Un investigador afirma que 6 TB de registros de un router LLM chino expusieron credenciales empresariales

La denuncia del investigador de seguridad y cofundador de Fuzzland Chaofan Shou ha vuelto a situar un riesgo poco visible de la cadena de suministro de IA en primer plano: el intermediario que se interpone entre una aplicación y el proveedor del modelo.

Shou afirmó haber comprado cerca de 6 TB de datos de invocaciones de modelos, llamados «Fable», a uno de los principales routers LLM de China. En una publicación pública, sostuvo que el material incluía credenciales que podrían permitir acceder a sistemas asociados con siete entidades gubernamentales relacionadas con China o la CEI —la Comunidad de Estados Independientes— y 19 grandes empresas chinas. Entre los ejemplos citó a Huawei, Xiaomi, NIO y MiniMax. Se trata de una alegación, no de una brecha confirmada públicamente ni de una prueba de que las organizaciones nombradas hayan sido comprometidas. 11

Qué credenciales dice haber encontrado

Según el relato de Shou y la cobertura posterior, el conjunto de datos contenía información sensible que usuarios habían enviado a través del relay, entre ella:

• claves privadas SSH;
• configuraciones VPN;
• credenciales de Alibaba Cloud, también conocida como Aliyun;
• tokens de GitLab. 113

Estas credenciales pueden tener consecuencias graves si siguen activas, están correctamente atribuidas y disponen de permisos amplios. Sin embargo, la información pública disponible no permite determinar si esos secretos seguían siendo válidos cuando Shou los obtuvo, si ya habían sido revocados o qué nivel de acceso concedían realmente.

Por qué un router LLM puede convertirse en un punto de acumulación de secretos

Un router, relay o proxy LLM se sitúa entre una aplicación o agente y el proveedor del modelo. Por su diseño, el intermediario puede acceder al contenido completo de solicitudes y respuestas en texto claro: prompts, contexto del agente, argumentos de llamadas a herramientas y resultados generados por el modelo.

Los autores de Your Agent Is Mine, trabajo del que Shou es coautor, describen estos routers como proxies de capa de aplicación con acceso en texto claro a las cargas JSON en tránsito. El estudio también señala que el ecosistema no impone integridad criptográfica entre el cliente y el modelo de origen. 27

La vía de exposición es directa: un desarrollador puede entregar a un agente de programación una clave privada, un archivo .env, una clave de nube, un perfil VPN o una configuración de despliegue para diagnosticar o automatizar una tarea. Si ese agente usa un relay externo, el secreto puede viajar como parte del contexto de la solicitud.

El peligro no depende únicamente de que el operador del router recopile datos deliberadamente. Un registro excesivo, controles de acceso deficientes, una intrusión en el relay o la distribución posterior de logs almacenados pueden transformar el historial de prompts en un archivo concentrado de credenciales reutilizables.

El riesgo no es solo observar: también puede haber manipulación

La afirmación sobre los 6 TB encaja con una preocupación arquitectónica más amplia, aunque no demuestra una conducta indebida por parte del router mencionado por Shou.

En Your Agent Is Mine, los investigadores analizaron ataques de intermediarios maliciosos en cadenas de suministro de agentes LLM. Su conclusión central es que un router con visibilidad sobre el tráfico podría hacer más que recopilar datos: potencialmente podría modificar respuestas del modelo o el contenido de llamadas a herramientas antes de que un agente las ejecute. 27

Para los equipos que emplean agentes autónomos o semiautónomos, la diferencia importa:

• Exposición pasiva: secretos incluidos en prompts, trazas o argumentos de herramientas pueden acabar en los registros del router.
• Manipulación activa: un intermediario podría intentar reescribir una respuesta o llamada a una herramienta y alterar la siguiente acción del agente.
• Abuso de credenciales: una ruta comprometida o maliciosa podría exponer los secretos presentes en el contexto del agente o influir en cómo este los utiliza.

La investigación establece que existe esa superficie de ataque en el enrutamiento LLM de terceros. No valida de manera independiente el origen, la integridad ni el contenido del posterior conjunto de datos de 6 TB. 27

Qué sigue sin verificarse

Conviene mantener clara la frontera entre la denuncia y los hechos comprobados. El material público no establece de forma independiente:

• que el conjunto de aproximadamente 6 TB sea auténtico, completo o proceda del router alegado;
• la identidad del operador del relay, ni si vendió los datos conscientemente o si sufrió una sustracción externa;
• cuándo se recopilaron los datos, cuánto tiempo se conservaron o cómo se trataron;
• si las credenciales estaban activas, se asociaban correctamente con las entidades citadas o tenían privilegios suficientes para el acceso descrito;
• que Shou utilizara alguna credencial, accediera a sistemas o lograra una intrusión; ni
• confirmaciones o respuestas oficiales de Huawei, Xiaomi, NIO, MiniMax, las entidades gubernamentales relacionadas o el operador del relay. 113

Por ello, que una organización esté «vinculada» debe entenderse como que sus credenciales presuntamente aparecían en el conjunto de datos, no como la confirmación de que sufrió una brecha.

Medidas para organizaciones que usan proxies LLM

La lección práctica no depende de que esta denuncia concreta se confirme. Cualquier intermediario externo que reciba tráfico de agentes debe evaluarse como una parte privilegiada del perímetro de seguridad.

1. No incluir secretos en prompts ni en el contexto del agente

No pegues claves privadas, archivos VPN, claves de acceso a la nube, tokens, archivos .env ni configuraciones de producción en los prompts. Implanta controles en el cliente o en una pasarela interna para detectar, bloquear o censurar posibles secretos antes de que una solicitud salga de la organización.

2. Sustituir credenciales reutilizables por accesos temporales y acotados

Proporciona a las herramientas credenciales de alcance limitado y corta duración, obtenidas cuando se necesiten desde un gestor de secretos o un sistema de identidad de carga de trabajo. Un token temporal con permisos mínimos reduce el impacto de que se exponga una traza de agente o un log del router.

3. Rotar credenciales ante una posible exposición a un proxy

Haz inventario de los relays y proxies que emplean desarrolladores, asistentes de programación y agentes. Si una credencial sensible pudo atravesar un intermediario no confiable o desconocido, rótala y revisa los registros de auditoría de SSH, VPN, GitLab y los servicios de nube en busca de actividad anómala.

4. Priorizar rutas directas o pasarelas internas bajo control propio

Siempre que sea posible, conecta directamente con el proveedor del modelo o utiliza una pasarela interna controlada por la organización. Si resulta necesario un relay de terceros o dirigido al mercado chino, evalúa su propiedad, prácticas de residencia de datos, subencargados, controles de seguridad, condiciones de notificación de incidentes y compromisos sobre registro, entrenamiento, venta y reutilización secundaria de datos de clientes.

5. Limitar lo que los agentes pueden ejecutar

Exige aprobación explícita para operaciones sensibles, usa listas permitidas de herramientas y destinos, y vigila cambios inesperados en la identidad del modelo, el formato de las respuestas, los esquemas de herramientas o las llamadas salientes. Estas medidas reducen el impacto de una posible manipulación en la ruta de respuesta descrita por la investigación sobre intermediarios. 27

6. Proteger los logs de agentes como secretos de producción

Desactiva el registro de contenido cuando sea viable. Si los logs son necesarios, elimina secretos antes de almacenarlos, cifra la información, restringe el acceso, fija plazos de retención breves y documentados, y evita exportaciones sin control. Los argumentos de herramientas y las trazas de agentes merecen la misma protección que el código fuente, las credenciales y la configuración de producción.

En resumen

El relato de Shou sobre los 6 TB debe tratarse como una alegación no verificada, pero seria. La enseñanza más duradera es arquitectónica: un router LLM no es una simple tubería neutral cuando puede leer los prompts, las credenciales, las entradas de herramientas y las respuestas que lo atraviesan. Las organizaciones que despliegan agentes de IA deberían asumir que cada relay externo amplía su base de confianza y diseñar, en consecuencia, controles de higiene de prompts, gestión de credenciales, registro y ejecución. 1127