AnswersPublished13 sources
Forskare: 6 TB loggar från kinesisk LLM-router kan ha exponerat nycklar
Chaofan Shou hävdar att omkring 6 TB loggdata från en kinesisk LLM router innehöll SSH nycklar, VPN konfigurationer, Aliyun uppgifter och GitLab token – uppgifter som påstås vara kopplade till 19 företag och sju kines... En LLM router kan läsa okrypterade promptar, verktygsanrop och svar.
Publicerad avRedigerad med GPT-5.6 TerraBilder genererade med GPT Image 2
Research answer
Key takeaways
- Chaofan Shou hävdar att omkring 6 TB loggdata från en kinesisk LLM router innehöll SSH nycklar, VPN konfigurationer, Aliyun uppgifter och GitLab token – uppgifter som påstås vara kopplade till 19 företag och sju kines...
- En LLM router kan läsa okrypterade promptar, verktygsanrop och svar. Därmed kan den bli en koncentrationspunkt för hemligheter som utvecklare lägger i agenters kontext.
- Det finns ingen oberoende bekräftelse av datasetets ursprung, vilka uppgifter som fortfarande var giltiga eller att något angrepp faktiskt genomfördes.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What did security researcher Chaofan Shou, co-founder of Fuzzland, claim after purchasing roughly 6TB of model-invocation logs from a Chines. Article summary: Shou’s account is a serious supply-chain-risk allegation, not a verified breach report. He said that about 6 TB of “Fable” model-invocation data bought from a leading Chinese LLM router contained secrets sufficient to ac. Topic tags: general, general web, user generated, academic. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, char
Säkerhetsforskaren och Fuzzland-medgrundaren Chaofan Shou uppger att han köpt omkring 6 TB så kallad ”Fable”-data med modellanrop från en ledande kinesisk LLM-router. Enligt Shou innehöll materialet inloggningsuppgifter som skulle kunna ge åtkomst till system kopplade till sju kinesiska/CIS-relaterade myndighetsaktörer och 19 stora kinesiska företag. Han nämnde bland annat Huawei, Xiaomi, NIO och MiniMax. Det är ett påstående – inte en offentligt verifierad dataläcka eller ett bekräftat intrång hos någon av de namngivna organisationerna. 11
Vilka uppgifter ska ha funnits i loggarna?
Enligt Shou och efterföljande rapportering omfattade materialet känsliga data som användare hade skickat via mellanhanden:
- privata SSH-nycklar
- VPN-konfigurationer
- inloggningsuppgifter till Alibaba Cloud, även kallat Aliyun
- GitLab-token
11
3
Sådana uppgifter kan få stora konsekvenser om de är aktiva, korrekt knutna till en organisation och har breda behörigheter. Tillgänglig rapportering visar däremot inte om de aktuella hemligheterna var giltiga när Shou fick tillgång till dem, om de redan hade återkallats eller vilken åtkomst de faktiskt skulle ha gett.
Varför en LLM-router blir en känslig mellanhand
En LLM-router, relä eller proxy förmedlar trafik mellan en applikation eller AI-agent och den modellleverantör som ska svara. I den konstruktionen kan mellanhanden se hela innehållet i förfrågan och svaret i klartext: promptar, agentkontext, argument till verktygsanrop och modellens utdata.
I forskningsartikeln Your Agent Is Mine, som Shou har varit medförfattare till, beskrivs sådana routrar som proxytjänster på applikationsnivå med klartextåtkomst till JSON-data under överföring. Forskarna pekar också på att det saknas framtvingad kryptografisk integritet mellan klienten och den uppströms modellen. 27
Det skapar en enkel exponeringsväg. En utvecklare kan exempelvis ge en AI-kodagent en privat nyckel, en .env-fil, en molnnyckel, en VPN-profil eller en driftsättningskonfiguration för att agenten ska felsöka eller automatisera ett arbete. Om agenten använder ett externt relä kan hemligheten då följa med i förfrågans kontext.
Risken handlar alltså inte bara om att en routeroperatör avsiktligt samlar in data. Omfattande loggning, svaga åtkomstkontroller, ett intrång hos relät eller vidareförmedling av lagrade loggar kan också förvandla prompthistorik till ett koncentrerat arkiv av återanvändbara autentiseringsuppgifter.
Inte bara insyn – även risk för manipulation
Påståendet om 6 TB är förenligt med en bredare arkitekturell risk, men det bevisar inte att den router Shou syftar på har agerat felaktigt.
I Your Agent Is Mine undersökte forskarna angrepp där illvilliga mellanhänder utnyttjar leveranskedjan kring LLM-agenter. Kärnfrågan är att en router som kan se trafiken potentiellt kan göra mer än att samla in den: den kan försöka förändra modellsvar eller innehåll i verktygsanrop innan agenten verkställer dem. 27
För team som kör helt eller delvis autonoma agenter innebär det tre separata risker:
- Passiv exponering: Hemligheter i promptar, spårdata eller verktygsargument kan hamna i routerns loggar.
- Aktiv manipulation: En mellanhand kan försöka skriva om ett svar eller verktygsanrop och därmed påverka agentens nästa steg.
- Missbruk av uppgifter: En komprometterad eller illvillig förmedlingsväg kan exponera autentiseringsuppgifter i agentens kontext eller styra hur agenten använder dem.
Forskningen etablerar attackytan hos tredjepartsroutrar. Den validerar däremot inte självständigt ursprunget, omfattningen eller innehållet i Shous senare påstående om ett dataset på 6 TB. 27
Det här är fortfarande obekräftat
Gränsen för vad som faktiskt är belagt är viktig. Offentligt tillgängligt material fastslår inte oberoende:
- att datasetet på omkring 6 TB är äkta, komplett eller härrör från den router som Shou avser;
- vem som drev relät, eller om data såldes medvetet snarare än stals av en extern part;
- när materialet samlades in, hur länge det sparades eller hur det hanterades;
- om uppgifterna var aktiva, korrekt kopplade till de utpekade organisationerna eller hade tillräckliga behörigheter för den åtkomst som påstås;
- att Shou använde några uppgifter, tog sig in i system eller att ett intrång lyckades; eller
- att Huawei, Xiaomi, NIO, MiniMax, de myndighetsrelaterade aktörerna eller routeroperatören har lämnat officiella bekräftelser eller svar.
När en organisation sägs vara ”kopplad till” materialet bör det därför förstås som att uppgifter påstås ha förekommit i datasetet – inte som en bekräftelse på att företaget eller myndigheten har drabbats av ett intrång.
Åtgärder för organisationer som använder LLM-proxyer
Lärdomen är relevant även om just detta påstående senare skulle visa sig felaktigt. En extern mellanhand som tar emot agenttrafik bör behandlas som en privilegierad del av säkerhetsgränsen.
1. Håll hemligheter utanför promptar och agentkontext
Klistra inte in privata nycklar, VPN-filer, molnnycklar, åtkomsttoken, .env-filer eller produktionskonfiguration i promptar. Lägg in kontroller på klientsidan eller i en intern gateway som hittar och blockerar eller maskerar troliga hemligheter innan en förfrågan lämnar organisationen.
2. Ersätt återanvändbara nycklar med kortlivade och begränsade behörigheter
Låt verktyg hämta snävt avgränsade, tidsbegränsade autentiseringsuppgifter från en hemlighetshanterare eller ett arbetsbelastningsidentitetssystem när de behövs. En kortlivad token med minsta möjliga behörighet minskar skadan om en agentlogg exponeras.
3. Rotera uppgifter vid misstänkt proxyexponering
Inventera vilka reläer och proxyer som används av utvecklare, kodassistenter och agenter. Om känsliga uppgifter kan ha passerat en okänd eller opålitlig mellanhand bör de roteras. Granska även granskningsloggar för SSH, VPN, GitLab och molntjänster efter avvikande aktivitet.
4. Välj direkta eller internt kontrollerade vägar
Koppla om möjligt direkt till modellleverantören eller via en intern gateway som organisationen själv kontrollerar. Om ett tredjepartsrelä eller en Kina-inriktad router behövs bör ägarskap, datalagringsplats, underleverantörer, säkerhetskontroller, villkor för incidentrapportering och regler för loggning, träning, försäljning eller sekundär användning av kunddata granskas.
5. Begränsa vad agenter får verkställa
Kräv uttryckligt godkännande för känsliga åtgärder, tillåtlista verktyg och destinationer och övervaka oväntade ändringar i modellidentitet, svarsformat, verktygsscheman eller utgående verktygsanrop. Det minskar konsekvenserna av den typ av manipulation på svarsvägen som beskrivs i forskningen. 27
6. Skydda agentloggar som produktionshemligheter
Stäng av innehållsloggning där det går. När loggar behövs bör hemligheter maskeras före lagring, loggar krypteras, åtkomsten begränsas och lagringstiden vara kort och dokumenterad. Okontrollerad export bör förhindras. Verktygsargument och agentspår behöver samma skydd som källkod, autentiseringsuppgifter och produktionskonfiguration.
Slutsats
Shous uppgift om 6 TB bör behandlas som ett allvarligt men obekräftat påstående. Den mest hållbara lärdomen är arkitekturell: en LLM-router är inte bara ett neutralt rör när den kan läsa promptar, autentiseringsuppgifter, verktygsindata och svar som passerar genom den. Organisationer som använder AI-agenter bör räkna varje extern mellanhand som en utvidgning av sin betrodda datormiljö – och utforma rutiner för promptar, nyckelhantering, loggning och exekvering därefter. 11
27
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "Forskare: 6 TB loggar från kinesisk LLM-router kan ha exponerat nycklar"?
Chaofan Shou hävdar att omkring 6 TB loggdata från en kinesisk LLM router innehöll SSH nycklar, VPN konfigurationer, Aliyun uppgifter och GitLab token – uppgifter som påstås vara kopplade till 19 företag och sju kines...
What are the key points to validate first?
Chaofan Shou hävdar att omkring 6 TB loggdata från en kinesisk LLM router innehöll SSH nycklar, VPN konfigurationer, Aliyun uppgifter och GitLab token – uppgifter som påstås vara kopplade till 19 företag och sju kines... En LLM router kan läsa okrypterade promptar, verktygsanrop och svar. Därmed kan den bli en koncentrationspunkt för hemligheter som utvecklare lägger i agenters kontext.
What should I do next in practice?
Det finns ingen oberoende bekräftelse av datasetets ursprung, vilka uppgifter som fortfarande var giltiga eller att något angrepp faktiskt genomfördes.