壽超璠（Chaofan Shou）呢項講法，令一個常被忽略嘅 AI 供應鏈風險再受關注：夾喺應用程式／AI agent 同大型語言模型（LLM）供應商之間嘅第三方 router（中轉、代理）服務。

壽超璠表示，他從一個中國大型 LLM router 購得約 6TB、名為「Fable」嘅模型調用資料。他在公開帖文中聲稱，資料包括可用於存取 7 個中國／獨聯體政府相關機構及 19 間中國大型企業系統嘅憑證，並列舉華為、小米、蔚來（NIO）及 MiniMax 等公司。必須強調，呢個係一項尚未經公開獨立核實嘅指控，唔等於上述機構已確認遭入侵或資料外洩。11

聲稱喺紀錄中發現咩？

按壽超璠說法及後續報道，該批資料包含用戶經中轉服務傳送嘅敏感內容，包括：

• SSH 私鑰
• VPN 設定檔
• 阿里雲（Aliyun）憑證
• GitLab token 113

呢類憑證一旦仍然有效、屬於正確對象，而且權限夠大，後果可以好嚴重。但現有公開資料並未證實：呢啲秘密資料被取得時係咪仍有效、是否已被撤銷，或者係咪真係可提供壽超璠所稱嘅存取權限。

點解 LLM router 會變成「憑證收集點」？

LLM router、relay 或 proxy，係應用程式或 agent 同上游模型供應商之間嘅中介。呢種架構可令中介讀到完整明文請求及回應，包括 prompt、agent 上下文、工具調用參數同模型輸出。

由壽超璠共同撰寫嘅研究 Your Agent Is Mine 指出，呢類 router 屬於應用層 proxy，能讀取傳輸中 JSON 載荷嘅明文；而現時生態亦欠缺由客戶端到上游模型之間、強制執行嘅加密完整性保護。27

即係話，工程師如果為咗叫 AI coding agent 幫手除錯或自動化工作，而將私鑰、.env 檔、雲端金鑰、VPN profile 或部署設定直接放進 agent 上下文，一旦 agent 經外部中轉服務運作，嗰個服務就可能會收到有關秘密。

風險唔一定代表 router 營運方刻意收集資料。過度記錄、權限控制薄弱、中轉服務被入侵，或者儲存日誌被再次分發，都可能令 prompt 歷史變成集中存放、可重用憑證嘅資料庫。

問題唔止偷睇：中介亦可能竄改內容

「6TB 資料」嘅講法與較廣泛嘅架構風險吻合，但本身唔足以證明壽超璠所指嘅 router 有不當行為。

Your Agent Is Mine 研究探討針對 LLM-agent 供應鏈嘅惡意中介攻擊。研究核心發現係：能看見傳輸流量嘅 router，未必只係收集資料，亦可能喺 agent 執行前，修改模型回覆或工具調用內容。27

對運行半自動或自動化 agent 嘅團隊嚟講，可分三層理解：

• 被動外洩： prompt、trace 或工具參數內嘅秘密，可能被 router 日誌記錄。
• 主動竄改： 中介可能嘗試重寫模型回覆或工具調用，改變 agent 下一步做咩。
• 憑證濫用： 一條被入侵或惡意控制嘅路由，既可能暴露 agent 上下文內嘅憑證，亦可能影響 agent 點樣使用呢啲憑證。

研究證實第三方 LLM routing 存在呢個攻擊面；但佢冇有獨立驗證後來所稱 6TB 資料集嘅來源、完整性或內容。27

目前仍未證實嘅事項

睇呢件事要清楚分開「聲稱」同「已證實事實」。公開可得資料未能獨立確認：

• 約 6TB 資料係咪真實、完整，以及係咪源自所稱 router；
• 中轉服務營運商係邊個，以及係主動出售資料，抑或資料遭外部人士盜取；
• 資料喺幾時收集、保存咗幾耐，以及如何處理；
• 有關憑證當時係咪有效、是否正確屬於被點名機構，及權限是否足以造成所稱影響；
• 壽超璠有冇使用過該等憑證、存取過任何系統，或有冇成功入侵；
• 華為、小米、蔚來、MiniMax、相關政府機構或 router 營運商有冇作官方確認或回應。113

所以文中所講「關聯」，只應理解為據稱喺資料集內出現，並非公司或政府機構已確認受害。

用 LLM proxy 嘅機構，依家可以做咩？

無論今次指控最終能否證實，凡係接收 agent 流量嘅外部中介，都應視為安全邊界內嘅高權限供應商。

1. 唔好將秘密放入 prompt 或 agent context

避免將私鑰、VPN 檔、雲端 access key、token、.env 檔或生產環境設定貼入 prompt。可喺客戶端或內部 gateway 加入秘密掃描，喺請求離開公司前攔截或遮蔽疑似憑證。

2. 以短期、最小權限憑證取代可重用金鑰

工具應在真正需要時，經 secrets manager 或 workload identity 取得權限範圍窄、會過期嘅憑證。就算 agent trace 或 router 日誌外洩，短期 token 亦可縮細影響範圍。

3. 懷疑經 proxy 暴露過，就輪換憑證

盤點開發人員、coding assistant 同 agent 用過嘅 relay／proxy。若敏感憑證可能曾經流經不受信任或來源不明嘅中介，應即時輪換，並檢查 SSH、VPN、GitLab 同雲端 audit log 有冇異常活動。

4. 優先直連，或者使用自家管控嘅 gateway

可行嘅話，直接連接模型供應商，或使用公司自行管理嘅內部 gateway。如必須使用第三方、面向中國市場嘅 relay，應評估其擁有權、資料駐留安排、分包商、安全控制、事故通知條款，以及對日誌記錄、模型訓練、出售或二次使用客戶資料嘅承諾。

5. 限制 agent 可執行嘅操作

敏感操作要有明確批准；工具與目的地應採用 allowlist；並監測模型身分、回覆格式、工具 schema 或對外工具調用有冇異常變化。呢啲做法可減低研究所描述嘅回應路徑竄改風險。27

6. 將 agent 日誌當成生產環境秘密處理

可行時關閉內容日誌；如必須記錄，應先遮蔽秘密資料、加密儲存、嚴格限制存取權、設定短而清晰嘅保存期，並防止未受控匯出。工具參數同 agent trace，應獲得同原始碼、憑證及生產設定相若嘅保護。

總結

壽超璠所稱嘅 6TB 資料事件，現階段應視為未經證實、但值得嚴肅看待嘅指控。更長遠嘅教訓係架構問題：當 LLM router 可以讀取流經佢嘅 prompt、憑證、工具輸入同回覆，佢就唔只係一條「中性水管」。部署 AI agent 嘅機構應假設，每多一個外部 relay，就多一個必須信任嘅環節，並相應做好 prompt 衛生、憑證管理、日誌保護及執行權限控制。1127

壽超璠（Chaofan Shou）呢項講法，令一個常被忽略嘅 AI 供應鏈風險再受關注：夾喺應用程式／AI agent 同大型語言模型（LLM）供應商之間嘅第三方 router（中轉、代理）服務。

壽超璠表示，他從一個中國大型 LLM router 購得約 6TB、名為「Fable」嘅模型調用資料。他在公開帖文中聲稱，資料包括可用於存取 7 個中國／獨聯體政府相關機構及 19 間中國大型企業系統嘅憑證，並列舉華為、小米、蔚來（NIO）及 MiniMax 等公司。必須強調，呢個係一項尚未經公開獨立核實嘅指控，唔等於上述機構已確認遭入侵或資料外洩。11

聲稱喺紀錄中發現咩？

按壽超璠說法及後續報道，該批資料包含用戶經中轉服務傳送嘅敏感內容，包括：

• SSH 私鑰
• VPN 設定檔
• 阿里雲（Aliyun）憑證
• GitLab token 113

呢類憑證一旦仍然有效、屬於正確對象，而且權限夠大，後果可以好嚴重。但現有公開資料並未證實：呢啲秘密資料被取得時係咪仍有效、是否已被撤銷，或者係咪真係可提供壽超璠所稱嘅存取權限。

點解 LLM router 會變成「憑證收集點」？

LLM router、relay 或 proxy，係應用程式或 agent 同上游模型供應商之間嘅中介。呢種架構可令中介讀到完整明文請求及回應，包括 prompt、agent 上下文、工具調用參數同模型輸出。

由壽超璠共同撰寫嘅研究 Your Agent Is Mine 指出，呢類 router 屬於應用層 proxy，能讀取傳輸中 JSON 載荷嘅明文；而現時生態亦欠缺由客戶端到上游模型之間、強制執行嘅加密完整性保護。27

即係話，工程師如果為咗叫 AI coding agent 幫手除錯或自動化工作，而將私鑰、.env 檔、雲端金鑰、VPN profile 或部署設定直接放進 agent 上下文，一旦 agent 經外部中轉服務運作，嗰個服務就可能會收到有關秘密。

風險唔一定代表 router 營運方刻意收集資料。過度記錄、權限控制薄弱、中轉服務被入侵，或者儲存日誌被再次分發，都可能令 prompt 歷史變成集中存放、可重用憑證嘅資料庫。

問題唔止偷睇：中介亦可能竄改內容

「6TB 資料」嘅講法與較廣泛嘅架構風險吻合，但本身唔足以證明壽超璠所指嘅 router 有不當行為。

Your Agent Is Mine 研究探討針對 LLM-agent 供應鏈嘅惡意中介攻擊。研究核心發現係：能看見傳輸流量嘅 router，未必只係收集資料，亦可能喺 agent 執行前，修改模型回覆或工具調用內容。27

對運行半自動或自動化 agent 嘅團隊嚟講，可分三層理解：

• 被動外洩： prompt、trace 或工具參數內嘅秘密，可能被 router 日誌記錄。
• 主動竄改： 中介可能嘗試重寫模型回覆或工具調用，改變 agent 下一步做咩。
• 憑證濫用： 一條被入侵或惡意控制嘅路由，既可能暴露 agent 上下文內嘅憑證，亦可能影響 agent 點樣使用呢啲憑證。

研究證實第三方 LLM routing 存在呢個攻擊面；但佢冇有獨立驗證後來所稱 6TB 資料集嘅來源、完整性或內容。27

目前仍未證實嘅事項

睇呢件事要清楚分開「聲稱」同「已證實事實」。公開可得資料未能獨立確認：

• 約 6TB 資料係咪真實、完整，以及係咪源自所稱 router；
• 中轉服務營運商係邊個，以及係主動出售資料，抑或資料遭外部人士盜取；
• 資料喺幾時收集、保存咗幾耐，以及如何處理；
• 有關憑證當時係咪有效、是否正確屬於被點名機構，及權限是否足以造成所稱影響；
• 壽超璠有冇使用過該等憑證、存取過任何系統，或有冇成功入侵；
• 華為、小米、蔚來、MiniMax、相關政府機構或 router 營運商有冇作官方確認或回應。113

所以文中所講「關聯」，只應理解為據稱喺資料集內出現，並非公司或政府機構已確認受害。

用 LLM proxy 嘅機構，依家可以做咩？

無論今次指控最終能否證實，凡係接收 agent 流量嘅外部中介，都應視為安全邊界內嘅高權限供應商。

1. 唔好將秘密放入 prompt 或 agent context

避免將私鑰、VPN 檔、雲端 access key、token、.env 檔或生產環境設定貼入 prompt。可喺客戶端或內部 gateway 加入秘密掃描，喺請求離開公司前攔截或遮蔽疑似憑證。

2. 以短期、最小權限憑證取代可重用金鑰

工具應在真正需要時，經 secrets manager 或 workload identity 取得權限範圍窄、會過期嘅憑證。就算 agent trace 或 router 日誌外洩，短期 token 亦可縮細影響範圍。

3. 懷疑經 proxy 暴露過，就輪換憑證

盤點開發人員、coding assistant 同 agent 用過嘅 relay／proxy。若敏感憑證可能曾經流經不受信任或來源不明嘅中介，應即時輪換，並檢查 SSH、VPN、GitLab 同雲端 audit log 有冇異常活動。

4. 優先直連，或者使用自家管控嘅 gateway

可行嘅話，直接連接模型供應商，或使用公司自行管理嘅內部 gateway。如必須使用第三方、面向中國市場嘅 relay，應評估其擁有權、資料駐留安排、分包商、安全控制、事故通知條款，以及對日誌記錄、模型訓練、出售或二次使用客戶資料嘅承諾。

5. 限制 agent 可執行嘅操作

敏感操作要有明確批准；工具與目的地應採用 allowlist；並監測模型身分、回覆格式、工具 schema 或對外工具調用有冇異常變化。呢啲做法可減低研究所描述嘅回應路徑竄改風險。27

6. 將 agent 日誌當成生產環境秘密處理

可行時關閉內容日誌；如必須記錄，應先遮蔽秘密資料、加密儲存、嚴格限制存取權、設定短而清晰嘅保存期，並防止未受控匯出。工具參數同 agent trace，應獲得同原始碼、憑證及生產設定相若嘅保護。

總結

壽超璠所稱嘅 6TB 資料事件，現階段應視為未經證實、但值得嚴肅看待嘅指控。更長遠嘅教訓係架構問題：當 LLM router 可以讀取流經佢嘅 prompt、憑證、工具輸入同回覆，佢就唔只係一條「中性水管」。部署 AI agent 嘅機構應假設，每多一個外部 relay，就多一個必須信任嘅環節，並相應做好 prompt 衛生、憑證管理、日誌保護及執行權限控制。1127