Уязвимость в API Claude и ChatGPT: как утекают скрытые цепочки рассуждений

Исследователи нашли способ вытащить скрытые мысли Claude и ChatGPT через их API — и это не взлом в лоб, а изящная side-channel атака через время ответа.

Что такое скрытые цепочки рассуждений и зачем их прячут

Современные модели типа Claude 3.5 Sonnet или GPT-4 умеют думать «про себя» — строить длинные внутренние цепочки reasoning, которые пользователь не видит. Anthropic и OpenAI прячут эти мысли специально: там могут быть незрелые гипотезы, перебор вариантов, а иногда и случайно запомненные куски данных из обучающей выборки.

В API эти цепочки не возвращаются — ты получаешь только финальный ответ. Но вот проблема: модель всё равно тратит время на внутренние рассуждения, и это время видно через задержку ответа API. Чем сложнее вопрос, чем больше модель думает — тем дольше ждёшь ответа. И эту разницу можно измерить.

Как работает атака: извлечение reasoning через timing

Исследователи из Zurich ETH показали метод side-channel атаки — когда информация утекает не через содержимое ответа, а через побочный канал, в данном случае время.

Схема такая:

1. Атакующий отправляет API множество похожих запросов с небольшими вариациями.
2. Замеряет время ответа на каждый запрос.
3. Строит карту задержек: где модель думала дольше, там reasoning был сложнее.
4. Через статистический анализ восстанавливает содержание скрытых рассуждений.

Пример из исследования: модель ChatGPT в процессе рассуждений случайно «вспомнила» рецепт маринада для курицы (видимо, из обучающей выборки) и пароль пользователя, который тот передал в предыдущем диалоге. Эти данные не попали в финальный ответ, но время обработки выдало, что модель их обрабатывала.

Тип данных	Утёк через timing?	Как проявилось
Рецепт маринада	Да	Задержка +180 мс на запросах про курицу
Пароль пользователя	Да	Модель проверяла его в reasoning, задержка выросла
Финальный ответ API	Нет	В ответе этих данных не было

Что реально утекло и насколько это опасно

Звучит страшно, но давай честно: в тесте утекли рецепт маринада и пароль, который сам пользователь передал в чат. Не секретные ключи AWS и не дамп базы клиентов. Но сам факт возможности извлечь скрытые данные через timing — это дыра в концепции безопасности API.

Вот реальные риски:

• Утечка приватных данных, которые модель случайно запомнила из обучающей выборки (адреса, телефоны, куски кода с токенами).
• Извлечение логики reasoning конкурентами: если твой API-агент принимает бизнес-решения, атакующий может восстановить алгоритм его мышления.
• Деанонимизация пользователей через паттерны reasoning (модель может «думать» о контексте, который не попал в ответ, но выдаёт личность).

Затрагивает ли это Claude Code и агентов

Короткий ответ: напрямую нет. Claude Code работает через desktop-приложение, а не через публичный API. Твои диалоги с агентом идут по защищённому каналу, и сторонние наблюдатели не могут замерять задержки.

Но есть нюанс: если ты собираешь своего агента и подключаешь его к Anthropic API напрямую (например, через MCP-сервер или свой бэкенд), риск появляется. Особенно если агент обрабатывает запросы других пользователей — каждый из них теоретически может провести timing-атаку, если у него есть доступ к API-ключу или он может слать запросы через твой сервис.

Что делать:

• Не передавай приватные данные (пароли, токены, персональные данные клиентов) в промпты API.
• Если строишь публичный сервис на API — добавляй случайные задержки в ответы, чтобы скрыть реальное время обработки.
• Для критичных задач используй self-hosted решения или API из России через изолированную инфраструктуру.

Как защищаются разработчики API

Anthropic и OpenAI уже в курсе проблемы. Классическое решение для side-channel атак — добавить случайный шум в задержки ответов. То есть API искусственно задерживает ответ на рандомное время (скажем, от 50 до 500 мс), чтобы атакующий не мог отличить, где модель реально думала долго, а где просто сработал джиттер.

Минус: это ухудшает пользовательский опыт — ты ждёшь лишние миллисекунды даже на простых запросах. Но для критичных систем это необходимость.

Ещё один вариант — батчинг запросов: API обрабатывает несколько запросов одновременно и возвращает их все разом, стирая информацию о времени на каждый конкретный. Но это работает только для асинхронных сценариев.

Что это значит для тебя, если работаешь с Claude

Если ты используешь Claude в России через desktop-клиент — расслабься, эта история тебя не касается. Timing-атаки работают только против публичного API, где атакующий может слать много запросов и мерять задержки.

Если ты разработчик и строишь что-то на API:

• Не клади в промпты секреты.
• Используй скиллы и агентов так, чтобы чувствительные данные обрабатывались локально, а модель только принимала решения.
• Следи за обновлениями от Anthropic — они наверняка накатят патч с джиттером задержек.

Если ты просто пользователь — не парься. Твои диалоги с Claude.ai и Claude Code никуда не утекают через timing. Но вот передавать пароли и токены в чат всё равно не стоит — модель их запоминает в контексте сессии, и это само по себе риск.

Сценарий	Риск утечки через timing	Что делать
Claude Code desktop	Нет	Ничего, работай спокойно
Прямое API в продакшене	Да	Добавить джиттер, не класть секреты в промпты
Агент на MCP	Зависит от архитектуры	Держать данные локально, модель — только решения

Кто ещё под ударом, кроме Claude и ChatGPT

Исследование касалось именно моделей с extended reasoning — тех, кто умеет думать «про себя». Это Claude 3.5 Sonnet, GPT-4, o1 (новая модель OpenAI с явным reasoning mode). Старые модели без внутренних цепочек рассуждений (GPT-3.5, например) не затронуты — у них нечего извлекать.

Но вот что интересно: все новые модели идут в сторону reasoning. Google Gemini, Meta Llama, китайские модели — все добавляют «мысли про себя», чтобы улучшить качество ответов. Значит, уязвимость станет массовой, если разработчики не закроют её на уровне инфраструктуры API.

Что дальше: патчи и новая архитектура API

Anthropic и OpenAI уже работают над фиксами. Скорее всего, через пару месяцев в API появятся обязательные случайные задержки — и атака перестанет работать. Но сама проблема глубже: пока reasoning остаётся скрытым, а время обработки — видимым, side-channel канал существует.

Долгосрочное решение — полностью асинхронные API с батчингом и шифрованием на уровне транспорта, чтобы атакующий вообще не мог замерять задержки. Или модели научатся генерировать reasoning с фиксированной скоростью, независимо от сложности — но это пока фантастика.

А пока держи базовые правила:

• Desktop-клиенты безопасны.
• API — только для некритичных данных или с дополнительной защитой.
• Не клади секреты в промпты, даже если API обещает не логировать их.

Читайте также

• Claude или ChatGPT: что лучше в 2026
• Агенты Claude: риски и безопасность — что показала Anthropic в 2026
• Claude год работал без фильтра биооружия: что это значит для доверия к Anthropic
• На портале «Мастерская нейросетей»: ChatGPT vs Claude vs Gemini: какая нейросеть лучше в 2026

Хочешь быть в курсе, когда Anthropic выкатит патч и какие ещё дыры найдут в Claude API? Подписывайся на канал — там я разбираю такие новости, как только они выходят, и показываю, что это значит для твоих проектов. Без паники, с конкретикой и примерами.