טענה על 6 טרה־בייט של לוגי LLM מעלה חשש לדליפת מפתחות ארגוניים

הטענה של חוקר האבטחה ומייסד־השותף של Fuzzland, צ'אופאן שו, מפנה זרקור לסיכון שלעתים נשכח בשרשרת האספקה של בינה מלאכותית: המתווך שבין היישום לבין ספק מודל השפה.

שו כתב כי רכש כ־6 טרה־בייט של נתוני הפעלות מודל בשם „Fable” מאחד מנתבי ה־LLM המובילים בסין. לטענתו, הנתונים כללו פרטי גישה שעשויים לאפשר גישה למערכות המשויכות לשבעה גופים ממשלתיים הקשורים לסין או למדינות חבר העמים ול־19 חברות סיניות גדולות; הוא הזכיר בין היתר את Huawei, Xiaomi, NIO ו־MiniMax. זו טענה, ולא פריצה שאומתה פומבית או אישור לכך שאחד הארגונים שנזכרו נפגע. 11

אילו פרטי גישה נטען שנמצאו בלוגים

לפי דבריו של שו ודיווחים שהתפרסמו לאחר מכן, המאגר כלל מידע רגיש שמשתמשים שלחו דרך שירות התיווך, ובהם:

• מפתחות פרטיים של SSH
• קובצי תצורה של VPN
• פרטי גישה ל־Alibaba Cloud, המכונה גם Aliyun
• אסימוני GitLab 113

סוגי האישורים האלה עלולים להיות בעלי השלכות כבדות אם הם עדיין תקפים, משויכים נכונה לבעליהם ומקנים הרשאות רחבות. עם זאת, הדיווחים הזמינים אינם קובעים אם הסודות היו פעילים במועד רכישת הנתונים, אם כבר בוטלו, או אם אכן אפשרו את הגישה שתיאר שו.

מדוע נתב LLM עשוי להפוך לנקודת איסוף של סודות

נתב, ממסר או פרוקסי של LLM יושב בין אפליקציה או סוכן AI לבין ספק המודל במעלה השרשרת. בתצורה כזו המתווך עשוי לקבל גישה מלאה לבקשות ולתשובות בטקסט גלוי: פרומפטים, הקשר של הסוכן, ארגומנטים של קריאות לכלים ופלטי המודל.

מחברי המחקר Your Agent Is Mine, שבו שו נמנה עם הכותבים, מתארים נתבים כאלה כפרוקסים בשכבת היישום עם גישה גלויה למטעני JSON העוברים דרכם. לפי המחקר, באקוסיסטם אין מנגנון אכוף של שלמות קריפטוגרפית בין הלקוח למודל שבמעלה השרשרת. 27

מכאן נוצר נתיב חשיפה פשוט: מהנדס עשוי לתת לסוכן תכנות מפתח פרטי, קובץ .env, מפתח ענן, פרופיל VPN או תצורת פריסה כדי שיאבחן תקלה או יבצע אוטומציה. אם הסוכן משתמש בממסר חיצוני, אותו ממסר עשוי לקבל את הסוד כחלק מהקשר הבקשה.

הסיכון אינו מוגבל למפעיל נתב שאוסף מידע בכוונה. רישום יתר של נתונים, בקרות גישה חלשות, פריצה לממסר או הפצה משנית של לוגים שמורים — כל אלה עלולים להפוך היסטוריית פרומפטים לארכיון מרוכז של פרטי גישה שניתן לעשות בהם שימוש חוזר.

לא רק צפייה: גם חשש לשיבוש תעבורה

טענת ה־6 טרה־בייט תואמת חשש ארכיטקטוני רחב יותר, אך אינה מוכיחה התנהלות פסולה מצד הנתב שאליו התייחס שו.

במחקר Your Agent Is Mine בחנו החוקרים התקפות של מתווכים זדוניים בשרשרת האספקה של סוכני LLM. המסקנה המרכזית היא שנתב שרואה את התעבורה עשוי לא רק לאסוף נתונים, אלא גם לנסות לשנות תשובות של המודל או תוכן של קריאות לכלים לפני שהסוכן מבצע אותן. 27

ההבחנה הזו חשובה במיוחד לצוותים המפעילים סוכנים אוטונומיים או חצי־אוטונומיים:

• חשיפה פסיבית: סודות המוטמעים בפרומפטים, עקבות פעולה או ארגומנטים לכלים עלולים להילכד בלוגים של הנתב.
• שיבוש אקטיבי: מתווך עלול לנסות לשכתב תשובה או קריאה לכלי, וכך לשנות את הפעולה הבאה של הסוכן.
• ניצול אישורים: נתיב שנפרץ או פועל בזדון עלול לחשוף פרטי גישה שנכללו בהקשר הסוכן, או להשפיע על הדרך שבה הסוכן משתמש בהם.

המחקר מצביע על משטח התקיפה של תיווך LLM בידי צד שלישי. הוא אינו מאמת באופן עצמאי את המקור, השלמות או התוכן של טענת מאגר ה־6 טרה־בייט. 27

מה עדיין לא אומת

חשוב להבחין בבירור בין הטענה לבין עובדות שאומתו. מהחומרים הפומביים לא ניתן לקבוע באופן עצמאי:

• שהמאגר בהיקף של כ־6 טרה־בייט אותנטי, מלא ומקורו בנתב ששו תיאר;
• מיהו מפעיל הממסר, והאם מכר מידע ביודעין או סבל מגניבת נתונים חיצונית;
• מתי נאסף המידע, כמה זמן נשמר ואיך טופל;
• שהאישורים היו פעילים, שויכו נכונה לארגונים שנזכרו או העניקו הרשאות מספקות לגישה הנטענת;
• ששו השתמש באישורים, נכנס למערכות או שבוצעה חדירה מוצלחת כלשהי; או
• שקיימים אישורים רשמיים או תגובות של Huawei, Xiaomi, NIO, MiniMax, הגופים הממשלתיים או מפעיל הנתב. 113

לכן, הביטוי „מקושרים ל־” צריך להיקרא כ־„הופיעו לכאורה במאגר”, ולא כאישור לכך שחברה או גוף ממשלתי נפגעו בפריצה.

מה ארגונים המשתמשים בפרוקסי LLM צריכים לעשות

הלקח המעשי אינו תלוי בשאלה אם הטענה הספציפית תאומת. כל מתווך חיצוני שמקבל תעבורת סוכנים צריך להיחשב חלק בעל הרשאות גבוהות מגבול האבטחה של הארגון.

1. לא להעביר סודות בפרומפטים או בהקשר של סוכן

אין להדביק בפרומפטים מפתחות פרטיים, קובצי VPN, מפתחות גישה לענן, אסימוני גישה, קובצי .env או תצורת ייצור. כדאי להוסיף בדיקות בצד הלקוח או בשער פנימי שיזהו ויחסמו — או ישחירו — סודות אפשריים לפני שהבקשה יוצאת מהארגון.

2. להחליף אישורים לשימוש חוזר בגישה קצרת־חיים ומצומצמת

יש לספק לכלים אישורים קצרי־תוקף ובעלי היקף הרשאות מינימלי, הנשלפים בעת הצורך ממנהל סודות או ממערכת זהות לעומסי עבודה. אסימון קצר־חיים מצמצם את הנזק גם אם עקבת סוכן או לוג נתב נחשפים.

3. לבצע סבב החלפה לאחר חשד לחשיפה דרך פרוקסי

יש למפות את כל הממסרים והפרוקסים שבהם משתמשים מפתחים, עוזרי קוד וסוכנים. אם אישור רגיש עשוי היה לעבור דרך מתווך בלתי מהימן או לא מוכר, יש להחליף אותו ולבדוק לוגי ביקורת של SSH, VPN, GitLab ושירותי ענן לאיתור פעילות חריגה.

4. להעדיף חיבור ישיר או שער פנימי בשליטת הארגון

ככל האפשר, יש להתחבר ישירות לספק המודל או להשתמש בשער פנימי בשליטת הארגון. אם נדרש ממסר צד שלישי או ממסר הפונה לשוק הסיני, יש לבחון את הבעלות עליו, מדיניות מיקום הנתונים, ספקי משנה, בקרות האבטחה, תנאי דיווח על אירועים והתחייבויות בנוגע לרישום, אימון על נתוני לקוחות, מכירה ושימוש משני במידע.

5. להגביל פעולות שהסוכנים רשאים לבצע

יש לדרוש אישור מפורש לפעולות רגישות, להגדיר רשימות מורשות של כלים ויעדים, ולנטר שינויים לא צפויים בזהות המודל, בתבנית התשובה, בסכמות הכלים או בקריאות יוצאות לכלים. צעדים אלה מצמצמים את הפגיעה האפשרית משיבוש נתיב התשובה שתואר במחקר. 27

6. להתייחס ללוגי סוכנים כאל סודות ייצור

כדאי לבטל רישום של תוכן כשאפשר. כאשר נדרשים לוגים, יש להשחיר סודות לפני השמירה, להצפין את הנתונים, להגביל בקפדנות את הגישה, לקבוע תקופות שמירה קצרות ומתועדות ולמנוע ייצוא בלתי מבוקר. ארגומנטים לכלים ועקבות פעילות של סוכנים ראויים לאותה הגנה כמו קוד מקור, פרטי גישה ותצורת ייצור.

השורה התחתונה

יש להתייחס לטענת ה־6 טרה־בייט של שו כאל טענה חמורה אך בלתי מאומתת. הלקח העמיד יותר הוא ארכיטקטוני: נתב LLM אינו רק „צינור” ניטרלי כאשר הוא מסוגל לקרוא את הפרומפטים, האישורים, קלטי הכלים והתשובות העוברים דרכו. ארגונים שמטמיעים סוכני AI צריכים להניח שכל ממסר חיצוני מרחיב את בסיס האמון שלהם — ולתכנן בהתאם היגיינת פרומפטים, ניהול אישורים, רישום ובקרות ביצוע. 1127