公開AIログから、暗号化された推論の中身が復元できると報告されました。

生成AIの「隠された思考」は、これまで提供各社が暗号化して守ってきた領域でした。その暗号化ブロックを別のモデルに読ませることで平文に戻せるという研究が、2026年8月10日にarXivで公開されました。公開されていた実行ログから、APIキーやパスワードを含む秘匿情報が復元されたという報告も含まれています。士業事務所にとっては、生成AIのログをどこまで外部に出しているかという、守秘義務と直結する論点が浮かびます。本記事は士業のチカラ編集部が、公表されている一次情報のみを根拠に作成しています。法令の条文はe-Gov法令検索の原文で、研究内容は論文と著者らの公開ページで確認しています。

暗号化された推論ブロックが、弱いモデル経由で平文に戻された

今回の研究は、生成AIの推論過程を守っている暗号化の設計そのものに弱点があると指摘するものです。論文はStealing Reasoning Traces from Proprietary LLM APIsとして2026年8月10日に投稿され、ELLIS Institute Tübingenやマックス・プランク知能システム研究所などのチームが執筆しています。

背景にあるのは、主要な提供各社が採る共通の設計です。推論モデルは回答前に長い思考の連鎖を生成しますが、知的財産の保護と情報漏えいの抑制を理由に、その生の中身は利用者に見せず、暗号化されたブロックとしてクライアント側に返します。クライアントは会話を続けるとき、そのブロックをそのままサーバーに送り返します。

研究チームが見つけたのは、この暗号化ブロックが同じ提供元のエコシステム内であればセッションも利用者もモデルも越えて互換であり、入れ替えが利くという点です。そこで、高性能モデルが生成した暗号化トレースを、同じ提供元の安全対策が弱い小型モデルに注入し、その小型モデルに中身を逐語で書き出させる手法が示されました。強いモデルを直接攻撃せずに、その思考を取り出せるという構図です。著者らは公開ページで「専有的な推論は、その暗号化されたトレースから復元されうる」と要約しています（Stolen Thoughts）。実証はAnthropic、OpenAI、Googleの各モデル群にまたがって行われたと説明されています。

表示されていた画面には出ていない情報が、推論の中に残っていた

士業事務所の実務にとって重みがあるのは、この手法が実際の公開ログに適用された部分です。研究チームはGitHubとHugging Faceから、暗号化された推論ブロックを含んだままのエージェント実行ログ6,708件を収集し、復号パイプラインを適用して315,320件の推論ブロックを復元したと報告しています。

そのうえで、ベンチマークではない実利用のセッションに絞って集計した結果、704件の秘匿情報が回収されたと公開ページに記載されています。内訳としてAPIキー62件、パスワード33件、アクセストークン24件、個人のメールアドレス30件が挙げられ、ほかに氏名、住所、内部URLなどの技術的識別子が含まれるとされています。なお論文要旨では、315,320件全体からの回収として個人情報関連の成果物367件と認証情報182件という数え方が示されており、公開ページの704件とは集計範囲が異なります。

最も注意を引くのは、この704件のうち64件が推論ブロックの中にだけ存在し、表示されていたセッションのどこにも現れていなかったという記載です。ログを公開した開発者が画面上で確認できた範囲には、その情報は映っていなかったことになります。公開ページには、航空券予約タスクの復元例として氏名やパスポート番号、クレジットカード番号まで並んだ推論の抜粋も掲載されていますが、これはベンチマーク用のデータに由来するものとして提示されています。

士業の守秘義務は、AIの利用形態にかかわらず職務上知り得た秘密に及びます。弁護士法第23条は「弁護士又は弁護士であつた者は、その職務上知り得た秘密を保持する権利を有し、義務を負う」と定め、税理士法第38条は正当な理由なく税理士業務に関して知り得た秘密を洩らし、または窃用してはならないと定めています。今回の報告が投げかけるのは、「画面に出ていない情報は共有されていない」という前提が成り立たない場面があるという事実関係であり、事務所のログ運用を点検する材料になります。生成AIと守秘義務の関係を整理した記事は生成AIと士業の守秘義務でも扱っています。

事務所が今週確認できる4つのポイント

第一に、AIツールの実行ログや会話ログを事務所の外に出す経路が棚卸しされているかという点です。不具合報告への添付、外部の開発者との共有、公開リポジトリへのコミットなど、意図せず外に出る経路を洗い出す作業から着手する事務所があります。

第二に、エージェント型ツールを使っている場合の実行トレースの保存先と保存期間です。手元に残るログの中に暗号化ブロックが含まれているかどうかは、通常の画面表示では判別しにくい部分にあたります。

第三に、APIキーやアクセストークンを会話の中や共有ファイルに置いていないかという確認です。今回回収された内訳の上位が技術的な認証情報だった点は、そのまま点検項目になります。過去の漏えい事例の整理は生成AIによる情報漏えい事例にまとめています。

第四に、利用中のサービスについて、入力データが学習に使われるか、ログがどれだけ保持されるかを提供元の公表資料で確認しておくことです。確認できなかった項目は「公表資料からは確認できない」と記録に残す運用が、後から経緯を説明するときに効いてきます。事務所単位のルール化を進める場合はAI利用規程のテンプレートが出発点になります。

なお論文は責任ある開示の手続きを経て公開され、暗号面とシステム面の緩和策が提案されています。各社が実際にどの緩和を適用済みかについては、本記事の執筆時点で各社の公式発表を確認できていません（要確認）。

まとめ

暗号化された推論ブロックは同じ提供元の中で入れ替えが利き、弱いモデルに読ませることで平文に戻せると報告されました。公開ログ315,320ブロックから704件の秘匿情報が回収され、うち64件は表示画面に現れていませんでした。士業事務所にとっては、ログの外部共有経路と保存期間、認証情報の取り扱い、提供元の公表ポリシーを点検する材料になります。

参考文献

• arXiv Stealing Reasoning Traces from Proprietary LLM APIs（arXiv:2608.09867）
• Stolen Thoughts（研究チームの公開ページ）
• e-Gov法令検索 弁護士法
• e-Gov法令検索 税理士法

※士業のチカラでは、生成AIの導入支援から運用最適化まで、貴事務所の業務に合わせたカスタマイズ提案を行っています。無料相談（30分）も実施中ですので、お気軽にお問い合わせください。
https://shigyonochikara.jp/contact/

引用元: arXiv