Investigadores de Xint descubrieron un fallo en la API de OpenAI que permitía exponer el razonamiento oculto de los modelos GPT-5.6 mediante una técnica llamada "compaction smuggling". Este método lograba evadir las protecciones implementadas en agosto de 2026. OpenAI confirmó el error, aplicó una solución el 23 de octubre y otorgó una recompensa de 6.000 dólares al equipo.

Investigadores de Xint encontraron un fallo en la API de OpenAI que exponía el razonamiento oculto en los modelos GPT-5.6 al enrutar los prompts a través de una función de compactación de conversaciones.

El método, llamado contrabando de compactación (compaction smuggling), evadió las protecciones introducidas en agosto de 2026. Según Xint, OpenAI confirmó el error, implementó una corrección no revelada el 23 de octubre y otorgó al equipo una recompensa de 6.000 dólares.

El hallazgo muestra cómo una función diseñada para preservar el contexto de la conversación podría convertirse en una vía para saltarse los controles de seguridad del modelo. Xint descubrió el problema en agosto y publicó su informe técnico el 26 de octubre.

Los modelos de razonamiento de OpenAI trabajan en los problemas antes de devolver las respuestas. Los usuarios de la API pueden recibir resúmenes, pero el razonamiento bruto permanece cifrado.

Las aplicaciones pueden devolver esos datos durante solicitudes posteriores, permitiendo que los servidores de OpenAI los descifren y restauren el contexto sin exponer el texto directamente.

La compactación sirve para un propósito similar. Reduce conversaciones largas en elementos cifrados que conservan información útil. Xint descubrió que este proceso podía leer el razonamiento descifrado mientras seguía las instrucciones proporcionadas por el usuario de la API. Esa combinación creó la brecha.

Explotación del fallo de la API de OpenAI

Los investigadores primero enviaron acertijos matemáticos y de algoritmos a gpt-5.6-sol con store=False, conservando el encrypted_content devuelto. Luego eliminaron la tarea original y llamaron a /responses/compact, pidiéndole que preservara el razonamiento en lugar de resumirlo. Al eliminar la pregunta, redujeron la probabilidad de que el modelo resolviera el acertijo de nuevo.

El equipo solicitó un objeto JSON con un campo de “solución”, reemplazando los espacios por tabulaciones. Xint afirmó que este cambio de formato evadió los filtros de política de uso de OpenAI. Después, el equipo pasó la compactación cifrada resultante por separado a gpt-4.1 y gpt-4o, que repitieron su contenido como texto legible.

El ataque siguió la línea de la investigación Stolen Thoughts, que demostró que modelos más débiles podían exponer el razonamiento cifrado de modelos más fuertes. Anteriormente se informaron estas filtraciones de razonamiento oculto en las principales API de IA. Los proveedores introdujeron protecciones tras esa revelación.

Xint señaló que los controles de agosto de OpenAI bloqueaban la reproducción directa del razonamiento en otro modelo. La compactación evitó esa comprobación porque se ejecutaba en el modelo que originalmente produjo el razonamiento. Una vez copiado en un elemento de compactación, el contenido podía trasladarse a modelos más antiguos. El método funcionó en todos los niveles de esfuerzo de razonamiento probados.

Ambos modelos decodificadores devolvieron un texto idéntico. Sin embargo, Xint no pudo demostrar una coincidencia exacta con el razonamiento oculto original porque carecía del texto plano para compararlo. Un ejemplo contenía 405 tokens de razonamiento, una compactación de 612 tokens y 609 tokens en cada salida repetida.

El riesgo principal es la destilación no autorizada, donde otro modelo aprende de las salidas extraídas. Las trazas de razonamiento pueden proporcionar material de entrenamiento valioso porque incluyen intentos fallidos y correcciones, no solo las respuestas finales.

A diferencia del informe independiente sobre el escape del sandbox de OpenAI, este hallazgo se refería al acceso al razonamiento en lugar del uso del modelo sin autenticación. La demostración de Xint utilizó sus propias solicitudes, no las conversaciones de otro cliente. Su advertencia central es que cada función del lado del servidor que maneje razonamiento descifrado necesita protecciones equivalentes, incluso cuando su salida permanezca cifrada.