Compaction Smuggling expone el razonamiento oculto de OpenAI con tres llamadas a su interfaz de programación. Xint divulgó la técnica el 26 de octubre: el método traslada el razonamiento interno de un modelo avanzado a otro modelo, escondido dentro de una compactación de la conversación, y deja ese contenido listo para leerse en texto claro.
OpenAI confirmó el problema. La compañía aplicó una corrección no detallada el 23 de octubre y pagó una recompensa de US$6.000 al equipo de Xint, que había localizado el fallo en agosto de 2026. La técnica burló las defensas que OpenAI había instalado ese mismo agosto, tras el estudio Stolen Thoughts sobre robo de trazas de razonamiento.
Una traza de razonamiento es el borrador interno del modelo. Los modelos de razonamiento, como gpt-5.6-sol, piensan antes de responder: prueban rutas, descartan opciones y corrigen errores sobre la marcha. OpenAI muestra a quien usa su interfaz de programación de aplicaciones (API) solo resúmenes opcionales de ese proceso. El razonamiento completo viaja cifrado, como un bloque opaco que el cliente no puede leer, pero sí puede devolver en turnos posteriores para que el servidor lo descifre y el modelo retome el hilo.
Tres llamadas y un cambio de espacios por tabulaciones
El primer paso fue pedir una tarea a gpt-5.6-sol con el almacenamiento desactivado y guardar el elemento de razonamiento cifrado devuelto. Para la demostración usaron acertijos de matemáticas y algoritmos generados al azar, aunque cualquier tarea sirve.
El truco vive en el segundo paso. La compactación es la función que resume una conversación larga en un elemento cifrado más pequeño, para que el historial no desborde la ventana de contexto. Esa etapa sí lee el razonamiento ya descifrado y, a la vez, acepta instrucciones del cliente a través de un parámetro propio. Xint retiró la tarea original del historial y ordenó a la compactación conservar el razonamiento palabra por palabra dentro de un objeto JSON, bajo la clave «solution», con cada espacio sustituido por una tabulación.
Ese cambio mínimo bastó para esquivar los clasificadores de políticas de uso. Al quitar la tarea original, la compactación tampoco podía rehacer el problema por su cuenta: solo quedaba copiar lo que ya existía, codificado dentro de un artefacto nuevo.
La tercera llamada cerró el circuito. Los elementos de compactación cifrados conservan su portabilidad entre modelos, una propiedad útil para herramientas de agentes como Codex. Xint envió la compactación a gpt-4.1 y a gpt-4o y pidió a cada uno reproducir su entrada tal cual. Ambos lo hicieron. Después solo faltaba decodificar el JSON y devolver los espacios a su sitio.
Por qué funcionó donde el ataque anterior ya no podía
Las defensas de agosto bloqueaban una ruta concreta: reproducir el razonamiento dentro de un modelo distinto. El estudio Stolen Thoughts, de Panfilov y su equipo, había demostrado que el razonamiento cifrado de un modelo de frontera podía repetirse en un modelo más débil del mismo proveedor y obligarlo a transcribirlo. La maniobra funcionó contra Anthropic, OpenAI y Google, con OpenAI como el blanco más duro.
Compaction Smuggling esquivó esa barrera por un costado. La llamada de compactación corre en el mismo modelo que produjo el razonamiento, así que la defensa pensada para el traspaso entre modelos nunca entra en juego. Xint probó la técnica en todos los niveles de esfuerzo de razonamiento, del mínimo al máximo, y funcionó en cada uno. En el ejemplo de Xint, el razonamiento ocupó 405 tokens, la compactación creció a 612 y cada salida repetida marcó 609.
Xint reconoce un límite: sin el texto original en claro, nadie puede probar una fidelidad token por token. Para validar la lectura repitieron la compactación en dos modelos con instrucciones distintas y obtuvieron salidas idénticas. La traza conserva arranques en falso y autocorrecciones.
La destilación mueve el interés económico del robo
Robar razonamiento no es un capricho de laboratorio. La destilación entrena un modelo alumno, más pequeño y barato, con las salidas de un modelo maestro. Las respuestas finales enseñan poco; el razonamiento crudo enseña el camino completo, con callejones sin salida y correcciones incluidas. Con trazas a gran escala, un rival puede acercarse a un modelo de frontera pagando una fracción del costo de crearlo.
Ese trasfondo explica la reacción oficial. A principios de septiembre, la Agencia de Seguridad Nacional (NSA), la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) y el Buró Federal de Investigaciones (FBI) publicaron un aviso conjunto sobre campañas de destilación a escala industrial contra modelos estadounidenses. Días después, Anthropic reportó siete campañas de laboratorios con base en China, varias dirigidas a transcripciones de cadena de pensamiento. El 30 de septiembre, OpenAI contó que desarticuló una operación para extraer razonamiento oculto, con un pico cercano a 16.000 solicitudes desde más de 4.000 cuentas en julio.
SecurityWeek recordó el aviso de la CISA con nombres propios: DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun y Z.AI aparecen señalados por extraer miles de millones de tokens desde finales de 2024.
La lección de Xint apunta al diseño. Cualquier paso del servidor que lea razonamiento descifrado y acepte instrucciones del cliente puede actuar como un oráculo de descifrado. La compactación nació como una función legítima de gestión de contexto, tratada con menos recelo que el propio razonamiento, y terminó ofreciendo la puerta que las defensas de agosto dejaron sin cerrar. El código de demostración quedó publicado en el repositorio de Xint en GitHub.
Fuente: Xint
Foto: Xint
Descubre más desde Tecnología Geek
Suscríbete y recibe las últimas entradas en tu correo electrónico.
