Zuerst ein prüfbarer Satz: Das Schloss in der Adresszeile oder im Client beweist nur TLS auf dem Hop zum Proxy. Es beweist nicht, dass der Proxy den Prompt nicht lesen kann. Öffnen Sie DevTools Network und lesen Sie den Anfrage-Host: Ist das die Domain des Modellanbieters oder ein anderer Proxy-Hostname? Canaries gehören nur in Testverkehr. Experimentieren Sie nicht mit Produktions-SSH oder einem lebenden Alibaba-Cloud-AccessKey.
Diese Woche geht es nicht um Training. Es geht um den Hop dazwischen
Um den 10. September 2026 schrieb der Sicherheitsforscher Chaofan Shou (寿超凡), er habe rund 6 TB Fable-Aufrufdaten von einem führenden LLM-Router aus China gekauft. SSH-Schlüssel, VPN-Configs, Aliyun-Schlüssel und GitLab-Token in diesem Paket reichten seiner Darstellung nach, um Systeme mehrerer chinesischer Firmen und regierungsnaher Stellen zu erreichen. Spätere Berichte rahmten denselben Anspruch als „Proxy-Logs landen auf einem Graumarkt“. Dieselben Berichte schreiben auch: Die genannten Unternehmen haben keinen Einbruch öffentlich bestätigt, und kein unabhängiges Audit hat „ein Token tauchte in einem Datensatz auf“ mit „das Intranet ist übernommen“ gleichgesetzt. Diese Notiz nimmt die Geschichte als Haken. Sie behandelt einen Tweet-Screenshot nicht als Urteil.
Das ist nicht dieselbe Frage wie die frühere Notiz zum Einfügen eines Schlüssels in ChatGPT. Jene prüft ein Verbraucher-Chatfeld: Verlauf, den Trainingsschalter und rund 30 Tage Sicherheitsaufbewahrung beim temporären Chat. Diese prüft graue Infrastruktur, auf die Entwicklerinnen und Entwickler tatsächlich treffen: Sie denken, die Anfrage ging an Claude oder GPT, landen aber zuerst auf einem Router, der den Body entschlüsselt, Auth-Header umschreibt und weiterleitet. Agenten lesen außerdem selbst .env-Dateien, Terminalausgabe und Arbeitsbereichsdateien. Ein Schlüssel muss nicht per Hand eingefügt werden, um in den Prompt zu gelangen.
SSH-Privatschlüssel, Cloud-Zugangsschlüssel, persönliche GitLab-Zugriffstoken und VPN-Configs gehören in den Korb, den das OWASP Logging Cheat Sheet üblicherweise aus geteilten Klartext-Aufzeichnungen heraushält. Die OWASP Top 10 for LLM Applications listen bereits die Preisgabe sensibler Informationen und das Lieferkettenrisiko. Ein LLM-Proxy tritt auf beide: Er ist der nächste Ort, an dem der Prompt liegt, und er ist ein Extra-Lieferant zwischen Ihnen und dem Modellanbieter. Deutsche Sicherheitsnotizen zu AI-Gateways beschreiben dieselbe Architektur: Wer Anfragen bündelt, sieht Prompts und Anbieter-Schlüssel im Klartext – unabhängig davon, ob das Schloss im Client grün leuchtet.
Das Schloss schützt nur einen Hop. Der Proxy liest JSON rechtmäßig
Viele hören „durchgängig HTTPS“ als „niemand auf dem Weg kann das lesen“. So arbeitet ein Anwendungsschicht-Proxy nicht. arXiv:2604.08407, Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain, beginnt genau damit: Diese Router laufen als Anwendungsschicht-Proxys mit vollem Klartextzugriff auf jede JSON-Nutzlast unterwegs, und kein Anbieter erzwingt eine kryptographische Integrität zwischen Client und Upstream-Modell. Die Anfrage muss am Proxy entschlüsselt, ausgepackt und neu authentisiert werden, bevor eine zweite TLS-Sitzung nach oben geöffnet wird. Die Verschlüsselung wurde nicht gebrochen. Sie wurde einmal rechtmäßig beendet.
Daraus entsteht ein Bild, das sich widerspricht. Die IDE kann TLS zum Proxy sprechen, und der Proxy kann TLS zu Anthropic oder OpenAI sprechen – die Maschine in der Mitte hat Prompt, Tool-Aufrufe, Umgebungsvariablen und den zurückgegebenen Code trotzdem schon gesehen. Das ist dieselbe Klasse von Irrtum wie STARTTLS als Ende-zu-Ende-Mail-Privatsphäre: Transportverschlüsselung stoppt eine Zuschauerin auf der Leitung. Sie stoppt keinen Speicher, der die eingehende Kopie schon angenommen hat. Mail lässt Sie wenigstens in Gesendet nach der eigenen Nachricht suchen. Das Aufrufprotokoll eines Proxys ist gewöhnlich keine Seite, die Sie öffnen können. Das Löschen des lokalen Chats löscht nicht die Zeile, die schon auf deren Festplatte steht.
Coding-Agenten vergrößern die Fläche. Claude Code, Cursor und selbst gebaute Agenten scannen den Arbeitsbereich, lesen Projektconfigs und kratzen Terminalausgabe. Zeigt der API-Host auf einen unauditierten Dritten, kann ein Schlüssel, der beim Debuggen eines Skripts, beim Aufsetzen eines Testhosts oder beim Ziehen eines privaten Repos auftaucht, mit dem umliegenden Kontext in den Anfragebody mitfahren. Sie haben nie auf „Schlüssel senden“ geklickt. Sie haben den Agenten gebeten, „zu reparieren, warum das nicht verbindet“.
| Ort | Was gewöhnlich bleibt | Wer es noch lesen kann |
|---|---|---|
| Aufrufprotokolle des Proxys | Prompts, Tool-Aufrufe und Klartext-Schlüssel aus Umgebungsvariablen | Der Proxy-Betreiber; wer Log oder Backup bekommt |
| Weiterverkaufs- / Feintuning-Datensätze | Ungeschwärzte historische Anfragen, als Paket verkauft | Wer das Paket kaufte; wer es später spiegelt |
| Upstream-Modellanbieter | Derselbe Klartext, nachdem der Proxy weitergeleitet hat | Die eigene Aufbewahrungs- und Trainingsrichtlinie dieses Anbieters |
| Umschriebene Tool-Aufrufe | Vergiftete Nutzlasten aus dem Paper, die lokal ohne Rückfrage laufen können | Der Betreiber dieses Proxys und jede spätere Steuerebene |
428 Knoten im Paper: bezahlte Proxys vergiften weiter, Canaries werden eingesammelt
Vor der 6-TB-Geschichte im September hat dieselbe Forschungsrichtung bereits eine Messung veröffentlicht, die Sie zitieren können. Die Autorinnen und Autoren kauften 28 bezahlte Router bei Taobao, Xianyu und in Shopify-Shops und sammelten 400 freie Knoten aus öffentlichen Communities – 428 insgesamt. Sie pflanzten nachverfolgbare AWS-Zugangsdaten und einen vorausgefüllten Ethereum-Privatschlüssel in den Verkehr sandboxed Agenten und beobachteten, ob ein Proxy sie liest und benutzt.
Die Ergebnisse passen in vier Sätze. Neun Knoten haben aktiv Schadcode eingeschleust: einer bezahlt, acht frei. Zwei setzten adaptive Ausweichtrigger ein. Siebzehn haben AWS-Canary-Zugangsdaten der Forschenden berührt. Einer hat ETH aus der Test-Wallet abgezogen. Das Paper hält außerdem zwei Vergiftungsbeobachtungen fest, die „wirkt harmlos“-Knoten auf dieselbe Fläche ziehen: ein absichtlich geleakter OpenAI-Schlüssel und schwach konfigurierte Köder verarbeiteten rund 2,1 Milliarden Token von diesen Routern; 440 Codex-Sitzungen haben 99 Zugangsdaten offengelegt, und 401 dieser Sitzungen liefen bereits im unbeaufsichtigten YOLO-Modus. Clients prüfen Tool-Aufrufe, die der Proxy zurückgibt, kaum – die Autorinnen und Autoren bauten gegen vier öffentliche Agent-Frameworks einen Forschungproxy namens Mine, um umgeschriebene Nutzlasten zu zeigen.
Diese Zahlen beweisen nicht, dass der Proxy, den Sie heute nutzen, einer der neun oder der siebzehn ist. Sie beweisen den Mechanismus: Ein Proxy sieht Klartext; manche schreiben die Antwort um; manche sammeln Zugangsdaten von selbst; ein Preisschild ist kein Ende-zu-Ende-Versprechen. Der Wechsel zu einem „teureren Proxy“ muss weiter gegen Host, die Log-Richtlinie und die Frage geprüft werden, ob Sie einen echten Schlüssel geschickt haben – nicht gegen die Rechnung.
Sind Aufrufprotokolle Ware, holt das Löschen des lokalen Chats sie nicht zurück
Was an der September-Geschichte sticht, ist nicht ein weiteres Chatfeld, das trainieren könnte. Es ist Aufrufhistorie als Datensatz zum Verkauf. Die öffentliche Darstellung lautet: Ungeschwärzte Anfrageaufzeichnungen hielten GitLab-Token, Host-SSH-Schlüssel, VPN-Configs und hoch privilegierte Public-Cloud-Schlüssel. Eine Käuferin muss zuerst kein Büronetz knacken. Funktioniert das Token noch, sieht eine Anmeldung mit gültiger Zugangsdate in der Firmenhistorie wie gewöhnlicher Betrieb aus. Das ist „ein lebendes Konto“ plus „ein Extra-Hop in der Lieferkette“. Es ist kein TLS-Bruch.
„Ich habe den IDE-Chat schon geleert“ holt also kein Paket zurück, das schon verkauft ist. Die Aufbewahrungsuhr des Proxys gehört der Gegenseite: globale Logs, Objektspeicher und Kopien, die in einen Feintuning-Markt verkauft wurden, teilen Ihren Löschen-Knopf nicht. Ein Verbraucher-ChatGPT schreibt Trainingsschalter und temporären Chat wenigstens in eine Hilfeseite. Ein grauer Proxy gibt Ihnen gewöhnlich keine gleichwertige Datenrichtlinie. Wenn Sie das auf einer Maschine prüfen, laden Sie diese 6 TB nicht herunter und leiten Sie Token aus Screenshots nicht weiter. Ein echter Schlüssel, der schon einen Proxy gekreuzt hat, sollte zuerst beim Aussteller widerrufen werden. Den Kanal danach wechseln.
Der Upstream-Modellanbieter ist eine zweite Kopie. Nach erfolgreicher Weiterleitung behandeln Anthropic oder OpenAI diesen Klartext weiter nach den eigenen API-Aufbewahrungsregeln. „Modell verbessern“ in einem Verbraucherprodukt auszuschalten, erreicht kein Proxy-Konto, in das Sie sich nie angemeldet haben, und erreicht kein historisches Paket, das schon verkauft ist. Halten Sie die zwei Ordner auseinander: Anbieterrichtlinie ist ein Buch; Proxy-Logs sind ein anderes.
Testen Sie nicht mit Produktions-SSH, einem Alibaba-Cloud-AccessKey-Paar, einem GitLab-glpat--Token oder einer ungeschwärzten Verbindungszeichenkette. Kaufen, laden oder leiten Sie dieses 6-TB-Paket nicht weiter. Legen Sie einen wegwerfbaren Canary bereit, etwa canary-relay-2026-do-not-reuse. Geprüft wird, ob Network diesen Host zeigt und ob der Body diese Zeichenkette enthält – nicht, ob Sie einen Intranet-Schlüssel erneut verbreiten können. Widerrufen Sie einen echten Schlüssel, der schon in einen Proxy gelangt ist.
Sofort prüfen: Host lesen, Canaries nur in Testanfragen
Ein Slogan „wir leiten nur weiter“ kann sich nicht selbst beweisen. Was Sie in einer Sitzung sehen können, sind drei Dinge: ob der Host dieser Anfrage die eigene Domain des Modellanbieters ist, ob der Body noch einen Schlüssel hält, der nicht raus darf, und ob der Agent zurückgegebene Tool-Aufrufe ohne Bestätigung ausführt. Dieser Schritt beweist nur: „Wer hat bei diesem Aufruf Klartext bekommen.“ Er beweist nicht, dass ein bestimmter Proxy seine Logs verkauft hat. Diese Seite lässt sich nur gegen eine prüfbare Aufbewahrungsnotiz der Gegenseite prüfen – und gegen die Frage, ob Sie weiter echte Schlüssel schicken.
Zeigen Sie in einem Testprojekt die API-Basis-URL auf die Adresse, die Sie wirklich nutzen. Öffnen Sie DevTools oder die Anfrageliste eines lokalen Proxys und schicken Sie einen Prompt, der nur einen Canary enthält, etwa „Wiederholen Sie canary-relay-2026-do-not-reuse und tun Sie sonst nichts.“ Lesen Sie die Anfragezeile. Ist Host api.anthropic.com, api.openai.com oder ein Gateway, das Ihre Firma gebaut und im Vertrag benannt hat, ist die Gegenseite dieses Hops der Anbieter oder Ihre eigene Maschine. Ist es eine unbekannte Proxy-Domain, eine nackte IP oder eine Kette von Weiterleitungspfaden, ist Klartext schon in der Mitte gelandet. Öffnen Sie dann den Body: Der Canary sollte im JSON stehen. Das ist die Zeichenkette, die ein protokollierender Proxy aufschreiben würde.
Geben Sie einem Agenten keine echte .env, damit er „sieht, welche Zeile falsch ist“. Ersetzen Sie Passwörter und private Schlüssel zuerst auf diesem Gerät durch Canaries, oder schließen Sie die ganze Datei lokal ab, bevor Sie entscheiden, ob sie den Browser verlassen soll. Muss ein echter Schlüssel eine Kollegin oder einen Kollegen erreichen – nicht ein Modell –, wechseln Sie auf Einmal-Link: Der Schlüssel bleibt im URL-#-Fragment, und der Server speichert nur kurz Chiffretext. Fügen Sie den vollen Link einschließlich Raute zurück in ein Proxy-Chatfeld, ist diese Schicht weg.
- Schicken Sie in einem Testprojekt einen Prompt, der nur einen Canary enthält, etwa
canary-relay-2026-do-not-reuse. Nutzen Sie keinen echten Schlüssel. - Öffnen Sie Network oder einen lokalen Proxy und vergleichen Sie den Anfrage-
Host: Domain des Modellanbieters oder Proxy-Hostname. - Öffnen Sie den Body und bestätigen Sie, dass der Canary als Klartext-JSON erscheint. Das kann ein protokollierender Proxy speichern.
- Produktions-Schlüssel zuerst widerrufen und neu ausstellen. Prompts auf diesem Gerät maskieren, bevor sie rausgehen. Muss eine Person den echten Wert erhalten, Einmal-Link nutzen – nicht einen Proxy.
Der Beweis ist eng. In diesem einen Lauf ist Klartext als Anfragebody zum Host gegangen, den Sie gesehen haben. Das beweist nicht, dass eine Erweiterung nie eine Kopie gespeichert hat, und das beweist nicht, dass das 6-TB-Paket Ihre Repo-URL enthält. Nach einem Wechsel von Proxy oder Agent den Canary erneut gegen die neue Basis-URL laufen lassen.
Auf diesem Gerät maskieren, ohne Konto, und den echten Schlüssel in diesem Tab lassen
Wenn „Schlüssel gelangen nicht in eine Proxy-Anfrage“ eine wiederholbare Bewegung werden soll, beginnen Sie bei MakePwd mit der Datenschwärzung. Sie öffnet ohne Konto und ohne Anmeldung. Regelbasierte Schwärzung behandelt Text in diesem Tab. Sie lädt den Ausgangstext nicht hoch und schreibt den auf Schwärzung wartenden Body nicht in Analytics. Maskieren Sie den Fehlerdump, das Config-Fragment oder die Terminal-Einfügung, die Sie einem Agenten übergeben wollten, und entscheiden Sie dann, ob diese Anfrage noch einen Proxy braucht. Maskierung ist keine Anonymisierung. Verpasste Namen, gesprochene Ziffern und selbst gebaute Tokenformen brauchen weiter einen menschlichen Durchgang. Die Feldgrenzen stehen in Was regelbasierte Schwärzung in einem Ticket oder Chatprotokoll trifft – und was trotzdem stehen bleibt.
Schicken Sie keine ganze .env oder Schlüsseldatei zurück auf „lade sie in den Cloud-Speicher und lass das Modell lesen“. Datei verschlüsseln macht die Datei in diesem Tab mit AES-256-GCM zu .lock / .enc (eine Datei, höchstens 5 GB). Der Chiffretext kann über ein Laufwerk fahren; die Passphrase sollte einen anderen Kanal nehmen. Muss eine Kollegin oder ein Kollege die echte Passphrase erhalten, Einmal-Link nutzen: Der Browser verschlüsselt mit Web Crypto unter AES-256-GCM, und die ausgehenden Felder sind Chiffretext, Ablauf und verbleibende Lesungen. Die Seite hängt den Schlüssel an das Fragment von s.html?id={id}#{key}. Nach RFC 9110 darf die Anfragezeile den Teil hinter der Raute nicht enthalten. Ein Login-Passwort, das schon einen Proxy gekreuzt hat, zuerst widerrufen, dann auf diesem Gerät mit dem Passwortgenerator durch eine neue Zeichenkette von 6–128 Zeichen ersetzen (Standard 16; unter 8 wird als schwächer gekennzeichnet). Keiner dieser Schritte verlangt eine Anmeldung.
Wie ein Verbraucher-Chatfeld Sitzungen hält und trainiert, bleibt die Hilfeseite dieses Anbieters. Siehe Was bleibt, wenn Sie ein Passwort oder einen API-Schlüssel in ChatGPT einfügen. Mischen Sie die zwei Notizen nicht. Die ChatGPT-Notiz beantwortet, was ein offizielles Chatfeld noch hält. Diese beantwortet, was der Proxy-Hop noch hält. Training in einer offiziellen Box auszuschalten, macht ein Log nicht unverkauft, das ein Proxy schon verkauft hat.
Häufige Fragen
Wenn die Anfrage HTTPS nutzt, kann der Proxy den Klartext trotzdem lesen?
Ja. Das Paper schreibt: LLM-API-Router laufen als Anwendungsschicht-Proxys und haben vollen Klartextzugriff auf jede JSON-Nutzlast unterwegs. TLS vom Client zum Proxy ist ein Hop; TLS vom Proxy zum Upstream-Modell ist ein zweiter. Auf der Festplatte des Proxys ist ein Schlüssel standardmäßig lesbarer Text – nicht „nur Anthropic sieht ihn“.
Macht Bezahlen einen LLM-Proxy Ende-zu-Ende sicher?
Nein. Bezahlt ist nicht Ende-zu-Ende. Das Paper kaufte 28 bezahlte Router bei Taobao, Xianyu und in Shopify-Shops, plus 400 freie Knoten – 428 insgesamt. Neun haben aktiv Schadcode eingeschleust, darunter ein bezahlter Knoten. Siebzehn haben AWS-Canary-Zugangsdaten der Forschenden berührt. Einer hat ETH aus einer Test-Wallet abgezogen.
Beweist der 6-TB-Datensatz vom September, dass Huawei oder Xiaomi übernommen wurden?
Nein. Die öffentliche Darstellung lautet: Ein Forscher sagte, er habe rund 6 TB Aufrufdaten gekauft, und SSH-, VPN-, Cloud- und GitLab-Token darin reichten, um einige Firmen und Behörden zu erreichen. Bis zum Redaktionsschluss haben die genannten Unternehmen keinen Einbruch öffentlich bestätigt. Diese Notiz hält „ein Proxy kann Klartext sehen und ihn weiterverkaufen“ in einem prüfbaren Rahmen. Sie behandelt eine namentlich genannte Firma nicht als nachgewiesenen Einbruch.
Wenn das Modell eine Config mit Schlüssel sehen muss, was bleibt möglich?
Passwörter, Token und private Schlüssel zuerst auf diesem Gerät zu Canaries maskieren. Dann prüfen, ob der Host dieser Anfrage die eigene Domain des Modellanbieters ist. Echte Schlüssel gehören weder in einen Proxy noch in ein Verbraucher-Chatfeld. Muss eine Kollegin oder ein Kollege – nicht ein Modell – den echten Wert erhalten, einmalig per Einmal-Link schicken und den Schlüssel im URL-#-Fragment lassen. Erstellen und Lesen öffnen beide ohne Konto.
Drei Dinge, bevor Sie den API-Host wieder ändern
Erstens: Ein Proxy liest Klartext rechtmäßig. Client-zu-Proxy ist ein TLS-Hop; Proxy-zu-Modell ist ein zweiter. Prompts, Tool-Aufrufe und Schlüssel aus .env sind auf der Maschine in der Mitte standardmäßig lesbar. Zweitens: Die 6-TB-Geschichte vom September handelt von Aufrufprotokollen, die als Paket verkauft werden können. Die 428 Knoten im Paper zeigen, dass bezahlte Proxys weiter vergiften und dass Canaries eingesammelt werden. Drittens: In einer Sitzung nur Host und Body prüfen. Kann ein Canary raus, kann ein echter Schlüssel raus. Ein Passwort, das schon einen Proxy gekreuzt hat, zuerst widerrufen, und Prompts auf diesem Gerät maskieren, bevor sie rausgehen.
Wenn die nächste Frage lautet, was ein Verbraucher-Chatfeld nach dem Einfügen eines Schlüssels noch hält, lesen Sie Was bleibt, wenn Sie ein Passwort oder einen API-Schlüssel in ChatGPT einfügen. Wenn Sie prüfen wollen, ob der Schlüssel hinter einer Raute in HTTP eingeht, lesen Sie Warum ein URL-Fragment hinter der Raute ein passender Ort für einen Schlüssel ist – und wann dieser Schutz wegfällt. Diese Notiz zieht nur eine Linie, die Sie in eine Schlussfolgerung schreiben können: was noch bleiben kann, nachdem ein Schlüssel in einen LLM-API-Proxy gelangt ist.