AIの思考ログは、暗号化されているから安全ではなかった

Last updated at 2026-08-25Posted at 2026-08-25

手元の Claude Code のログを数えたら、読めない文字列が 19.6 MB 積まれていました。

thinking ブロック : 5,419 件（全件に signature つき）
signature の合計  : 19.6 MB
最大の1ブロック   : 318,492 文字（311 KB）

これは暗号化された推論（chain-of-thought）です。中身は自分では読めません。

そして8月に出た論文が、公開されたログからこれを復号し、API キー62件を復元しています。

論文が何をしたかを押さえたうえで、自分のログを数える手順を書きます。攻撃の再現はしません。

検証環境: Windows 10 / Claude Code 2.1.243

何が積まれているのか

~/.claude/projects/ に .jsonl が溜まります。中を見ると、こういうブロックが並んでいます。

{
  "type": "thinking",
  "thinking": "",
  "signature": "EqoGCkYIChgCKkC5..."
}

thinking は空です。中身は signature の側に入っています。手元で数えるとこうでした。

	値
走査したログ	91 ファイル（315 MB）
thinking を含むログ	73 ファイル
thinking ブロック	5,419 件
signature つき	5,419 件（100%）
signature の長さ	最小 340 / 中央 1,868 / 最大 318,492 文字
signature の合計	19.6 MB

この数字は 2026-08-25 時点のものです。記事を書いている最中にも増え、数え直すと 5,432 ブロック・19.7 MB になっていました。使っている限り積み上がります。

サーバーに状態を持たせないための設計です。 論文によれば、プロバイダはトレースをサーバー側に保存せず、暗号化ブロックとしてクライアントに返し、クライアントが以降のリクエストごとに送り返します。そのぶん自分のディスクに積まれます。

公開ログから何が出たか

論文はこれです。

Panfilov, Schmotz, Shumailov ほか5名
"Stealing Reasoning Traces from Proprietary LLM APIs"
arXiv:2608.09867（2026-08-10）
MATS Research / ELLIS Institute Tübingen / Max Planck Institute for Intelligent Systems / Snyk ほか

著者らは GitHub と Hugging Face から 6,708 件の公開エージェント trajectory を集め、315,320 個の推論ブロックを復号しました。

出てきたものがこれです。

復元されたもの	件数
認証情報	182
PII（個人を特定できる情報）	367

論文が主なものとして挙げているのは、API キー62件、パスワード33件、アクセストークン24件、秘密鍵7件です。原文は include なので、これで全部ではありません。

ここが一番効きます。

Restricting the analysis to genuine user sessions, 64 of the 704 artifacts recovered from reasoning are entirely absent from the visible chat history
（実際の利用セッションに限って分析すると、推論から復元された 704 件のうち 64 件は、可視のチャット履歴にまったく存在しない）

チャットの表示を見返しても分からないものが、64件ありました。 「ログを目で確認したから大丈夫」が通用しないということです。

どうやって復号したのか

手法は単純です。同じプロバイダなら、暗号化ブロックがセッション・ユーザー・モデルをまたいで互換だったことを突いています。あるモデルの暗号化トレースを、同じプロバイダのより弱く防御の薄いモデルに注入し、平文でそのまま出力させる。論文には Opus 4.8 の signature を Haiku に送って書き写させた例が載っています。強いモデルを破る必要がありません。

自分のログを数える

自分の環境に何件あるかは、すぐ分かります。

grep -o '"type":"thinking"' ~/.claude/projects/*/*.jsonl | wc -l

手元では 5,428 と出ました。JSON をきちんとパースして数えた 5,419 件とは少しずれますが、規模を掴むには足ります。

中身は復号できませんし、する必要もありません。 見るのは「どこに、どれだけあるか」だけです。

数えたうえで確認するのは、そのログが外に出ていないかです。

どこから外に出るのか

論文が集めた 6,708 件は GitHub と Hugging Face の公開データでした。つまり経路はこうです。

経路	何が起きるか
リポジトリにコミット	プロジェクト内に `.claude/` を置く運用だと巻き込みやすい
不具合報告への添付	issue やサポートへ「再現ログ」として貼る

手元を確認したところ、.claude/projects は gitignore 済みで、追跡中の .jsonl は0件でした。ただしこれはたまたまです。ログの置き場所を変えたり、別マシンで設定が違えば結果は変わります。

確認は1行で済みます。

git ls-files | grep '\.jsonl$'

論文も緩和策の最後に、公開の前にトランスクリプトから推論ブロックを体系的に取り除くことを挙げています。これが利用者側にできる対処です。

いまはどうなっているか

現時点で同じ攻撃はできません。 著者自身が明記しています。

As of August 2026, the results presented in Figure 1 are no longer reproducible with attacks described in Section 2.4 and Appendix C because of mitigations implemented by providers following our disclosure.
（2026年8月時点で、Figure 1 の結果は Section 2.4 と Appendix C に記載した攻撃では再現できない。開示を受けてプロバイダが緩和策を実装したためである）

一方で、報道では別の見方も伝えられています。プロバイダは報告の受領を認めたものの、サイドチャネルやリプレイ攻撃に起因する安全性への影響は認めていない、という指摘です。

「直った」と「問題として認めた」は別の話です。 ここは断定を避けます。

著者は限界も挙げています。

評価は 2026年7月上旬時点の API バージョンに限定される
復号は decoder 側モデルの確率的生成に依存し、全トークンの正しさは検証できていない

そして、直ったとしても過去に公開したログは残ります。 自分のログを数える意味はそこにあります。

まとめ

手元の Claude Code ログに、暗号化された推論が 19.6 MB / 5,419 ブロック積まれていた。1ブロックで 311 KB のものもある
論文は公開ログ 315,320 ブロックを復号し、API キー62件を含む認証情報182件、PII 367件を復元した
実利用のセッションに限ると、704件のうち64件は可視のチャット履歴に存在しない。 目視では見つからない
復号の手口は「同じプロバイダの弱いモデルに注入して書き写させる」。強いモデルを破る必要がない
現時点で同じ攻撃は再現できないと著者が明記している。ただし公開済みのログは残る
やることは2つ。 自分のログを数える。公開する前に推論ブロックを剥がす

「暗号化されているから中身は問題にならない」という前提が、この論文で崩れました。 自分のディスクに何が積まれているかは、数えれば分かります。

参考

arXiv:2608.09867 — Panfilov, A., Schmotz, D., Shumailov, I., Beurer-Kellner, L., Schaeffer, J., Prabhu, A., Geiping, J., Andriushchenko, M. "Stealing Reasoning Traces from Proprietary LLM APIs"（2026-08-10）
Hacker News のスレッド — 699 ポイント / 308 コメント
検証環境: Windows 10 / Claude Code 2.1.243

※ 引用は原文と日本語訳を併記しています。訳は読みやすさを優先しているので、正確な表現は原典をご確認ください。