Nachdem SSH-Schlüssel in den Agent-Prompt wandern, warum ein LLM-Proxy die Logs trotzdem unverändert verkauft

Ein LLM-Proxy – im deutschen Sprachraum oft als OpenAI-kompatibler API-Proxy, API-Router oder Modell-Gateway verkauft – sitzt zwischen Ihrem Editor und dem Upstream-Modell. Teams nutzen ihn, um eine Regionssperre zu umgehen, ein geteiltes Kontingent zu bündeln oder Tokens günstiger zu kaufen. Kommt Ihre Anfrage an, prüft der Proxy Ihr Kontingent, setzt seinen eigenen Upstream-Schlüssel ein und schickt denselben Prompt an Claude oder ein anderes Modell. Diese drei Schritte gelingen nur, wenn er TLS auf seinem Hop beendet und das JSON-Feld messages liest – oder den Agent-Kontext, der darin steckt. Englische Berichte zu Shous Beitrag vom 11. September, darunter ChainCatcher und Wccftech, sagen denselben Satz klarer: Anfrage und Antwort laufen durch den Proxy, also sieht der Proxy den vollen Klartext. Ein chinesisches Security-Briefing nannte jeden Anwendungsschicht-Proxy ohne Ende-zu-Ende-Verschlüsselung am selben Tag „von Bauart ein Packet-Sniffer“; siehe SecRSS, „AI-Relay-Daten auf dem Schwarzmarkt“.

Ein Coding-Agent macht diesen Hop gefährlicher. Cursor, Claude Code und selbst gebaute Agenten lesen mit der von Ihnen erteilten Rechte den Workspace, scannen eine .env, greifen Terminalausgaben und setzen diese Fragmente in den nächsten Prompt. Sie müssen -----BEGIN OPENSSH PRIVATE KEY----- nicht selbst in ein Chatfeld kleben. Hat der Agent einen privaten Schlüssel oder ein Deploy-Skript gelesen, weil Sie ihn gebeten haben, „auf die Staging-Box zu kommen“, liegen diese Bytes bereits im Körper, der zum Proxy geht. Eine frühere Arbeit aus Shous Gruppe, Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain, hat 428 Router geprüft: neun haben die Antwort umgeschrieben, siebzehn haben nach einem eingesetzten AWS-Testschlüssel wirklich AWS aufgerufen, einer hat ETH aus einer Testwallet abgezogen. Das ist eine zweite Behauptung: „greift der Proxy aktiv an?“ Dieser Artikel prüft die stillere: Mit einem globalen Log reicht es, dass der Proxy nicht einmal böswillig ist. Er behält den Schlüssel, den Sie hineingelegt haben.

Das ist nicht derselbe Weg wie „ein Ticket in den Web-Chat kleben“. Auf einer Chatseite sehen Sie wenigstens, dass Sie einfügen. Beim weitergeleiteten Agenten setzt oft ein Werkzeug den Kontext zusammen. Was Sie auf diesem Rechner prüfen sollten, ist nicht „habe ich den Schlüssel getippt“, sondern „sitzt auf diesem Hop eine Zwischenbox, die den Körper lesen muss – und enthält dieser Körper jetzt ein Zugangsdatum, das sich unverändert nutzen lässt.“

Der billigste Weg für einen Proxy, zu debuggen, abzurechnen oder Fine-Tune-Text zu sammeln, ist, die geöffnete Anfrage in eine Datenbank zu schreiben. Prompt, Systemanweisung, Dateifragment, das der Agent gelesen hat, und Werkzeugergebnisse bleiben Textfelder. 6 TB Aufrufdaten zu verkaufen heißt, genau diese schon geöffnete Historie zu verkaufen. Shou sagte, im Dump lägen SSH-Schlüssel, die ins Intranet reichen, und glpat--Tokens; öffentliche Zusammenfassungen zeigten geschwärzte Enterprise-GitLab-Hosts. UsePwd hat diesen Dump nicht gekauft, und diese Seite behandelt „reicht, um Firma X zu übernehmen“ nicht als geprüfte Feststellung. Was Sie prüfen können, ist der Mechanismus: Speichert das Log den Anfragekörper, wird ein hineingeschriebener Schlüssel nicht von allein zu Sternchen.

Weder das Schloss in der Adresszeile noch der Satz „wir trainieren nicht mit Ihren Chats“ stoppt diese Schicht. Schickt Ihr Browser oder Editor die Anfrage an den Proxy, endet TLS auf diesem Hop. Der Proxy öffnet danach eine neue TLS-Sitzung mit seinem eigenen Upstream-Konto. Jede Leitung ist verschlüsselt. Der Prozess auf der Maschine dazwischen sieht trotzdem Klartext-JSON. Selbst wenn das Upstream-Modell das Gespräch nie zum Training nutzt, sieht es die Kopie nicht, die der Proxy für sich behalten hat. Ob diese Kopie existiert und ob sie verkauft wird, ist die Speicherpolitik des Proxys – nicht ein Schalter „temporärer Chat“, den Sie im Editor umgelegt haben.

Ein Abrechnungslog und ein Aufrufkörper sind außerdem nicht dieselbe Datei. Tokenzahlen, Modellnamen und Statuscodes verkaufen keinen SSH-Schlüssel. Sobald der Betrieb das volle messages-Array behält, um „diesen fehlgeschlagenen Agent-Schritt nachzuspielen“, ist dieselbe Datei nützlich zum Debuggen und nützlich auf einem Schwarzmarkt. Shous Beitrag hat sich in chinesischen Entwicklerkreisen ausgebreitet, weil Käufer keine Kurzfassung bekommen haben. Sie haben Zugangsdaten bekommen, die noch funktionierten. Die Frage lautet nicht „loggt der Proxy“, sondern „steht im Log der Prompt-Körper“.

Die UsePwd-Schwärzung erkennt im aktuellen Tab sechs Feldtypen: Telefon, Ausweisnummer, Bankkarte, E-Mail, gängige Tokens und IP. Die Tokenklasse trifft Präfixe, die Sie prüfen können, darunter sk-, sk-ant-, sk-proj-, AKIA, ghp_, github_pat_, glpat-, xoxb- und Bearer . Öffnen und nutzen – ohne Anmeldung. Der Originaltext wird nicht hochgeladen und nicht in die Statistik geschrieben. Fügen Sie eine Probe mit glpat- ein, behält die Seite das Präfix, maskiert die Mitte und lässt die letzten vier stehen – oder, bei voller Maske, nur Präfix plus Sternchen. Dieser Schritt reicht, um auf diesem Rechner zu zeigen: Gängige Cloud- und Git-Host-Tokens lassen sich an einer Formatregel fassen.

Ein privater SSH-Schlüssel ist meist kein solches Präfix. Ein OpenSSH-Schlüssel ist ein PEM-Block, der mit -----BEGIN OPENSSH PRIVATE KEY----- beginnt, als Base64 weiterläuft und auf einer passenden END-Zeile endet. VPN-Profile, kubeconfigs, Datenbank-URLs und Alibaba-Cloud-AccessKeys, die nicht wie AKIA… aussehen, rutschen ebenfalls durch. Sternchen über einer Telefonnummer im Ticket helfen nicht, wenn der Agent id_ed25519 schon in den Kontext gelesen hat. Warum Formatmaskierung ein Ticket trotzdem demselben Kunden zuordnen kann, bevor Sie es in eine Dialog-KI einfügen, steht in einem anderen Artikel: Warum Formatmaskierung ein Support-Ticket trotzdem demselben Kunden zuordnet. Jener Text handelt von der Identitätsschicht, die bleibt. Dieser handelt von einem Login, das bleibt – und ein Zugangsdatum in einem Proxy-Log lässt sich oft unverändert nutzen.

Selbst ein Token, das als glpat-***wQ4x dasteht, kann zusammen mit einem Repo-Host die Suche auf ein Projekt verengen. Die volle Maske streicht die letzten vier. Sie streicht nicht „dieser Chat handelt von jener Box, jenem Cluster“. Die Bewegung, die wirklich eine Schicht nimmt, ist, private Schlüssel und Cloud-Tokens aus dem Prompt zu halten: Schreiben Sie das Runbook als „das Geheimnis läuft über einen getrennten Einmal-Link“, und lassen Sie den Agenten Schritte sehen, nicht Material. Muss eine Passphrase zu einem Kollegen, nutzen Sie Burn-Link: Dieser Tab verschlüsselt mit AES-256-GCM, Klartext höchstens 32 KB, der Schlüssel sitzt hinter # in s.html?id={id}#{key}, der Server speichert nur Geheimtext. Erzeugen und Lesen sind sofort nutzbar – ohne Registrierung.

Wandert ein Ticket in eine Dialog-KI, ist das erste Risiko: „lässt sich das noch einer Person zuordnen?“ Das Telefon trägt Sternchen; Name, Straße und Ticket-ID bleiben. Verkauft ein Proxy Agent-Aufrufprotokolle, ist das erste Risiko: „kann jemand noch in fremde Systeme?“ Ein GitLab-Token, ein SSH-Schlüssel und ein Cloud-Key sind das Login. Beides unter „wir haben etwas in eine KI geklebt“ zu falten, verdeckt die Reihenfolge: Beim Ticket fragen Sie, ob die Identitätsschicht noch da ist; beim Schlüssel fragen Sie, ob der Körper ein nutzbares Zugangsdatum hält – und ob dieser Hop eine Zwischenbox hat, die diesen Körper lesen muss.

Nach einem Leak der Cloud-Umgebungsvariablen gehört der rotierte Schlüssel nicht zurück ins Chatfenster; siehe Nach einem Leak der Cloud-Umgebungsvariablen gehört der neue Schlüssel nicht in den Chat. Jener Artikel ist das zweite Leck: Slack, ein Ticket oder ein Screenshot hinterlässt eine durchsuchbare Klartextkopie. Dieser Artikel ist das erste Leck, und es kann auf dem Modellaufruf passieren: Sie haben den Schlüssel nie „an einen Kollegen geschickt“. Sie haben nur einen Agenten den Workspace nehmen und ein Deploy zu Ende bringen lassen. Chatverlauf und Proxy-Log sind nicht dasselbe Archiv. Die Behandlung ist dieselbe – ein neuer Schlüssel gehört nicht auf einen Kanal, der den Körper behält.

Ein URL-#-Fragment kommt nicht in eine HTTP-Anfrage; siehe Warum das #-Fragment einer URL nicht in Server-Logs steht. Burn-Link legt den Entschlüsselungsschlüssel in dieses Fragment, damit die Maschine, die Geheimtext speichert, den Schlüssel nicht sieht. Ein Proxy ist das Gegenteil: Seine Arbeit ist, den Körper zu lesen. Lesen Sie „der Burn-Server sieht den Schlüssel nicht“ nicht als „keine Zwischenbox sieht den Prompt“. Die beiden Wege haben unterschiedliche Sichtbarkeit. Beide lassen sich im Netzwerkpanel prüfen.

Darf ein Agent den Workspace lesen, kann er einen Schlüssel in die Anfrage setzen, ohne dass Sie ein Chatfeld öffnen. YOLO-Modus, automatisch genehmigte Shell-Befehle und „das ganze Repo als Kontext“ verbreitern diese Fläche. Der Befund der Arbeit, dass manche Proxys Extra-Anweisungen in die Antwort geschoben haben, ist ein zweiter, aktiver Weg: Derselbe Hop kann den Schlüssel behalten, den Sie geschickt haben, und den Code umschreiben, den Sie zurückbekommen. Diese Seite kann nicht prüfen, ob ein bestimmter Proxy Pakete verändert. Sie kann nur erinnern: Der Hop, den Sie nicht sehen, kann loggen – und er kann umschreiben.

Ein bereits verkaufter 6-TB-Dump verschwindet nicht, weil Sie heute die Prompt-Gewohnheit ändern. Shou sagte, ein Teil dieser Zugangsdaten könne noch funktionieren. Die Reihenfolge lautet: zuerst widerrufen – Cloud-Konsole, GitLab, Hosts, VPN – dann neues Material ausgeben. Der neue Schlüssel gehört weder zurück in den Agent-Kontext noch zurück ins Chatfenster. Langzeitspeicher oder Sync über mehrere Geräte gehört in einen eigenen Passwortmanager. UsePwd hat keine Konten und keinen Tresor und kann einen verlorenen Link nicht nach Nutzer wiederfinden. Zur Identität siehe Über uns.

Formatmaskierung ist eine Hilfe, kein Versprechen, dass nichts durchrutscht. Wichtige Ausgangstexte brauchen weiter einen menschlichen Blick. Erzeugen Sie eine Passphrase zwischen 6 und 128 Zeichen im Passwort-Generator und nutzen Sie Passwort prüfen für lokale Stärke und die öffentliche Liste schwacher Passwörter, die mit der Seite kommt – nicht eine netzweite Have-I-Been-Pwned-Abfrage. Diese Seiten sind wie dieser Artikel sofort nutzbar. Lesen Sie ein HTTPS-Schloss oder ein Etikett „temporär“ am Chat nicht als „im Proxy-Prozess liegt kein Klartext“. Leitungsverschlüsselung und ein Körper im Prozess sind nicht dieselbe Schicht.