Six téraoctets de clés achetés à un routeur, intermédiaire qui voit tout

Chaofan Shou, coauteur d'une étude sur les routeurs d'API pour modèles de langage, dit avoir acheté à l'un des principaux routeurs chinois un jeu de journaux de trafic du modèle Fable d'Anthropic. Six téraoctets, où il trouve assez de clés SSH, de configurations VPN et de jetons Aliyun et GitLab pour prendre la main, écrit-il, sur sept entités publiques et dix-neuf grandes entreprises, dont Xiaomi et Huawei.

Ce qui est documenté, c'est le mécanisme : un routeur répartit les appels d'un agent entre plusieurs fournisseurs de modèles, voit donc chaque requête en clair, et aucun fournisseur n'impose de contrôle d'intégrité de bout en bout. L'étude, publiée le 9 avril, a examiné 28 routeurs payants et 400 gratuits : neuf injectaient du code malveillant, dix-sept ont touché à des identifiants posés comme appâts, un a vidé un portefeuille Ethereum.