研究员称购 6TB 中转站数据可攻入华为小米等 19 家企业

安全研究员寿超璠称，他从一家中国头部大模型中转站买到约 6TB 的 Fable 模型调用数据，内含 SSH 密钥、VPN 配置、阿里云密钥和 GitLab 令牌等敏感凭证，足以进入 19 家中国头部企业及 7 个中国和独联体政府相关机构的服务器或内部系统，涉及华为、小米、蔚来和 MiniMax。大模型中转站位于用户与 Claude 等模型之间，可看到完整明文请求与回复，开发者若将密钥写入 Agent 上下文，中转站保存或出售记录即导致密钥外流。他参与的 4 月论文测试 428 个 LLM 中转站，发现 9 个注入恶意代码、17 个使用研究者放置的 AWS 测试密钥调用 AWS、1 个转走测试钱包中的 ETH。寿超璠是区块链安全公司 Fuzzland 联合创始人，3 月底还率先发现 Claude Code 2.1.88 发布包中 source map 意外暴露约 50 万行 TypeScript 源码。