O Traço de Raciocínio É uma Superfície de Exfiltração

Pesquisadores coletaram 6.708 trajetórias de agentes publicamente disponíveis no GitHub e no Hugging Face e reconstruíram 315.320 blocos de raciocínio a partir delas. Dentro desses blocos, recuperaram 704 artefatos distintos de privacidade: 62 chaves de API, 33 senhas, 24 tokens de acesso, 30 endereços de e-mail pessoais. Sessenta e quatro dos 704 não apareciam em lugar nenhum da sessão visível. Existiam apenas no raciocínio.

Esse último número merece um minuto de silêncio. Sessenta e quatro segredos que nenhuma revisão de transcrição teria pego, que nenhum scan de DLP no log de chat teria sinalizado e que nenhum usuário poderia ter redigido, porque o usuário nunca os viu. A distribuição completa do vazamento dá 351 identificadores técnicos, 204 itens de informação pessoal, 126 credenciais e 23 outros artefatos. Tudo isso publicado voluntariamente por times que achavam estar apenas compartilhando a execução de um agente.

O trabalho está documentado em stolen-thoughts.com sob o título Stolen Thoughts: Stealing Reasoning Traces from Proprietary LLM APIs. A página lista oito autores e nenhuma instituição. Cite pelo que mede, sem atribuir laboratório.

Criptografia Sem Vínculo

Os provedores de fronteira pararam de mostrar o raciocínio bruto. O traço vem resumido, cifrado ou simplesmente retido. Já escrevemos sobre a verificação que você não vê e sobre superfícies de auditoria que pertencem ao fornecedor. Os dois textos assumiam que o modo de falha era opacidade: você responde por um raciocínio ao qual não tem acesso.

O modo de falha medido é pior e corre na direção oposta. A cadeia de raciocínio cifrada, do jeito que foi implementada, não carrega vínculo com uma sessão, um usuário ou sequer um modelo. Um blob é um blob. Segundo a pesquisa, um traço capturado de um modelo de fronteira decodifica limpo quando reproduzido em um irmão mais fraco e jailbroken. O artigo relata isso de forma concreta: conteúdo perigoso alojado dentro de um traço oculto capturado do Opus 4.8, decodificado através do Haiku 4.5, enquanto a resposta visível ao usuário permaneceu inofensiva o tempo todo.

A fidelidade da extração é a parte que encerra o argumento de que a recuperação seria apenas parcial. Em 120 problemas do Codeforces, a contagem de tokens recuperados acompanhou a contagem de tokens de raciocínio oculto reportada pela API até o limite de geração de 12.000 tokens. Raciocinar mais tempo não trouxe segurança. Trouxe mais material.

O traço é legível. Legível para um atacante com um arquivo de trajetória raspado, legível para quem roda o modelo mais fraco, e opaco somente para o cliente cujo responsável por compliance precisa assinar a atestação.

O Que o Seu Editor Anota

A metade acadêmica disso é um resultado de laboratório. A outra metade já está no laptop dos seus desenvolvedores.

Rafael Pierre colocou o GitHub Copilot atrás de um proxy MITM e publicou o que voltou em agosto de 2026. O Copilot armazena mensagens do usuário e respostas do assistente em texto puro, sem nenhuma sanitização no caminho de escrita, em um repositório de sessão local em ~/Library/Application Support/Code/User/globalStorage/github.copilot-chat/session-store.db. Gravado em claro. Sem limpeza antes da inserção.

Dois detalhes desse relato pesam mais do que o local de armazenamento. Primeiro, a filtragem de segredos existe apenas no tier enterprise, atrás de uma política de repositório controlada por administrador. Em um plano individual, conforme o relato, não há proteção de .env nem integração com .gitignore. Segundo, o contexto de edições recentes que o Copilot monta alcança até 20 arquivos, 8 resumos de edição e 3 linhas de contexto ao redor de cada mudança.

Junte isso ao achado das trajetórias. A montagem de contexto puxa conteúdo de arquivo que o desenvolvedor não colou deliberadamente. O raciocínio consome esse conteúdo. O raciocínio é gravado em claro em um banco local, e uma cópia sanitizada da conversa vai para o repositório de transcrições que o seu time arquiva. O segredo passa a existir em pelo menos dois lugares, e só um deles está sob a mira dos seus controles.

É o mesmo problema estrutural que a cadeia de suprimentos da destilação colocou, uma camada abaixo. Algo valioso sai da fronteira dentro de um artefato que ninguém classificou como sensível.

O Resumo É uma Renderização

Mais um achado merece tratamento separado, porque é fácil confundir com um argumento antigo.

O artigo documenta infidelidade de resumo: em um problema da AIME, o Opus 4.8 declarou a resposta dentro do traço oculto antes de derivá-la, e o resumo exposto pela API apresentou uma derivação limpa e ordenada. Já argumentamos que modelos frequentemente decidem antes de raciocinar, e que a racionalização posterior quebra esquemas de governança que tratam a explicação como causa.

Aqui o achado faz um trabalho diferente. Ele estabelece que o resumo e o traço são objetos distintos, produzidos por processos distintos, com conteúdos distintos. Se divergem em uma derivação matemática, divergem em um segredo. Tudo que a sua política de retenção, o seu scanner de DLP e a sua exportação de auditoria tocam é o resumo. O traço é a coisa que foi recuperada 704 vezes.

A Pergunta de Governança Precisa Mudar

A maioria das políticas corporativas de IA pede visibilidade ao fornecedor. Mostre o raciocínio. Entregue os logs. Deixe nosso SIEM ingerir o traço.

Esse pedido deixou de corresponder ao risco. Visibilidade sobre um traço desvinculado e reproduzível adiciona mais uma cópia do material ao seu patrimônio. Duas exigências rendem mais:

Prove o vínculo. Pergunte ao provedor, por escrito, se o raciocínio cifrado está criptograficamente vinculado à sessão, à chave de API e ao modelo que o produziu. Um blob que decodifica em outro modelo, em outra conta, não é controle. Coloque a resposta no contrato, e não em um post de blog.

Pare de anotar o segredo duas vezes. Se o traço e a transcrição carregam o mesmo valor, o caminho de redação precisa cobrir os dois, ou o valor jamais deve entrar no contexto. A segunda opção é mais barata e é a que está sob o seu controle.

Faça Isso Agora

Reserve uma hora esta semana com quem cuida do ferramental dos desenvolvedores.

1. Na máquina de um engenheiro, abra o session store do Copilot no caminho acima e rode grep por KEY, SECRET, TOKEN e PASSWORD. O que voltar é o volume de material que está fora dos seus controles em cada máquina da frota. Se a sua organização usa planos individuais, registre que a filtragem de segredos do tier enterprise não está ligada em nenhuma delas.

2. Vasculhe a sua organização no GitHub e no Hugging Face atrás de trajetórias de agentes publicadas, dumps de avaliação e artefatos de depuração. As 6.708 do estudo vieram de algum lugar. Verifique se alguma veio de você, e verifique os campos de raciocínio especificamente, não os turnos visíveis.

3. Envie a pergunta do vínculo ao contato de segurança do seu fornecedor de modelos hoje. Vínculo de sessão, vínculo de chave, vínculo de modelo. Três respostas de sim ou não, por escrito.

4. Mude a classificação. Um traço de raciocínio é um artefato portador de credenciais até prova em contrário, e deve herdar as regras de retenção, criptografia e exportação que você já aplica a logs que carregam segredos.

O raciocínio que os seus agentes produzem é privado no sentido fraco da palavra: ninguém leu ainda. Essa propriedade não sobrevive ao primeiro interessado no conteúdo.

---

Fontes

• Panfilov, Schmotz, Shumailov, Beurer-Kellner, Schaeffer, Prabhu, Geiping, Andriushchenko. “Stolen Thoughts: Stealing Reasoning Traces from Proprietary LLM APIs.” arXiv 2608.09867, 2026.
• Rafael Pierre, Lighthouse. “I Put GitHub Copilot Behind a MITM Proxy. Here’s What I Found.” Agosto de 2026.

A Victorino ajuda organizações de engenharia a classificar, conter e contratar os artefatos que o ferramental de IA produz: contato@victorino.com.br | www.victorino.com.br