Compaction smuggling: ragionamenti di OpenAI estratti via API

La società di ricerca Xint ha pubblicato il 26 ottobre 2026 i dettagli di una tecnica, chiamata compaction smuggling, che permetteva di estrarre in chiaro le tracce di ragionamento dei modelli di frontiera di OpenAI attraverso la sua API. La tecnica aggirava le mitigazioni che OpenAI aveva introdotto in agosto per un problema analogo. OpenAI ha confermato la falla, l’ha corretta e ha pagato a Xint una ricompensa di 6.000 dollari il 23 ottobre 2026. La notizia è riportata da SecurityWeek, CSO Online, The Hacker News e Infosecurity Magazine.

Il contesto: ragionamenti cifrati e compaction

I modelli di ragionamento restituiscono, insieme alla risposta, i passaggi del ragionamento in forma cifrata: l’applicazione li rimanda al modello nelle richieste successive, così il modello mantiene la continuità del “pensiero” senza che il cliente possa leggerli. Per non superare la finestra di contesto, la compaction comprime storia della conversazione, chiamate agli strumenti e stato del lavoro in un riassunto, anch’esso restituito come elemento cifrato.

Secondo un analista citato da CSO Online, gli elementi di compaction sono portabili tra modelli per una ragione funzionale: permettono a strumenti agentici come Codex di cambiare modello a metà sessione.

In agosto lo studio Stealing Reasoning Traces from Proprietary LLM APIs (pubblicato il 10 agosto) aveva mostrato che il ragionamento cifrato di un modello di frontiera poteva essere rimandato a un modello più debole dello stesso fornitore e indotto a trascriverlo. CSO Online cita tra le conseguenze possibili l’estrazione di dati su larga scala, prompt injection invisibili e l’inserimento di contenuti malevoli in esecuzioni agentiche pubbliche; SecurityWeek parla anche di estrazione di dati personali. OpenAI aveva reagito bloccando il riutilizzo del ragionamento in un modello diverso da quello che l’aveva prodotto.

Come funziona la compaction smuggling

Secondo il post di Xint, firmato dal ricercatore Tim Becker e riportato da CSO Online, l’attacco si svolge in tre fasi:

1. Raccolta del ragionamento: si invia un compito a un modello di ragionamento (Xint cita come esempio gpt-5.6-sol), si cattura il ragionamento cifrato, si toglie il compito originale dalla cronologia e si conserva il ragionamento così com’è.
2. Modellazione della compaction: si chiede che il ragionamento venga inserito nella compaction come valore di una chiave solution in un oggetto JSON, con ogni spazio sostituito da una tabulazione. Secondo Xint questo bastava a eludere i classificatori di OpenAI sulle politiche d’uso.
3. Trascrizione da un altro modello: l’elemento di compaction cifrato, ancora portabile, viene inviato a gpt-4.1 e gpt-4o con la richiesta di restituire l’input esattamente com’è. I modelli eseguivano; restava da decodificare il JSON e rimettere gli spazi.

Il punto debole, spiega Xint, è che la mitigazione di agosto bloccava solo il passaggio del ragionamento a un modello diverso, mentre la compaction gira sullo stesso modello che ha prodotto il ragionamento. L’attacco ha funzionato con tutti i livelli di sforzo di ragionamento provati.

Becker ha detto a CSO Online che parte della cronologia non è nota: OpenAI non ha pubblicato quando ha applicato la correzione e, a differenza delle patch tradizionali, un fornitore di modelli può intervenire senza annunci. OpenAI non ha risposto alla richiesta di commento di CSO Online.

Perché conta: la distillazione

Il rischio principale indicato da SecurityWeek è la distillazione: usare i ragionamenti di un modello avanzato per addestrare a basso costo un modello concorrente. SecurityWeek ricorda l’avviso di inizio settembre in cui CISA (con NSA e FBI, secondo un analista citato da CSO Online) attribuiva a DeepSeek, Moonshot AI, Alibaba, MiniMax, StepFun e Z.AI l’estrazione di miliardi di token, in milioni di richieste, da modelli statunitensi come Claude, GPT, Gemini e Grok almeno dalla fine del 2024.

Per le aziende che usano l’API il problema non è un furto diretto dei loro dati, ma un segnale sul modello di sicurezza delle piattaforme IA. CSO Online ricorda anche il caso di AWS, che ha dovuto correggere di nuovo a settembre un problema già corretto ad aprile.

Impatto per le aziende europee e italiane

Gli analisti sentiti da CSO Online convergono su alcuni punti:

• funzioni legittime della piattaforma, combinate tra loro, possono aggirare protezioni pensate per un solo percorso d’attacco;
• le falle delle piattaforme IA arrivano senza CVE, senza bollettino e senza note di rilascio: la gestione delle vulnerabilità basata sui feed CVE non le vede;
• un “risolto” del fornitore copre spesso il caso segnalato, non l’intera classe di debolezze; per questo un analista suggerisce di considerare leggibile ogni contenuto cifrato restituito da queste API.

Per i soggetti NIS2 i fornitori di servizi IA rientrano nella sicurezza della catena di approvvigionamento (articolo 21): servono clausole e verifiche come per qualsiasi altro fornitore critico.

Cosa fare subito

1. Fai l’inventario delle applicazioni che usano API di modelli di ragionamento, compaction o stato della conversazione lato client, e di dove vengono salvati questi elementi (log, database, code).
2. Tratta ragionamenti e compaction cifrati come dati sensibili: stessi controlli di accesso e tempi di conservazione dei contenuti in chiaro.
3. Chiedi ai fornitori IA come è stata verificata una correzione sulle funzioni collegate e se hanno svolto un’analisi delle varianti: hanno corretto il caso segnalato o la classe di problemi?
4. Metti nei contratti l’obbligo di notificare problemi di sicurezza e regressioni delle correzioni.
5. Assegna a qualcuno il monitoraggio delle pubblicazioni dei ricercatori sulle piattaforme IA in uso, visto che non arrivano come CVE.
6. Ripeti i tuoi test dopo ogni correzione annunciata dal fornitore, invece di affidarti solo alla sua comunicazione.
7. Se esponi tu stesso modelli via API, sorveglia gli schemi di estrazione (volumi elevati di richieste sistematiche) e verifica che gli oggetti di stato rimandati dai client non possano essere riusati in contesti diversi da quello previsto.

Ultimo aggiornamento: 27 ottobre 2026