壽超璠（Chaofan Shou）的說法，讓 AI 供應鏈裡一個常被當成「只是轉送管道」的環節再度受到檢視：介於應用程式與大型語言模型（LLM）供應商之間的第三方路由器（router）、中轉站或代理服務。

壽超璠表示，他向一家中國主要 LLM 路由服務取得約 6TB 的「Fable」模型呼叫資料。他在公開貼文中稱，資料含有可用於存取 7 個中國／獨立國家國協（CIS）政府相關實體及 19 家中國大型企業系統的憑證，並舉例華為、小米、蔚來與 MiniMax。這是研究員提出的指控，並非已獲公開獨立驗證的資料外洩事件，也不代表被點名的組織已確認遭入侵。11

他稱資料裡出現了什麼？

依壽超璠的說法及後續報導，這批資料包含使用者經中轉服務傳送的敏感內容，例如：

• SSH 私鑰
• VPN 組態設定
• 阿里雲（Alibaba Cloud／Aliyun）憑證
• GitLab 存取權杖（Token）113

這些資訊若仍有效、歸屬正確且權限範圍過大，確實可能造成嚴重影響。不過，現有公開資料並未證實這些憑證在取得當時是否仍可使用、是否已被撤銷，或是否真能提供壽超璠所描述的系統存取權限。

為何 LLM 中轉站可能變成「憑證集散點」？

LLM 路由器、中轉服務或代理，位於應用程式或 AI 代理（agent）與上游模型供應商之間。這種架構可能讓中介者看到完整的請求與回應內容，包括提示詞、代理上下文、工具呼叫參數與模型輸出。

壽超璠共同撰寫的研究 Your Agent Is Mine 指出，這類路由器是能讀取傳輸中 JSON 載荷明文的應用層代理；論文同時認為，目前生態系並沒有在用戶端與上游模型間強制實施加密完整性保護。27

風險路徑其實很直接：工程師為了讓 AI 程式設計代理除錯或自動部署，把私鑰、.env 檔、雲端金鑰、VPN 設定檔或部署組態貼進上下文。只要代理經由外部中轉服務呼叫模型，那個服務就可能收到這些祕密。

因此，風險不只在於路由服務商是否刻意蒐集資料。過度記錄日誌、存取控管不足、服務遭入侵，或已保存日誌被二次流通，都可能讓提示詞歷史變成可重複利用的憑證資料庫。

不只偷看，還可能竄改回應

這宗 6TB 說法與更廣泛的架構性風險相符，但並不能據此證明壽超璠所指的路由服務有不當行為。

在 Your Agent Is Mine 中，研究人員探討了針對 LLM 代理供應鏈的惡意中介攻擊。他們指出，能看見流量的路由器未必只能蒐集資料，也可能在代理執行前修改模型回應或工具呼叫內容。27

對使用半自動或自主 AI 代理的團隊而言，應區分三類風險：

• 被動外洩： 提示詞、執行軌跡或工具參數中的祕密，可能留存在路由器日誌。
• 主動竄改： 中介者可能改寫回應或工具呼叫，改變代理接下來的操作。
• 憑證濫用： 受攻擊或惡意的路由路徑，可能暴露代理上下文中的憑證，或影響代理如何使用它們。

該研究支持第三方 LLM 路由存在這類攻擊面的判斷；但它沒有獨立驗證後續 6TB 資料集的來源、完整性或內容。27

目前哪些事仍未證實？

閱讀這起事件時，必須清楚劃分證據邊界。目前公開材料無法獨立確認：

• 約 6TB 資料集是否真實、完整，或確實來自被指稱的路由服務；
• 中轉服務營運者的身分，以及資料是被知情出售，或是遭第三方竊取；
• 資料的蒐集時間、保存期限與處理方式；
• 憑證是否有效、是否正確對應被點名實體，以及權限是否足以造成所稱影響；
• 壽超璠是否使用過任何憑證、是否存取任何系統，或是否有成功入侵發生；
• 華為、小米、蔚來、MiniMax、相關政府實體或路由服務商是否曾作出官方確認或回應。113

因此，所謂「與某組織有關」，應理解為該組織的資料或憑證據稱出現在資料集裡，而不是已確認該公司或政府單位遭駭。

使用外部 LLM 代理或中轉服務，現在該做什麼？

不論這宗個案最後是否得到驗證，實務結論都一樣：凡是能接收 AI 代理流量的外部中介，都應被視為安全邊界中的高權限供應商。

1. 不要把祕密放進提示詞或代理上下文

不要貼上私鑰、VPN 設定檔、雲端存取金鑰、Token、.env 檔或正式環境組態。可在用戶端或內部閘道加入祕密掃描機制，在請求離開組織前攔截或遮蔽可能的敏感字串。

2. 以短效、最小權限憑證取代可長期重用的金鑰

工具應在需要時，從祕密管理系統或工作負載身分機制取得範圍受限、具到期時間的憑證。即使代理軌跡或中轉日誌外洩，短效 Token 也能縮小損害範圍。

3. 懷疑曾經過不可信代理時，立即輪替憑證

盤點開發人員、程式設計助理與 AI 代理使用過的路由器及代理服務。若敏感憑證可能曾穿過未知或不受信任的中介，應輪替相關 SSH、VPN、GitLab 與雲端憑證，並檢查稽核日誌是否出現異常活動。

4. 優先採直連或自行控管的內部閘道

可行時，直接連線至模型供應商，或使用由組織自行管理的內部閘道。若業務必須使用第三方、面向中國市場的中轉服務，應審查其所有權、資料所在地、次處理商、安全控制、事件通報條款，以及對日誌保存、模型訓練、資料出售與二次使用的承諾。

5. 限制 AI 代理可自行執行的操作

對敏感操作採用明確核准流程，建立工具與目的地白名單，並監測模型身分、回應格式、工具 Schema 或對外工具呼叫的異常變化。這有助降低中介竄改回應路徑所帶來的影響。27

6. 把代理日誌當成正式環境祕密管理

可行時關閉內容日誌；必須保留時，應在儲存前遮蔽祕密、加密保存、嚴格限制讀取權限、訂定短且明確的保存期限，並防止未受控匯出。工具參數與代理執行軌跡，應享有與原始碼、憑證及正式環境組態相同等級的保護。

結論

壽超璠關於 6TB 資料的說法，目前應被視為尚未驗證、但值得嚴肅看待的指控。更長遠的教訓在於架構本身：當 LLM 路由器能讀取穿越其中的提示詞、憑證、工具輸入與模型回應時，它就不是中立的「管線」。

部署 AI 代理的組織應假設，每增加一個外部中轉服務，就等於擴大一次可信運算邊界；並相應強化提示詞衛生、憑證管理、日誌控管與執行權限設計。1127

壽超璠（Chaofan Shou）的說法，讓 AI 供應鏈裡一個常被當成「只是轉送管道」的環節再度受到檢視：介於應用程式與大型語言模型（LLM）供應商之間的第三方路由器（router）、中轉站或代理服務。

壽超璠表示，他向一家中國主要 LLM 路由服務取得約 6TB 的「Fable」模型呼叫資料。他在公開貼文中稱，資料含有可用於存取 7 個中國／獨立國家國協（CIS）政府相關實體及 19 家中國大型企業系統的憑證，並舉例華為、小米、蔚來與 MiniMax。這是研究員提出的指控，並非已獲公開獨立驗證的資料外洩事件，也不代表被點名的組織已確認遭入侵。11

他稱資料裡出現了什麼？

依壽超璠的說法及後續報導，這批資料包含使用者經中轉服務傳送的敏感內容，例如：

• SSH 私鑰
• VPN 組態設定
• 阿里雲（Alibaba Cloud／Aliyun）憑證
• GitLab 存取權杖（Token）113

這些資訊若仍有效、歸屬正確且權限範圍過大，確實可能造成嚴重影響。不過，現有公開資料並未證實這些憑證在取得當時是否仍可使用、是否已被撤銷，或是否真能提供壽超璠所描述的系統存取權限。

為何 LLM 中轉站可能變成「憑證集散點」？

LLM 路由器、中轉服務或代理，位於應用程式或 AI 代理（agent）與上游模型供應商之間。這種架構可能讓中介者看到完整的請求與回應內容，包括提示詞、代理上下文、工具呼叫參數與模型輸出。

壽超璠共同撰寫的研究 Your Agent Is Mine 指出，這類路由器是能讀取傳輸中 JSON 載荷明文的應用層代理；論文同時認為，目前生態系並沒有在用戶端與上游模型間強制實施加密完整性保護。27

風險路徑其實很直接：工程師為了讓 AI 程式設計代理除錯或自動部署，把私鑰、.env 檔、雲端金鑰、VPN 設定檔或部署組態貼進上下文。只要代理經由外部中轉服務呼叫模型，那個服務就可能收到這些祕密。

因此，風險不只在於路由服務商是否刻意蒐集資料。過度記錄日誌、存取控管不足、服務遭入侵，或已保存日誌被二次流通，都可能讓提示詞歷史變成可重複利用的憑證資料庫。

不只偷看，還可能竄改回應

這宗 6TB 說法與更廣泛的架構性風險相符，但並不能據此證明壽超璠所指的路由服務有不當行為。

在 Your Agent Is Mine 中，研究人員探討了針對 LLM 代理供應鏈的惡意中介攻擊。他們指出，能看見流量的路由器未必只能蒐集資料，也可能在代理執行前修改模型回應或工具呼叫內容。27

對使用半自動或自主 AI 代理的團隊而言，應區分三類風險：

• 被動外洩： 提示詞、執行軌跡或工具參數中的祕密，可能留存在路由器日誌。
• 主動竄改： 中介者可能改寫回應或工具呼叫，改變代理接下來的操作。
• 憑證濫用： 受攻擊或惡意的路由路徑，可能暴露代理上下文中的憑證，或影響代理如何使用它們。

該研究支持第三方 LLM 路由存在這類攻擊面的判斷；但它沒有獨立驗證後續 6TB 資料集的來源、完整性或內容。27

目前哪些事仍未證實？

閱讀這起事件時，必須清楚劃分證據邊界。目前公開材料無法獨立確認：

• 約 6TB 資料集是否真實、完整，或確實來自被指稱的路由服務；
• 中轉服務營運者的身分，以及資料是被知情出售，或是遭第三方竊取；
• 資料的蒐集時間、保存期限與處理方式；
• 憑證是否有效、是否正確對應被點名實體，以及權限是否足以造成所稱影響；
• 壽超璠是否使用過任何憑證、是否存取任何系統，或是否有成功入侵發生；
• 華為、小米、蔚來、MiniMax、相關政府實體或路由服務商是否曾作出官方確認或回應。113

因此，所謂「與某組織有關」，應理解為該組織的資料或憑證據稱出現在資料集裡，而不是已確認該公司或政府單位遭駭。

使用外部 LLM 代理或中轉服務，現在該做什麼？

不論這宗個案最後是否得到驗證，實務結論都一樣：凡是能接收 AI 代理流量的外部中介，都應被視為安全邊界中的高權限供應商。

1. 不要把祕密放進提示詞或代理上下文

不要貼上私鑰、VPN 設定檔、雲端存取金鑰、Token、.env 檔或正式環境組態。可在用戶端或內部閘道加入祕密掃描機制，在請求離開組織前攔截或遮蔽可能的敏感字串。

2. 以短效、最小權限憑證取代可長期重用的金鑰

工具應在需要時，從祕密管理系統或工作負載身分機制取得範圍受限、具到期時間的憑證。即使代理軌跡或中轉日誌外洩，短效 Token 也能縮小損害範圍。

3. 懷疑曾經過不可信代理時，立即輪替憑證

盤點開發人員、程式設計助理與 AI 代理使用過的路由器及代理服務。若敏感憑證可能曾穿過未知或不受信任的中介，應輪替相關 SSH、VPN、GitLab 與雲端憑證，並檢查稽核日誌是否出現異常活動。

4. 優先採直連或自行控管的內部閘道

可行時，直接連線至模型供應商，或使用由組織自行管理的內部閘道。若業務必須使用第三方、面向中國市場的中轉服務，應審查其所有權、資料所在地、次處理商、安全控制、事件通報條款，以及對日誌保存、模型訓練、資料出售與二次使用的承諾。

5. 限制 AI 代理可自行執行的操作

對敏感操作採用明確核准流程，建立工具與目的地白名單，並監測模型身分、回應格式、工具 Schema 或對外工具呼叫的異常變化。這有助降低中介竄改回應路徑所帶來的影響。27

6. 把代理日誌當成正式環境祕密管理

可行時關閉內容日誌；必須保留時，應在儲存前遮蔽祕密、加密保存、嚴格限制讀取權限、訂定短且明確的保存期限，並防止未受控匯出。工具參數與代理執行軌跡，應享有與原始碼、憑證及正式環境組態相同等級的保護。

結論

壽超璠關於 6TB 資料的說法，目前應被視為尚未驗證、但值得嚴肅看待的指控。更長遠的教訓在於架構本身：當 LLM 路由器能讀取穿越其中的提示詞、憑證、工具輸入與模型回應時，它就不是中立的「管線」。

部署 AI 代理的組織應假設，每增加一個外部中轉服務，就等於擴大一次可信運算邊界；並相應強化提示詞衛生、憑證管理、日誌控管與執行權限設計。1127