寿超璠（Chaofan Shou，Fuzzland 联合创始人）的一项说法，让大模型应用中常被忽视的安全环节再次受到关注：位于应用与模型提供商之间的第三方路由器、中转站或代理服务。

他在公开帖文中称，自己从一家中国头部 LLM 路由器购得约 6TB 的“Fable”模型调用数据；其中包含的凭证，可能足以访问与 7 个中国及独联体政府相关实体、19 家中国头部企业有关联的服务器或内部系统，并点名提及华为、小米、蔚来和 MiniMax。需要明确的是：这是一项研究员的指称，不等同于已经得到公开独立验证的数据泄露事件，也不代表被点名机构已确认遭到入侵。11

他称日志中出现了什么

根据寿超璠的说法及后续报道，这批数据中包括用户经由中转服务发送的敏感材料，例如：

• SSH 私钥
• VPN 配置文件
• 阿里云（Aliyun）凭证
• GitLab Token113

这些信息一旦仍然有效、归属准确且权限较高，后果可能非常严重。不过，现有公开材料并不能证明这些凭证在数据被取得时仍有效，也无法确认它们是否已被吊销、是否确实拥有所称的访问权限。

为什么 LLM 中转站会变成“凭证汇集点”

LLM 路由器、代理或中转站，处在应用或 Agent 与上游模型服务商之间。为了转发请求，它可能接触到完整的明文请求和响应载荷，包括提示词、Agent 上下文、工具调用参数以及模型输出。

寿超璠参与合著的论文 Your Agent Is Mine 指出，这类路由器属于应用层代理，能够读取传输中的 JSON 明文；同时，客户端与上游模型之间缺少由服务商强制提供的加密完整性保障。27

这就形成了一个直观的泄露路径：开发者为了让 AI 编程 Agent 排查故障、部署服务或调用内部工具，可能将私钥、.env 文件、云访问密钥、VPN 配置或生产环境参数直接放入上下文。如果 Agent 经由外部中转服务访问模型，这些秘密就可能随请求一同经过该服务。

风险不只在于中转服务是否故意收集数据。只要存在过度日志记录、访问控制薄弱、中转平台自身被入侵，或存储日志被二次分发，提示词历史就可能变成集中保存、可被滥用的凭证库。

不只是“看见”：中间层也可能篡改

6TB 数据的说法与更广泛的架构风险相吻合，但它本身并不能证明寿超璠所指的路由器存在不当行为。

在 Your Agent Is Mine 中，研究者考察了面向 LLM Agent 供应链的恶意中间层攻击。他们指出，能够观察流量的路由器，潜在风险不止于收集数据：它还可能在 Agent 执行前修改模型响应或工具调用内容。27

对于运行半自动或自动化 Agent 的团队，这意味着三类不同风险：

• 被动暴露：提示词、执行轨迹或工具参数中包含的秘密，可能被记录在中转日志中；
• 主动篡改：中间层可能尝试改写响应或工具调用，影响 Agent 的下一步操作；
• 凭证滥用：恶意或被攻破的转发链路，既可能暴露上下文里的凭证，也可能影响 Agent 如何使用这些凭证。

该研究说明了第三方 LLM 路由在架构上的攻击面，但并未独立验证上述 6TB 数据集的来源、完整性或具体内容。27

目前哪些关键事实仍未证实

应当清楚区分“指称”与“已证实事实”。公开可得的信息尚未独立确认：

• 约 6TB 数据集是否真实、完整，以及是否确实来自被指称的路由器；
• 中转服务运营方是谁，以及其是否主动出售数据，还是数据经由外部窃取流出；
• 数据的采集时间、保存期限及实际处理方式；
• 凭证是否仍有效、是否被正确归属至被点名实体，以及权限是否足以实现所称访问；
• 寿超璠是否使用过这些凭证、是否实际访问过任何系统，或是否发生过成功入侵；
• 华为、小米、蔚来、MiniMax、相关政府实体或中转服务运营方是否作出官方确认或回应。113

因此，文中“关联”应理解为据称出现在该数据集内，而不是某家公司或机构已确认发生了安全事件。

使用 LLM 代理的组织现在该做什么

无论这次数据集指称最终是否得到证实，外部中间服务一旦承接 Agent 流量，就应被视为安全边界中的高权限组成部分。

1. 不要把秘密放进提示词或 Agent 上下文

避免粘贴私钥、VPN 文件、云访问密钥、访问 Token、.env 文件或生产配置。可在客户端或内部网关增加密钥扫描机制，在请求离开组织网络前拦截或脱敏疑似敏感内容。

2. 用短期、最小权限凭证替代长期密钥

让工具按需从密钥管理系统或工作负载身份体系获取权限范围有限、会自动过期的凭证。即使 Agent 轨迹或中转日志暴露，影响范围也能显著缩小。

3. 怀疑经过不可信代理时，立即轮换凭证

盘点开发者、代码助手和 Agent 所使用的中转站与代理服务。若敏感凭证可能经由未知或不受信任的中间层传输，应尽快轮换，并检查 SSH、VPN、GitLab 和云平台审计日志是否存在异常活动。

4. 优先直连或使用内部可控网关

条件允许时，直接连接模型提供商，或使用由组织自行管理的内部网关。若必须使用第三方或面向中国市场的中转服务，应审查其所有权、数据驻留安排、分包处理方、安全控制、事件通知条款，以及对日志记录、模型训练、数据出售和二次使用的承诺。

5. 限制 Agent 可自主执行的操作

为敏感操作设置人工确认；对可调用工具和目标地址实施白名单；监测模型标识、响应格式、工具 Schema 与出站工具调用的异常变化。这有助于降低中间层篡改响应路径可能带来的影响。27

6. 按生产级秘密标准保护 Agent 日志

在可行时关闭内容日志；必须记录时，应在写入前完成脱敏、加密存储、严格权限控制，并采用明确且尽可能短的留存周期，同时防止未经管控的导出。工具参数与 Agent 执行轨迹，应获得与源代码、生产配置和密钥同等级别的保护。

结论

寿超璠关于 6TB 数据的说法，现阶段应被视为一项未获独立验证、但值得严肃对待的安全指称。更具普遍性的警示来自架构本身：当 LLM 路由器能够读取穿过它的提示词、凭证、工具输入和响应时，它就不是一根“中性管道”。

部署 AI Agent 的组织应假定，每增加一个外部中转层，就扩大了一部分可信计算边界；相应地，也应同步加强提示词卫生、凭证管理、日志治理和执行控制。1127

寿超璠（Chaofan Shou，Fuzzland 联合创始人）的一项说法，让大模型应用中常被忽视的安全环节再次受到关注：位于应用与模型提供商之间的第三方路由器、中转站或代理服务。

他在公开帖文中称，自己从一家中国头部 LLM 路由器购得约 6TB 的“Fable”模型调用数据；其中包含的凭证，可能足以访问与 7 个中国及独联体政府相关实体、19 家中国头部企业有关联的服务器或内部系统，并点名提及华为、小米、蔚来和 MiniMax。需要明确的是：这是一项研究员的指称，不等同于已经得到公开独立验证的数据泄露事件，也不代表被点名机构已确认遭到入侵。11

他称日志中出现了什么

根据寿超璠的说法及后续报道，这批数据中包括用户经由中转服务发送的敏感材料，例如：

• SSH 私钥
• VPN 配置文件
• 阿里云（Aliyun）凭证
• GitLab Token113

这些信息一旦仍然有效、归属准确且权限较高，后果可能非常严重。不过，现有公开材料并不能证明这些凭证在数据被取得时仍有效，也无法确认它们是否已被吊销、是否确实拥有所称的访问权限。

为什么 LLM 中转站会变成“凭证汇集点”

LLM 路由器、代理或中转站，处在应用或 Agent 与上游模型服务商之间。为了转发请求，它可能接触到完整的明文请求和响应载荷，包括提示词、Agent 上下文、工具调用参数以及模型输出。

寿超璠参与合著的论文 Your Agent Is Mine 指出，这类路由器属于应用层代理，能够读取传输中的 JSON 明文；同时，客户端与上游模型之间缺少由服务商强制提供的加密完整性保障。27

这就形成了一个直观的泄露路径：开发者为了让 AI 编程 Agent 排查故障、部署服务或调用内部工具，可能将私钥、.env 文件、云访问密钥、VPN 配置或生产环境参数直接放入上下文。如果 Agent 经由外部中转服务访问模型，这些秘密就可能随请求一同经过该服务。

风险不只在于中转服务是否故意收集数据。只要存在过度日志记录、访问控制薄弱、中转平台自身被入侵，或存储日志被二次分发，提示词历史就可能变成集中保存、可被滥用的凭证库。

不只是“看见”：中间层也可能篡改

6TB 数据的说法与更广泛的架构风险相吻合，但它本身并不能证明寿超璠所指的路由器存在不当行为。

在 Your Agent Is Mine 中，研究者考察了面向 LLM Agent 供应链的恶意中间层攻击。他们指出，能够观察流量的路由器，潜在风险不止于收集数据：它还可能在 Agent 执行前修改模型响应或工具调用内容。27

对于运行半自动或自动化 Agent 的团队，这意味着三类不同风险：

• 被动暴露：提示词、执行轨迹或工具参数中包含的秘密，可能被记录在中转日志中；
• 主动篡改：中间层可能尝试改写响应或工具调用，影响 Agent 的下一步操作；
• 凭证滥用：恶意或被攻破的转发链路，既可能暴露上下文里的凭证，也可能影响 Agent 如何使用这些凭证。

该研究说明了第三方 LLM 路由在架构上的攻击面，但并未独立验证上述 6TB 数据集的来源、完整性或具体内容。27

目前哪些关键事实仍未证实

应当清楚区分“指称”与“已证实事实”。公开可得的信息尚未独立确认：

• 约 6TB 数据集是否真实、完整，以及是否确实来自被指称的路由器；
• 中转服务运营方是谁，以及其是否主动出售数据，还是数据经由外部窃取流出；
• 数据的采集时间、保存期限及实际处理方式；
• 凭证是否仍有效、是否被正确归属至被点名实体，以及权限是否足以实现所称访问；
• 寿超璠是否使用过这些凭证、是否实际访问过任何系统，或是否发生过成功入侵；
• 华为、小米、蔚来、MiniMax、相关政府实体或中转服务运营方是否作出官方确认或回应。113

因此，文中“关联”应理解为据称出现在该数据集内，而不是某家公司或机构已确认发生了安全事件。

使用 LLM 代理的组织现在该做什么

无论这次数据集指称最终是否得到证实，外部中间服务一旦承接 Agent 流量，就应被视为安全边界中的高权限组成部分。

1. 不要把秘密放进提示词或 Agent 上下文

避免粘贴私钥、VPN 文件、云访问密钥、访问 Token、.env 文件或生产配置。可在客户端或内部网关增加密钥扫描机制，在请求离开组织网络前拦截或脱敏疑似敏感内容。

2. 用短期、最小权限凭证替代长期密钥

让工具按需从密钥管理系统或工作负载身份体系获取权限范围有限、会自动过期的凭证。即使 Agent 轨迹或中转日志暴露，影响范围也能显著缩小。

3. 怀疑经过不可信代理时，立即轮换凭证

盘点开发者、代码助手和 Agent 所使用的中转站与代理服务。若敏感凭证可能经由未知或不受信任的中间层传输，应尽快轮换，并检查 SSH、VPN、GitLab 和云平台审计日志是否存在异常活动。

4. 优先直连或使用内部可控网关

条件允许时，直接连接模型提供商，或使用由组织自行管理的内部网关。若必须使用第三方或面向中国市场的中转服务，应审查其所有权、数据驻留安排、分包处理方、安全控制、事件通知条款，以及对日志记录、模型训练、数据出售和二次使用的承诺。

5. 限制 Agent 可自主执行的操作

为敏感操作设置人工确认；对可调用工具和目标地址实施白名单；监测模型标识、响应格式、工具 Schema 与出站工具调用的异常变化。这有助于降低中间层篡改响应路径可能带来的影响。27

6. 按生产级秘密标准保护 Agent 日志

在可行时关闭内容日志；必须记录时，应在写入前完成脱敏、加密存储、严格权限控制，并采用明确且尽可能短的留存周期，同时防止未经管控的导出。工具参数与 Agent 执行轨迹，应获得与源代码、生产配置和密钥同等级别的保护。

结论

寿超璠关于 6TB 数据的说法，现阶段应被视为一项未获独立验证、但值得严肃对待的安全指称。更具普遍性的警示来自架构本身：当 LLM 路由器能够读取穿过它的提示词、凭证、工具输入和响应时，它就不是一根“中性管道”。

部署 AI Agent 的组织应假定，每增加一个外部中转层，就扩大了一部分可信计算边界；相应地，也应同步加强提示词卫生、凭证管理、日志治理和执行控制。1127