Onderzoeker: 6 TB aan logs van Chinese LLM-router bevatte mogelijk gevoelige bedrijfsgegevens

De bewering van beveiligingsonderzoeker en Fuzzland-medeoprichter Chaofan Shou vestigt de aandacht op een vaak onderschat risico in de AI-keten: de externe router tussen een applicatie en een LLM-aanbieder.

Shou zegt dat hij ongeveer 6 TB aan zogeheten ‘Fable’-modelaanroepdata heeft gekocht van een vooraanstaande Chinese LLM-router. Volgens zijn openbare bericht bevatte die data inloggegevens waarmee toegang mogelijk zou zijn tot systemen die verband houden met zeven Chinese/CIS-overheidsgerelateerde instanties en negentien grote Chinese bedrijven. Hij noemde onder meer Huawei, Xiaomi, NIO en MiniMax. Dit is een bewering, geen publiek geverifieerd datalek en ook geen bevestiging dat een van de genoemde organisaties is gecompromitteerd. 11

Welke gegevens zouden in de logs hebben gestaan?

Volgens Shou en latere berichtgeving bevatte de dataset gevoelige gegevens die gebruikers via de tussenpartij hadden verstuurd, waaronder:

• SSH-privésleutels;
• VPN-configuraties;
• toegangsgegevens voor Alibaba Cloud, ook bekend als Aliyun;
• GitLab-tokens. 113

Dergelijke gegevens kunnen ernstige gevolgen hebben als ze nog geldig zijn, correct aan een organisatie zijn gekoppeld en ruime rechten hebben. De beschikbare berichtgeving toont echter niet aan of de sleutels en tokens nog actief waren, al waren ingetrokken of werkelijk de toegang boden die Shou beschreef.

Waarom een LLM-router een verzamelpunt voor geheimen kan worden

Een LLM-router, relay of proxy zit tussen een applicatie of AI-agent en de modelaanbieder. Daardoor kan die tussenpartij de volledige inhoud van verzoeken en antwoorden in leesbare vorm verwerken: prompts, agentcontext, argumenten van tool-aanroepen en modeluitvoer.

De auteurs van Your Agent Is Mine, waaraan Shou meeschreef, beschrijven zulke routers als proxies op applicatieniveau met toegang tot JSON-gegevens die onderweg zijn. Volgens het onderzoek ontbreekt in het ecosysteem bovendien afgedwongen cryptografische integriteit tussen de cliënt en het bovenliggende model. 27

De blootstellingsroute is eenvoudig. Een ontwikkelaar geeft een AI-codeagent bijvoorbeeld een privésleutel, .env-bestand, cloudsleutel, VPN-profiel of uitrolconfiguratie om een taak te onderzoeken of te automatiseren. Werkt die agent via een externe relay, dan kan die relay dat geheim als onderdeel van de context ontvangen.

Het risico beperkt zich dus niet tot een routerbeheerder die doelbewust data verzamelt. Ook overmatige logging, gebrekkige toegangsbeveiliging, een inbraak bij de relay of verdere verspreiding van opgeslagen logs kunnen promptgeschiedenis veranderen in een geconcentreerd archief met herbruikbare toegangsgegevens.

Niet alleen meekijken, maar mogelijk ook manipuleren

De claim over 6 TB past bij een breder architectuurrisico, maar bewijst geen wangedrag door de router waar Shou naar verwijst.

In Your Agent Is Mine onderzochten de auteurs aanvallen door kwaadaardige tussenpersonen in de toeleveringsketen van LLM-agents. Hun kernpunt: een router die verkeer kan zien, kan mogelijk meer doen dan data verzamelen. Zo zou die modelantwoorden of inhoud van tool-aanroepen kunnen wijzigen voordat een agent die uitvoert. 27

Voor teams met autonome of semi-autonome agents zijn er drie relevante risico's:

• Passieve blootstelling: geheimen in prompts, traces of toolargumenten kunnen in routerlogs belanden.
• Actieve manipulatie: een tussenpartij kan proberen een antwoord of tool-aanroep te herschrijven, met mogelijk andere acties van een agent als gevolg.
• Misbruik van toegangsgegevens: een gecompromitteerde of kwaadwillende route kan credentials uit agentcontext blootleggen of het gebruik ervan door een agent beïnvloeden.

Het onderzoek toont de aanvalsvector van externe LLM-routing aan. Het verifieert niet onafhankelijk de herkomst, volledigheid of inhoud van de later geclaimde dataset van 6 TB. 27

Wat is nog niet bevestigd?

De bewijslast heeft duidelijke grenzen. Publiek beschikbare informatie stelt niet onafhankelijk vast:

• dat de dataset van circa 6 TB authentiek en volledig is, of werkelijk van de genoemde router afkomstig was;
• wie de relay beheerde, en of die partij bewust data verkocht of zelf slachtoffer werd van datadiefstal;
• wanneer de gegevens zijn verzameld, hoe lang ze zijn bewaard en hoe ze zijn behandeld;
• of de aangetroffen gegevens nog geldig waren, juist aan de genoemde organisaties waren gekoppeld en voldoende rechten boden;
• dat Shou credentials heeft gebruikt, systemen heeft benaderd of dat een inbraak is geslaagd;
• dat Huawei, Xiaomi, NIO, MiniMax, overheidsgerelateerde instanties of de routerbeheerder officiële bevestigingen of reacties hebben gegeven. 113

De term ‘gekoppeld aan’ moet daarom worden gelezen als: zou in de dataset zijn aangetroffen. Het is geen bevestiging dat een bedrijf of overheidsinstantie slachtoffer is geworden van een inbreuk.

Wat organisaties die LLM-proxy's gebruiken nu kunnen doen

De praktische les hangt niet af van de vraag of deze specifieke bewering uiteindelijk wordt bevestigd. Elke externe tussenpartij die agentverkeer ontvangt, hoort binnen de beveiligingsgrens als een bevoorrechte leverancier te worden beoordeeld.

1. Houd geheimen uit prompts en agentcontext

Plak geen privésleutels, VPN-bestanden, cloudtoegangssleutels, toegangstokens, .env-bestanden of productieconfiguratie in prompts. Voeg controles toe aan de client of een interne gateway die vermoedelijke geheimen detecteren en blokkeren of redigeren voordat een verzoek de organisatie verlaat.

2. Vervang herbruikbare credentials door tijdelijke, beperkt geldige toegang

Geef tools zo beperkt mogelijke, kortlopende toegangsrechten die alleen worden opgehaald wanneer nodig, bijvoorbeeld via een secretsmanager of workload identity. Een tijdelijk token met minimale rechten beperkt de schade als een agenttrace of routerlog uitlekt.

3. Roteer credentials na mogelijke blootstelling via een proxy

Breng in kaart welke relays en proxy's ontwikkelaars, codeassistenten en agents gebruiken. Als gevoelige gegevens via een onbekende of niet-vertrouwde tussenpartij kunnen zijn verstuurd, roteer ze dan en controleer auditlogs van SSH, VPN, GitLab en cloudomgevingen op afwijkend gedrag.

4. Kies waar mogelijk voor directe of intern beheerde routes

Maak indien mogelijk rechtstreeks verbinding met de modelaanbieder, of gebruik een interne gateway die de organisatie zelf beheert. Is een externe of op China gerichte relay noodzakelijk, beoordeel dan eigendom, datalocatie, subverwerkers, beveiligingsmaatregelen, voorwaarden voor incidentmelding en afspraken over logging, training, verkoop en ander secundair gebruik van klantdata.

5. Beperk wat agents mogen uitvoeren

Vraag expliciete goedkeuring voor gevoelige handelingen, werk met toegestane lijsten van tools en bestemmingen, en bewaak onverwachte wijzigingen in modelidentiteit, antwoordformaat, toolschema's of uitgaande tool-aanroepen. Daarmee wordt de mogelijke impact van manipulatie van het antwoordpad, zoals beschreven in het onderzoek, kleiner. 27

6. Behandel agentlogs als productiegeheimen

Schakel inhoudelijke logging uit waar dat kan. Als logs nodig zijn, verwijder dan geheimen vóór opslag, versleutel de gegevens, beperk toegang strikt, hanteer korte en vastgelegde bewaartermijnen en voorkom ongecontroleerde export. Toolargumenten en agenttraces verdienen dezelfde bescherming als broncode, credentials en productieconfiguratie.

Conclusie

Shou's verhaal over 6 TB aan data moet worden beschouwd als een ernstige, maar onbevestigde bewering. De blijvende les is vooral architectonisch: een LLM-router is geen neutrale doorvoerbuis zodra die prompts, toegangsgegevens, toolinvoer en antwoorden kan lezen. Organisaties die AI-agents inzetten, doen er goed aan elke externe relay te zien als een uitbreiding van hun vertrouwde beveiligingsbasis — en promptdiscipline, credentialbeheer, logging en uitvoeringscontroles daarop in te richten. 1127