研究员称购 6TB 中转站数据可攻入华为小米等 19 家企业

ChainCatcher 消息，安全研究员寿超璠表示，他刚从一家中国头部大模型中转站买到约 6TB 的 Fable 模型调用数据，其中出现 SSH 密钥、VPN 配置、阿里云密钥、GitLab 令牌等敏感凭证。他称，这批数据里的密钥足以让他进入 19 家中国头部企业，以及 7 个中国和独联体政府相关机构的服务器或内部系统，包括华为、小米、蔚来和 MiniMax。

大模型中转站夹在用户和 Claude 等模型之间，请求和回复都会先经过它，因此能看到完整明文。开发者一旦把 SSH Key、API Key、VPN 配置等塞进 Agent 上下文，中转站如果保存甚至出售这些记录，公司的系统密钥也会一起流出去。这并非寿超璠第一次警告中转站风险。他参与的 4 月论文测试了 428 个 LLM 中转站，发现 9 个会主动注入恶意代码，17 个在看到研究人员故意放入的 AWS 测试密钥后真的拿这些密钥调用了 AWS，还有 1 个直接转走了测试钱包里的 ETH。

寿超璠是区块链安全公司 Fuzzland 联合创始人，长期做漏洞和供应链安全研究。3 月底，他还率先发现 Claude Code 2.1.88 发布包里的 source map 意外暴露约 50 万行 TypeScript 源码。