und anderswo wieder einspielen. Die Beobachtung des Papers war, dass sich eine verschlüsselte Denkspur eines Frontier-Modells in ein schwächeres Modell desselben Anbieters zurückspielen lässt – und dieses schwächere Modell dann dazu gebracht werden kann, den Inhalt zu transkribieren.
Der Angriff funktionierte gegen Anthropic, OpenAI und Google, wobei OpenAI laut den Autoren der härteste Fall war. Die Reasoning-Blöcke von GPT-5.6 ließen sich nur in andere GPT-5.6-Modelle zurückspielen, weshalb das Team gpt-5.6-luna als Decoder verwendete und mit Prompt-Vorlagen pro Block, Best-of-n-Sampling sowie Ausgabestücken unter 50 Tokens gegen die Anti-Destillations-Schutzmaßnahmen arbeitete. Nach der Offenlegung reagierten die Anbieter, und das Paper hält fest, dass der Angriff ab August 2026 nicht mehr reproduzierbar war. Eigene Tests von Xint im selben Monat bestätigten das.
Drei API-Aufrufe, ein umgeleiteter Kopist
Compaction Smuggling umgeht diese Mitigationen, ohne sie zu brechen – es geht an ihnen vorbei. Der erste Schritt ist harmlos: Eine Aufgabe geht an gpt-5.6-sol, mit store=False, und das Team behält das verschlüsselte Reasoning-Element. Für die Demonstration dienten zufällig generierte Mathe- und Algorithmusaufgaben, aber der Inhalt der Aufgabe spielt keine Rolle.
Der zweite Schritt ist der Trick. Die Compaction-Stufe sieht die entschlüsselte Denkspur, und ihr instructions-Parameter steuert, was sie tut und wie sie ihre Ausgabe formatiert. Xint entfernte die ursprüngliche Aufgabe aus dem Verlauf und rief /responses/compact mit der Anweisung auf, die Denkspur wörtlich zu erhalten. Ohne die Aufgabe im Verlauf kann die Compaction-Stufe nicht schummeln, indem sie das Problem neu löst oder zusammenfasst – sie hat nur noch den Text, den sie weiterreichen soll. Verlangt wurde die Spur unter einem Schlüssel „solution“ in einem JSON-Objekt, mit der Maßgabe, jedes Leerzeichen durch einen Tabulator zu ersetzen. Diese kleine Umformatierung genügte, um an den Klassifikatoren für die Nutzungsrichtlinien vorbeizukommen.
Der dritte Schritt ist die Abholung. Verschlüsselte Compaction-Elemente sind weiterhin portabel, also schickte das Team das Element an gpt-4.1 und gpt-4o und bat beide, ihre Eingabe exakt und unverändert auszugeben. Beide taten das ohne Umschweife. Anschließend wurde das JSON dekodiert und die Tabulatoren wieder in Leerzeichen zurückverwandelt. Im Beispiel-Lauf umfasste das Reasoning-Element 405 Tokens, das Compaction-Element 612 und jede der beiden Echo-Ausgaben 609 Tokens. Der Angriff funktionierte bei jeder getesteten Reasoning-Stufe, von minimal bis maximal.
Warum die Schutzmaßnahmen von August ins Leere laufen
Der Grund für den Erfolg ist einfach: Die Mitigationen blockieren nur das Zurückspielen einer Denkspur in ein anderes Modell. Der Compaction-Aufruf aber läuft auf demselben Modell, das die Spur erzeugt hat – er ist aus Sicht der Sicherheitsprüfung der legitime Fall. Der versiegelte Umschlag bleibt also im Haus, und der Kopist im Haus darf ihn öffnen. Nur dass dieser Kopist Anweisungen von außen entgegennimmt und das Ergebnis in einen neuen Umschlag steckt, der anschließend überallhin mitgenommen werden darf.
Bei der Prüfung, ob wirklich die Originalspur herauskommt, bleibt eine Lücke, die auch die Autoren des Stolen-Thoughts-Papers nicht schließen können: Ohne den Klartext lässt sich Token-für-Token-Treue nicht beweisen. Xint hat die Ausgabe deshalb durch zwei verschiedene Modelle mit zwei verschiedenen Prompts geschickt und identische Ergebnisse erhalten. Das schließt Fehler beim Echo-Schritt aus, nicht aber, dass die Compaction-Stufe die Spur paraphrasiert hat. Als Indiz führen die Forscher an, dass das Compaction-Element größer ist als die Denkspur, aus der es gebaut wurde – 612 gegen 405 Tokens, was zum Overhead durch JSON und Tabulatoren passt. Außerdem behalte die Spur ihre Fehlversuche und Selbstkorrekturen und entspreche im knappen, telegrammartigen Stil der gpt-5.6-sol-Spur, die das Paper für dasselbe Problem dekodiert hat, eine kleine zufällig erzeugte Instanz von Codeforces 1974C. Ein Auszug davon ist in der Veröffentlichung abgedruckt.
Wie der Angriff gefunden wurde – und was er ermöglicht
Auf die Spur kamen die Forscher bei der Arbeit an GhostCompact. Ihnen fiel auf, dass sich Compaction für beliebige Aufgaben verwenden lässt; das Ergebnis kommt als verschlüsselter Block zurück. Ebenso bekannt war, dass verschlüsselte Compactions portabel bleiben, weil agentische Umgebungen wie Codex den Modellwechsel nach einer Compaction erlauben, ohne dass wichtiger Kontext verloren geht. Die naheliegende Anschlussfrage lautete, ob sich die Compaction-Stufe überreden lässt, eine vorherige Denkspur verlustfrei zu kodieren. Die Antwort war ja.
Damit ist das kein akademisches Problem. Xint ordnet den Fund in eine Entwicklung ein, die sich im September 2026 zuspitzte: NSA, CISA und FBI veröffentlichten eine gemeinsame Warnung vor „industriellen Destillationskampagnen“ gegen amerikanische Frontier-Modelle. Wenige Tage später berichtete Anthropic von sieben solchen Kampagnen durch in China ansässige Labore, mehrere davon gezielt auf Chain-of-Thought-Transkripte. Am 30. September legte OpenAI offen, eine Kampagne zur Extraktion verborgener Denkspuren unterbrochen zu haben, die im Juli mit etwa 16.000 Anfragen von über 4.000 Konten ihren Höhepunkt erreicht hatte. Compaction Smuggling senkt die Hürde für genau solche Vorhaben erheblich, weil es keinen aufwendigen Decoder-Trick mehr braucht, sondern drei gewöhnliche API-Aufrufe.
Was das für den Bau von KI-Schnittstellen bedeutet
Die Lehre ist schlicht: Jeder serverseitige Schritt, der entschlüsselte Denkspuren liest und dabei Anweisungen vom Client befolgt, ist ein potenzielles Entschlüsselungsorakel. Verschlüsselung allein sagt nichts darüber aus, wer den Inhalt am Ende sehen darf; entscheidend ist, welche Stellen im System ihn lesen und wie viel Einfluss von außen auf sie besteht. Das Stolen-Thoughts-Paper behandelte Compaction noch als legitimes Feature, um das herum die eigenen Verteidigungsvorschläge funktionieren mussten. Compaction Smuggling zeigt, dass Compaction vermutlich denselben Schutz braucht wie die Denkspur selbst.
Bei eigenen Anwendungen solltest du prüfen, welche internen Verarbeitungsschritte Klartext sehen und ob deren Parameter vom Nutzer steuerbar sind. Für alle, die auf OpenAI setzen, bleibt die Situation vorerst unauffällig – der Fix vom 23. Oktober ist ausgeliefert, über Details schweigt der Anbieter, und das Demo-Skript compaction_smuggle.py liegt im GitHub-Repository von Xint, sodass sich die Wirksamkeit künftiger Patches nachprüfen lässt. Wichtiger als der einzelne Exploit ist die Einsicht, dass eine Kette aus mehreren korrekt gebauten Komponenten noch kein korrektes Ganzes ergibt. Ein versiegelter Umschlag schützt nur so weit, wie die Regel greift, wer ihn öffnen darf – und wie präzise diese Regel formuliert ist.
Quelle: xint.io
