Исследователь заявил о 6 ТБ логов китайского LLM-роутера с корпоративными ключами

Заявление исследователя безопасности и сооснователя Fuzzland Чаофаня Шоу привлекло внимание к риску, который легко недооценить при внедрении ИИ: к стороннему роутеру, или посреднику, между приложением и поставщиком языковой модели.

Шоу сообщил, что приобрёл примерно 6 ТБ данных вызовов моделей из набора, названного им «Fable», у одного из крупных китайских LLM-роутеров. По его словам, в данных оказались учётные данные, которые могли бы дать доступ к системам, связанным с семью государственными структурами Китая и стран СНГ, а также с 19 крупными китайскими компаниями. В качестве примеров он назвал Huawei, Xiaomi, NIO и MiniMax. Это заявление исследователя, а не публично подтверждённая утечка или установленный факт компрометации перечисленных организаций. 11

Какие данные, по словам Шоу, были в логах

Согласно публикации Шоу и последующим сообщениям, в наборе могли находиться чувствительные данные, переданные пользователями через посредника:

• приватные SSH-ключи;
• конфигурации VPN;
• учётные данные Alibaba Cloud (Aliyun);
• токены GitLab. 113

Такие данные особенно опасны, если они ещё действуют, правильно привязаны к организации и имеют широкие права доступа. Однако из доступных публикаций нельзя сделать вывод, были ли ключи рабочими на момент получения набора, успели ли их отозвать и действительно ли они обеспечивали заявленный Шоу уровень доступа.

Почему LLM-роутер может стать точкой сбора секретов

LLM-роутер, relay или прокси-сервис находится между приложением либо ИИ-агентом и исходным поставщиком модели. Такая архитектура может давать посреднику доступ к полному содержимому запросов и ответов в открытом виде: промптам, контексту агента, аргументам вызова инструментов и ответам модели.

Авторы работы Your Agent Is Mine, среди которых есть Шоу, описывают такие роутеры как прокси прикладного уровня с доступом к передаваемым JSON-пакетам в открытом виде. Авторы также указывают, что в этой экосистеме нет принудительного криптографического контроля целостности данных между клиентом и исходной моделью. 27

На практике риск выглядит просто. Разработчик может передать ИИ-агенту приватный ключ, файл .env, облачный ключ, VPN-профиль или конфигурацию развёртывания — например, чтобы агент диагностировал проблему или автоматизировал задачу. Если агент работает через внешний relay, этот секрет может оказаться в контексте запроса, который видит посредник.

Проблема не обязательно означает намеренный сбор данных оператором роутера. В централизованный архив пригодных для повторного использования учётных данных могут превратить и чрезмерное логирование, и слабый контроль доступа, и взлом посредника, и дальнейшее распространение сохранённых журналов.

Риск не только в наблюдении, но и в подмене

Заявление о 6 ТБ согласуется с более широкой архитектурной проблемой, но само по себе не доказывает неправомерных действий со стороны упомянутого роутера.

В работе Your Agent Is Mine исследователи изучали атаки со стороны вредоносных посредников в цепочке поставки LLM-агентов. Их ключевой вывод: роутер, который видит трафик, потенциально способен не только собирать данные, но и менять ответы модели или содержимое вызовов инструментов до того, как агент их выполнит. 27

Для команд, использующих автономных или полуавтономных агентов, это означает три класса угроз:

• Пассивная утечка: секреты в промптах, трассировках и аргументах инструментов могут попасть в журналы роутера.
• Активная подмена: посредник может попытаться переписать ответ модели или вызов инструмента, изменив последующие действия агента.
• Злоупотребление учётными данными: скомпрометированный или вредоносный маршрут способен раскрыть секреты из контекста агента либо повлиять на их использование.

Исследование подтверждает существование этой поверхности атаки у сторонней LLM-маршрутизации. Но оно не подтверждает независимо происхождение, полноту или содержание набора данных объёмом 6 ТБ, о котором позднее сообщил Шоу. 27

Что пока не подтверждено

Важно не стирать границу между заявлением и установленными фактами. Публичные материалы не подтверждают независимо:

• что набор объёмом около 6 ТБ подлинный, полный и действительно получен от заявленного роутера;
• кто был оператором посредника и продавал ли он данные намеренно либо они были похищены третьей стороной;
• когда именно собирались логи, как долго они хранились и как с ними обращались;
• были ли учётные данные действующими, корректно ли они связаны с названными организациями и давали ли достаточно широкие права;
• использовал ли Шоу эти данные, получал ли доступ к системам и имело ли место успешное проникновение;
• были ли официальные подтверждения или комментарии от Huawei, Xiaomi, NIO, MiniMax, затронутых государственных структур или оператора relay. 113

Поэтому формулировку «связанные с организацией» следует понимать только как якобы присутствовавшие в наборе данных, а не как подтверждение взлома компании или государственного органа.

Что делать организациям, использующим LLM-прокси

Практический вывод не зависит от того, будет ли именно это заявление окончательно подтверждено. Любого внешнего посредника, через которого проходит трафик агента, следует считать привилегированной частью периметра безопасности.

1. Не передавать секреты в промптах и контексте агента

Не вставляйте в запросы приватные ключи, VPN-файлы, облачные ключи доступа, токены, .env-файлы и конфигурации production-среды. На клиенте или во внутреннем шлюзе стоит внедрить проверку, блокировку либо маскирование вероятных секретов до отправки запроса за пределы организации.

2. Заменить постоянные ключи короткоживущими и ограниченными правами

Инструменты должны получать минимально необходимые, ограниченные по области действия и сроку жизни учётные данные по запросу — из менеджера секретов или системы идентификации рабочих нагрузок. Это снижает ущерб, если трассировка агента или лог роутера станет доступен посторонним.

3. Ротировать данные доступа при подозрении на прохождение через прокси

Составьте перечень relay и прокси, которыми пользуются разработчики, кодовые ассистенты и агенты. Если чувствительные данные могли пройти через непроверенного или неизвестного посредника, их следует заменить и проверить журналы SSH, VPN, GitLab и облачного провайдера на предмет аномальной активности.

4. Предпочитать прямое подключение или внутренний шлюз

По возможности подключайтесь напрямую к поставщику модели либо используйте внутренний gateway под контролем организации. Если сторонний или ориентированный на китайский рынок relay необходим, оцените его владельца, правила размещения данных, субподрядчиков, меры защиты, условия уведомления об инцидентах и обязательства по логированию, обучению моделей на данных клиентов, продаже и вторичному использованию этих данных.

5. Ограничить действия, которые агент может выполнять

Для чувствительных операций требуется явное подтверждение. Полезны также белые списки инструментов и адресатов, а также мониторинг неожиданных изменений в идентификаторе модели, формате ответа, схемах инструментов и исходящих вызовах. Это помогает уменьшить последствия потенциальной подмены на пути ответа, описанной в исследовании посреднических атак. 27

6. Защищать логи агентов как production-секреты

Если возможно, отключайте логирование содержимого. Когда журналы необходимы, маскируйте секреты до записи, шифруйте данные, жёстко ограничивайте доступ, устанавливайте короткие и документированные сроки хранения и исключайте неконтролируемый экспорт. Аргументы инструментов и трассировки агентов требуют той же защиты, что исходный код, учётные данные и конфигурации production-систем.

Главное

Сообщение Шоу о 6 ТБ данных следует рассматривать как неподтверждённое, но серьёзное заявление. Его наиболее устойчивый вывод — архитектурный: LLM-роутер не является нейтральной «трубой», если он может читать промпты, учётные данные, входные данные инструментов и ответы, проходящие через него. Организациям, внедряющим ИИ-агентов, стоит исходить из того, что каждый внешний relay расширяет доверенную вычислительную базу, — и соответствующим образом выстраивать работу с промптами, ключами, логами и правами на выполнение действий. 1127