Après avoir mis des clés SSH dans le prompt d'un Agent, pourquoi un relais LLM peut encore revendre les journaux tels quels

Un relais LLM — vendu aussi comme proxy compatible OpenAI, routeur d'API ou « passerelle de modèles » — s'intercale entre votre éditeur et le modèle amont. Les équipes y recourent pour contourner un blocage régional, partager un compte mutualisé ou acheter des jetons à prix cassé. Quand votre requête arrive, le relais doit vérifier votre quota, y coller sa propre clé amont, puis renvoyer le même prompt vers Claude ou un autre modèle. Ces trois étapes n'existent que s'il termine d'abord le TLS de son saut et lit le champ JSON messages, ou le contexte d'Agent qu'on y a fourré. Les comptes en anglais du message du 11 septembre de Shou, dont l'article de ChainCatcher et le résumé de Wccftech, disent la même chose en plus simple : requêtes et réponses passent par le relais, donc le relais voit le texte en clair. Une note de sécurité chinoise, le même jour, appelait tout proxy applicatif sans chiffrement de bout en bout « un sniffeur de paquets par conception » ; voir SecRSS, « Données de relais IA sur le marché noir ».

Un Agent de code aggrave ce saut. Cursor, Claude Code et les agents maison iront, avec l'accès que vous avez donné, lire l'espace de travail, balayer un .env, attraper la sortie du terminal, puis recoller ces fragments dans le prompt suivant. Vous n'avez pas besoin de coller vous-même -----BEGIN OPENSSH PRIVATE KEY----- dans une boîte de chat. Si l'Agent a tiré une clé privée ou un script de déploiement parce que vous lui avez demandé de « se connecter à la machine de staging », ces octets sont déjà dans le corps qui s'apprête à partir vers le relais. Un article plus ancien du groupe de Shou, Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain, a testé 428 routeurs : neuf réécrivaient la réponse, dix-sept appelaient vraiment AWS après avoir vu une clé de test plantée, et un a vidé l'ETH d'un portefeuille d'essai. C'est une autre affirmation — « le relais vous attaquera-t-il ». Cet article vérifie la plus discrète : avec un journal global laissé ouvert, le relais n'a pas besoin d'être malveillant pour garder la clé que vous y avez mise.

Ce n'est pas le même chemin que « coller un ticket dans un chat web ». Sur une page de conversation, vous vous voyez au moins appuyer sur Coller. Sur un Agent passé par un relais, le contexte est souvent assemblé par des outils. Ce que vous devez vérifier sur cette machine n'est pas « ai-je tapé la clé », mais « ce saut a-t-il une boîte intermédiaire qui doit lire le corps, et ce corps contient-il maintenant un identifiant utilisable tel quel ».

Le moyen le moins cher, pour un relais, de déboguer, facturer ou récolter du texte de fine-tuning, est d'écrire la requête déjà ouverte dans une base. Le prompt, les instructions système, les extraits de fichiers lus par l'Agent et les retours d'outils restent des champs texte. Vendre 6 To de données d'appels, c'est vendre cet historique déjà ouvert. Shou a dit que le dump contenait des clés SSH capables d'atteindre un intranet et des jetons glpat- ; les comptes publics montraient des hôtes GitLab d'entreprise masqués. UsePwd n'a pas acheté ce dump, et cette page ne traitera pas « assez pour prendre le contrôle de l'entreprise X » comme un constat vérifié. Ce que vous pouvez vérifier, c'est le mécanisme : si le journal stocke le corps de requête, une clé qui y est entrée ne se transforme pas toute seule en astérisques.

Ni le cadenas de la barre d'adresse, ni une phrase du fournisseur du type « nous n'entraînons pas sur vos conversations » n'arrêtent cette couche. Quand votre navigateur ou votre éditeur envoie la requête au relais, le TLS s'arrête sur ce saut. Le relais ouvre ensuite une nouvelle session TLS avec son propre compte amont. Chaque fil est chiffré. Le processus sur la machine du milieu voit encore du JSON en clair. Même si le modèle amont n'entraîne jamais sur la conversation, il ne voit pas la copie que le relais a gardée pour lui. Que cette copie existe, et qu'elle soit vendue, relève de la politique de stockage du relais — pas d'une case « conversation temporaire » cochée dans l'éditeur.

Un journal de facturation et un corps d'appel ne sont pas non plus le même fichier. Des comptes de jetons, des noms de modèles et des codes de statut ne vendent pas une clé SSH. Dès que l'exploitation garde le tableau messages entier pour « rejouer cette étape d'Agent qui a échoué », le même fichier sert au débogage et au marché noir. Si le message de Shou a circulé dans les cercles d'ingénierie chinois, c'est que les acheteurs n'ont pas reçu un résumé. Ils ont reçu des identifiants qui fonctionnaient encore. La question à poser n'est pas « le relais journalise-t-il », mais « le journal contient-il le corps du prompt ».

Le Nettoyer un lien UsePwd reconnaît six types de champs dans l'onglet actuel : téléphone, n° d'identité, carte bancaire, e-mail, jetons courants et IP. La classe des jetons correspond à des préfixes que vous pouvez vérifier, dont sk-, sk-ant-, sk-proj-, AKIA, ghp_, github_pat_, glpat-, xoxb- et Bearer . Ouvrez et utilisez — sans inscription. Le texte source n'est pas envoyé et n'est pas écrit dans analytics. Collez un échantillon qui contient glpat- : la page garde le préfixe, masque le milieu et laisse les quatre derniers caractères, ou, en masquage intégral, ne laisse que le préfixe plus des astérisques. Cette étape suffit à prouver, sur cette machine, qu'un jeton cloud ou d'hébergeur git courant peut être attrapé par une règle de format.

Une clé privée SSH n'est en général pas ce genre de préfixe. Une clé OpenSSH est un bloc PEM qui commence par -----BEGIN OPENSSH PRIVATE KEY-----, continue en Base64 et se termine sur une ligne END correspondante. Les configurations VPN, les kubeconfig, les URL de bases et les AccessKey Alibaba Cloud qui ne ressemblent pas à AKIA… passent aussi. Étoiler un numéro de téléphone sur un ticket n'aide pas si l'Agent a déjà lu id_ed25519 dans le contexte. Pourquoi le masquage de format peut encore pointer le même client avant de coller un ticket dans une IA conversationnelle est un autre article : Pourquoi le masquage de format d'un ticket pointe encore le même client. Celui-là parle de la couche d'identité qui reste. Celui-ci parle d'un identifiant de connexion qui reste — et un secret dans le journal d'un relais se laisse souvent utiliser tel quel.

Même un jeton masqué en glpat-***wQ4x peut, avec l'hôte du dépôt, encore restreindre la recherche à un projet. Le masquage intégral retire les quatre derniers. Il ne peut toujours pas retirer « cette conversation parle de cette machine, de ce cluster ». Le geste qui retire vraiment une couche est de garder les clés privées et les jetons cloud hors du prompt : rédigez la procédure comme « le secret voyage sur un lien à usage unique séparé », et laissez l'Agent voir des étapes, pas le matériau. Quand une phrase secrète doit atteindre un collègue, utilisez Burn-Link : cet onglet chiffre avec AES-256-GCM, le texte en clair est plafonné à 32 Ko, la clé circule après # dans s.html?id={id}#{key}, et le serveur ne stocke que le texte chiffré. Création et lecture fonctionnent tout de suite — sans inscription.

Quand un ticket est collé dans une IA conversationnelle, le premier risque est « peut-on encore rattacher cela à une personne ». Le téléphone est étoilé ; le nom, la rue et le n° de ticket restent. Quand un relais vend des journaux d'appels d'Agent, le premier risque est « quelqu'un peut-il encore se connecter au système d'un autre ». Un jeton GitLab, une clé SSH et une clé cloud sont l'identifiant. Tout fondre dans « on a collé quelque chose dans une IA » masque l'ordre de travail : sur un ticket, demandez si la couche d'identité est encore là ; sur une clé, demandez si le corps contient un identifiant utilisable, et si ce saut a une boîte intermédiaire qui doit lire ce corps.

Après une fuite de variables d'environnement cloud, la clé tournée ne doit pas retourner dans une fenêtre de chat ; voir Après une fuite de variables d'environnement, pourquoi la nouvelle clé ne doit pas retourner dans le chat. Cet article-là est la seconde fuite : Slack, WeChat, un ticket ou une capture laisse une copie en clair, consultable. Celui-ci est la première fuite, et elle peut se produire sur le chemin d'appel au modèle : vous n'avez jamais « envoyé la clé à un collègue ». Vous avez seulement laissé un Agent emporter l'espace de travail et finir un déploiement. L'historique de chat et le journal d'un relais ne sont pas la même archive. Le geste est le même — ne remettez pas une nouvelle clé sur un canal qui garde le corps.

Un fragment # d'URL n'entre jamais dans une requête HTTP ; voir Pourquoi le fragment # d'une URL n'apparaît pas dans les journaux serveur. Burn-Link place la clé de déchiffrement dans ce fragment pour que la machine qui stocke le texte chiffré ne voie pas la clé. Un relais est l'inverse : son métier est de lire le corps. Ne lisez pas « le serveur Burn ne voit pas la clé » comme « aucune boîte intermédiaire ne voit le prompt ». Les deux chemins n'ont pas la même visibilité. Vous pouvez les vérifier tous les deux dans le panneau Réseau.

Si un Agent a le droit de lire l'espace de travail, il peut recoller une clé dans la requête sans que vous ouvriez une boîte de chat. Le mode YOLO, les commandes shell auto-approuvées et « traiter tout le dépôt comme contexte » élargissent cette surface. Le constat de l'article — certains relais injectaient des instructions supplémentaires dans la réponse — est un second chemin, actif : le même saut peut garder la clé que vous avez envoyée et réécrire le code que vous récupérez. Ce site ne peut pas vérifier si un relais donné altère les paquets. Il peut seulement rappeler que le saut que vous ne voyez pas peut journaliser, et qu'il peut réécrire.

Un dump de 6 To déjà vendu ne s'évapore pas parce que vous avez changé vos habitudes de prompt aujourd'hui. Shou a dit que certains de ces identifiants pouvaient encore fonctionner. L'ordre de travail est de révoquer d'abord — console cloud, GitLab, hôtes, VPN — puis d'émettre du nouveau matériau. La nouvelle clé ne doit plus rentrer dans le contexte d'un Agent, et ne doit plus rentrer dans une fenêtre de chat. La conservation longue ou la synchro multi-appareils appartient à un gestionnaire de mots de passe dédié. UsePwd n'a ni compte ni coffre, et ne peut pas retrouver un lien perdu par utilisateur. L'identité est dans À propos.

Le masquage de format est une aide, pas la promesse que rien ne passe. Relisez vous-même un texte sortant important. Générez une phrase secrète entre 6 et 128 caractères dans le Générateur de mot de passe, puis utilisez Tester un mot de passe pour la force locale et la liste publique de mots de passe faibles livrée avec la page — pas une recherche Have I Been Pwned à l'échelle du web. Ces pages, comme cet article, fonctionnent tout de suite. Ne lisez pas un cadenas HTTPS, ni une étiquette « temporaire » sur un chat, comme « il n'y a pas de texte en clair dans le processus du relais ». Le chiffrement du fil et un corps déjà ouvert dans un processus ne sont pas la même couche.