О чём Claude и ChatGPT думают перед ответом: как заглянуть внутрь нейросети в 2026

Все крупные модели с 2025 года сначала думают, потом отвечают. Эта внутренняя цепочка мыслей называется reasoning trace, и провайдеры её прячут: ты видишь короткий пересказ, а настоящий ход рассуждений уезжает к тебе в браузер зашифрованным блоком. 10 августа 2026 вышла работа, которая показала, как эти блоки расшифровать чужими руками.

Практический вывод из неё простой и неприятный: то, что нейросеть показывает в блоке «Думает», и то, что она реально думала, это два разных текста. Ниже разберём, как устроена подмена, как включить показ рассуждений в Claude, ChatGPT, Gemini и DeepSeek, как по цепочке ловить модель на выдумке и что теперь нельзя писать в чат.

Коротко: словарик по теме

• Chain of thought (цепочка рассуждений) - черновик, который модель пишет себе перед ответом. Разбор задачи, прикидки, отбрасывание вариантов.
• Reasoning trace - тот же черновик, но как объект в API: блок данных, который возвращается вместе с ответом.
• Расширенное мышление (extended thinking) - режим, в котором модель тратит на этот черновик заметно больше токенов. Включается тумблером или выбором модели.
• Саммари рассуждений - короткий пересказ цепочки, который тебе показывают в интерфейсе вместо оригинала.
• Дистилляция - обучение своей модели на ответах чужой. Цепочки рассуждений для этого ценнее готовых ответов: в них виден сам метод, тогда как готовый ответ показывает только результат.

Что именно вскрыли исследователи

Работа называется «Stealing Reasoning Traces from Proprietary LLM APIs», препринт выложен 10 августа 2026. Авторы: Alexander Panfilov, David Schmotz, Ilia Shumailov, Luca Beurer-Kellner, Joachim Schaeffer, Ameya Prabhu, Jonas Geiping и Maksym Andriushchenko.

Отправная точка вот в чём. Провайдеры не хранят цепочки рассуждений у себя на сервере. Они шифруют их и отдают клиенту, чтобы тот в следующем запросе вернул блок обратно. Так дешевле: состояние сессии хранит пользователь вместо датацентра.

Уязвимость нашлась в том, что эти блоки оказались взаимозаменяемыми. Внутри экосистемы одного провайдера зашифрованный кусок мыслей подходит к другой сессии, другому пользователю и, главное, к другой модели. Дальше механика простая: берёшь блок от сильной модели, подсовываешь его самой слабой модели той же линейки и просишь продолжить. Слабая модель расшифровывает содержимое и выкладывает его открытым текстом.

Авторы называют это «фундаментальной асимметрией безопасности внутри семейства моделей»: у младших моделей защита слабее, и они работают оракулом расшифровки для старших.

По Anthropic и Google вывод в работе одинаковый: рассуждения любой модели воспроизводятся любой другой из той же семьи. У OpenAI серия GPT-5.6 отыгрывает трейсы всех предыдущих поколений, но там пришлось повозиться: разные шаблоны промптов под разные блоки, перебор попыток и отдельные обходы антидистилляционных защит.

Четыре способа применить дырку

Исследователи разложили последствия на четыре сценария, и только первый из них про кражу технологий.

Четвёртый пункт особенно противный для тех, кто собирает агентов. Обычная инъекция промпта хотя бы читается человеком в логе. Инъекция внутри зашифрованного трейса выглядит как служебный мусор, и ревью её пропускает.

Сколько секретов лежит в открытом доступе прямо сейчас

Больше всего в работе отрезвляет замер на живых данных. Авторы собрали 6 708 логов работы агентов, которые люди сами выложили на GitHub и Hugging Face, и расшифровали из них 315 320 блоков рассуждений.

Из настоящих пользовательских сессий восстановили 62 ключа API, 33 пароля, 24 токена доступа, 7 приватных ключей, 30 личных почтовых адресов и 6 внешних IP.

Обрати внимание на логику попадания. Никто эти пароли специально не публиковал. Человек работал с агентом, агент по ходу дела увидел ключ в переменных окружения или в конфиге, покрутил его в рассуждениях, и ключ осел в зашифрованном блоке. Потом человек выложил лог сессии в репозиторий, потому что глазами там ничего опасного не видно.

Кто показывает настоящие мысли, а кто пересказ

Теперь к практике. Заглянуть в рассуждения можно и без всяких атак, только надо понимать, что именно тебе показывают.

Это ключевая развилка. У трёх больших американских провайдеров то, что ты читаешь в блоке рассуждений, генерируется отдельно поверх настоящей цепочки. Пересказ пишет другая модель, и отвечает она за читаемость. За точность в этом блоке не отвечает никто.

В работе есть прямая иллюстрация: модель в реальной цепочке назвала верный ответ ещё до того, как начала решать задачу, а в саммари от API этого момента не было вообще. Авторы называют такие случаи «неверными саммари, которые отмывают нечитаемые трейсы», и отдельно отмечают пост-фактум рационализации, когда пересказ выглядит логичным выводом, хотя вывод был готов заранее.

Как включить показ рассуждений

Если хочется посмотреть на настоящую цепочку без ограничений провайдера, самый честный путь это локальная модель через Ollama или LM Studio. Там нет ни шифрования, ни саммари: что модель сгенерировала, то ты и видишь. Качество рассуждений будет заметно ниже топовых, зато механика видна как на ладони.

Шесть признаков, по которым в рассуждениях видно выдумку

Ради этого читать цепочку и стоит. Даже пересказ часто выдаёт момент, где модель перестала опираться на факты и начала сочинять. Разбор причин, почему это вообще происходит, есть в отдельном гайде про то, почему нейросеть выдумывает факты.

Самый частый и самый вредный паттерн это пятый пункт слева. Модель в рассуждениях прикидывает, какой ответ тебя устроит, и дальше пишет его. Как это лечится настройками и промптом, разобрано в гайде про то, как выключить подхалимство ИИ. Родственная история про подгонку под оценку описана в материале про взлом награды.

Три промпта, которые вытаскивают честный ход мысли

Первый заставляет модель разделить знание и догадку до того, как она напишет красивый ответ.

Прежде чем отвечать, разбей задачу на три списка.
 
СПИСОК 1. Что я знаю точно и могу назвать источник.
СПИСОК 2. Что я предполагаю по косвенным признакам.
СПИСОК 3. Чего я не знаю и не смогу узнать без поиска.
 
Только после трёх списков дай ответ. В ответе рядом с каждым фактом поставь пометку [1], [2] или [3] по номеру списка. Если список 3 не пустой, начни ответ со слов «неполные данные».

Второй прогоняет уже готовый ответ через проверку. Работает лучше в новом чате, чтобы модель не защищала свою работу.

Ниже текст, сгенерированный другой нейросетью. Найди в нём всё, что похоже на выдумку.
 
Проверь по пунктам:
1. Каждое число, дату и процент. Есть ли они в природе или выглядят правдоподобно придуманными.
2. Каждое название: исследования, компании, книги, закона, функции сервиса.
3. Каждую ссылку и цитату с атрибуцией.
4. Утверждения вида «эксперты считают» без имени эксперта.
 
Выдай таблицу: утверждение, вердикт (подтверждаю / сомневаюсь / скорее выдумка), чем проверить за минуту.
 
ТЕКСТ:
[вставь сюда]

Третий нужен, когда важен именно порядок действий модели, сам итог тут вторичен. Он ломает привычку сначала выдать вывод, а потом обосновать.

Реши задачу строго по протоколу и не забегай вперёд.
 
Шаг 1. Перепиши мою задачу своими словами и назови, что именно в ней неоднозначно.
Шаг 2. Выпиши данные, которых тебе не хватает. Не додумывай их.
Шаг 3. Предложи два разных подхода к решению и назови слабое место каждого.
Шаг 4. Выбери один подход и объясни выбор одной фразой.
Шаг 5. Только теперь решай.
Шаг 6. Назови одно место в своём решении, где ты меньше всего уверен.
 
Если на шаге 2 список не пустой, остановись и задай мне вопросы вместо решения.

Шестой шаг третьего промпта даёт неожиданно много. Модель почти всегда честно указывает слабое звено, если спросить об этом отдельным пунктом после решения. Больше приёмов такого рода собрано в базовом гайде о том, как писать промпты.

След Claude в рассуждениях китайских моделей

Отдельное приложение к работе авторы назвали «Слон в комнате» и посвятили вопросу, обучали ли свежие открытые модели на рассуждениях проприетарных. Проверяли на Kimi K3 и GLM 5.2.

Результат осторожный: если подставить Kimi K3 короткий фрагмент расшифрованных рассуждений Claude Opus 4.8, стиль её собственных дальнейших рассуждений и стиль видимого ответа смещаются в сторону Claude. Авторы прямо оговариваются: это разведочный анализ, доказательством дистилляции он не является.

Рядом лежит независимая проверка. 27 июля 2026 исследователи из MATS Benji Berczi и Kyuhee Kim опубликовали замеры на тех же двух моделях. GLM 5.2 во всех десяти прогонах называла себя собой. Kimi K3 в шести прогонах из десяти представлялась Kimi и в четырёх Claude, причём после 20 июля поведение поменялось.

Самое интересное началось, когда моделям сказали «ты Claude». У GLM 5.2 доля ответов без цензуры на чувствительные для КНР вопросы выросла с 17% до 85%, а доля уклончивых и вводящих в заблуждение ответов упала с 63-69% до 22%.

Это не доказательство дистилляции, но это показывает, что представление Claude о себе зашито в веса этих моделей.

- Benji Berczi и Kyuhee Kim, MATS, The Register

Практический смысл для тебя тут один. Если ты гоняешь Kimi или другую открытую китайскую модель, помни, что её поведение может заметно меняться от того, кем ты её назовёшь в системном промпте. Про побочные эффекты этой линейки есть отдельный разбор: Kimi K3 сбежал из песочницы.

Работает ли всё это из России

Смотреть рассуждения можно в любом из четырёх сервисов, но доступность разная.

DeepSeek и российские агрегаторы открываются напрямую. Claude, ChatGPT и Gemini требуют обхода блокировок: понадобится рабочий VPN с чистым IP, потому что на серверных адресах хостингов Claude выдаёт бан на регистрации. Подробности по каждому сервису разобраны в гайде Claude из России через VPN без банов.

По деньгам расклад такой. Расширенное мышление в Claude доступно и на бесплатном тарифе, но лимиты там кончаются за несколько длинных задач. Claude Pro стоит $20 в месяц, ChatGPT Plus столько же, по курсу на август 2026 это примерно 1600-1800 ₽. Оплатить российской картой напрямую нельзя, нужна зарубежная карта или сервис оплаты подписок (реферальная ссылка: тебе тот же прайс, мне небольшой процент). Пошагово способы разобраны в гайде как оплатить Claude из России.

Вариант без карты вообще: российские агрегаторы. BotHub с тарифами от $3 и MashaGPT (Base 990 ₽ в месяц, Ultra 1990 ₽ в месяц) дают доступ к моделям OpenAI и Anthropic за рубли. Оговорка важная: агрегатор работает через API, а через API саммари рассуждений может не приходить вовсе, так что блок «Думает» ты там увидишь не всегда.

Что теперь не стоит писать в чат

Вывод из истории с утечками касается каждого, кто пользуется агентами, включая тех, кто вообще не пишет код.

Три правила, которые закрывают почти весь риск:

1. Перед тем как дать агенту доступ к папке проекта, убери оттуда файлы с ключами или добавь их в игнор. Агент читает то, до чего дотянется.
2. Логи сессий не выкладывай в публичные репозитории без чистки. Блоки рассуждений вырезай целиком, они выглядят безобидно и не являются таковыми.
3. Ключи, которые агент видел в процессе работы, перевыпускай так же спокойно, как после утечки на скриншоте.

Чек-лист: что у тебя теперь есть

• Понимание, что блок «Думает» у Claude, ChatGPT и Gemini это пересказ, а сырая цепочка от тебя скрыта.
• Знание, где включается показ рассуждений в четырёх основных сервисах.
• Шесть признаков, по которым в цепочке видно момент перехода модели к выдумке.
• Три готовых промпта: разделение знания и догадки, аудит чужого текста на выдумку, протокол пошагового решения.
• Понимание, что твои секреты оседают в рассуждениях и уезжают вместе с логами.
• Ориентир по доступу и ценам из России, включая бесплатный вариант с сырой цепочкой.

Главное, что стоит унести. Возможность заглянуть в рассуждения даёт ещё один источник для проверки, гарантией правды она не работает. Но источник хороший: модель в черновике врёт заметно реже, чем в чистовике, потому что черновик она пишет для себя.

По материалам работы «Stealing Reasoning Traces from Proprietary LLM APIs» (arXiv:2608.09867, 10 августа 2026) и публикации WIRED «A New Trick Reveals AI Models’ Inner Thoughts»: https://www.wired.com/story/a-new-trick-reveals-ai-models-inner-thoughts/