Почему после SSH-ключа в промпте агента прокси LLM всё ещё продаёт логи как есть

Прокси LLM — его же продают как OpenAI-совместимый прокси, API-роутер или «шлюз моделей» — стоит между вашим редактором и апстрим-моделью. Команды ставят его, чтобы обойти региональный блок, скинуться на общий аккаунт или купить токены со скидкой. Когда запрос приходит, прокси проверяет вашу квоту, подставляет свой апстрим-ключ и отправляет тот же промпт в Claude или другую модель. Эти три шага работают только если он сначала завершает TLS на своём hop и читает поле messages в JSON либо контекст агента, который туда уже сложили. Русскоязычные пересказы публикации Шоу от 11 сентября, в том числе материал ChainCatcher и заметка iXBT, формулируют тот же факт проще: и запрос, и ответ проходят через прокси, поэтому он видит полный открытый текст. Китайский разбор того же дня назвал любой прикладной прокси без сквозного шифрования «сниффером по устройству»; см. SecRSS, «Данные AI-прокси на чёрном рынке».

Кодовый агент делает этот hop опаснее. Cursor, Claude Code и самописные агенты по вашему разрешению читают рабочую папку, сканируют .env, забирают вывод терминала и вшивают эти куски в следующий промпт. Вам не обязательно самому вставлять -----BEGIN OPENSSH PRIVATE KEY----- в чат. Если агент вытащил закрытый ключ или скрипт деплоя, потому что вы попросили «зайти на стенд», эти байты уже в теле, которое сейчас уйдёт на прокси. Более ранняя статья группы Шоу, Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain, проверила 428 маршрутизаторов: девять переписывали ответ, семнадцать после подложенного тестового ключа AWS реально вызывали AWS, один слил ETH из тестового кошелька. Это отдельное утверждение — «будет ли прокси атаковать». Здесь сверяем более тихое: при включённом глобальном журнале прокси не обязан быть злонамеренным, чтобы оставить ключ, который вы туда положили.

Это не тот же путь, что «вставить тикет в веб-чат». На странице чата вы хотя бы видите, что нажали «вставить». У агента через прокси контекст часто собирают инструменты. На этой машине стоит сверять не «я сам набирал ключ?», а «есть ли на hop посредник, который обязан читать тело, и лежит ли в этом теле уже готовый вход».

Самый дешёвый способ для прокси отлаживать, биллить или собирать корпус для дообучения — записать развёрнутый запрос в базу. Промпт, системные инструкции, куски файлов, которые прочитал агент, и ответы инструментов остаются текстовыми полями. Продать 6 ТБ вызовов — значит продать уже развёрнутую историю. Шоу говорил, что в архиве были SSH-ключи с доступом во внутреннюю сеть и токены glpat-; в открытых пересказах показывали замазанные корпоративные хосты GitLab. UsePwd этот архив не покупал, и страница не выдаёт «хватит, чтобы захватить компанию X» за проверенный вывод. Сверить можно механизм: если журнал хранит тело запроса, ключ, который туда попал, сам собой в звёздочки не превращается.

Ни замок в адресной строке, ни фраза поставщика «мы не учим модель на ваших чатах» этот слой не закрывают. Когда браузер или редактор отправляет запрос на прокси, TLS на этом hop заканчивается. Прокси затем открывает новую TLS-сессию уже своим апстрим-аккаунтом. Каждый провод зашифрован. Процесс на машине посередине всё равно видит JSON открытым текстом. Даже если апстрим-модель никогда не учится на разговоре, она не видит копию, которую прокси оставил себе. Есть ли эта копия и продают ли её — политика хранения прокси, а не переключатель «временный чат» в редакторе.

Биллинговый журнал и тело вызова — тоже разные файлы. Счётчики токенов, имя модели и код ответа SSH-ключ не продадут. Как только эксплуатация оставляет полный массив messages, чтобы «повторить тот упавший шаг агента», тот же файл годится и для отладки, и для чёрного рынка. Публикация Шоу разошлась в инженерных кругах именно потому, что покупателям продали не дайджест. Им продали ещё рабочие учётные данные. Вопрос не «ведёт ли прокси логи», а «есть ли в логе тело промпта».

Очистка конфиденциальности UsePwd в текущей вкладке узнаёт шесть типов полей: телефон, номер документа, карта, почта, обычные токены и IP. Класс токенов ловит префиксы, которые можно сверить: sk-, sk-ant-, sk-proj-, AKIA, ghp_, github_pat_, glpat-, xoxb- и Bearer . Страница открывается сразу, без регистрации. Исходный текст не загружается и не пишется в analytics. Вставьте образец с glpat- — страница оставит префикс, закроет середину и покажет последние четыре либо в полном режиме оставит только префикс и звёздочки. Этого шага достаточно, чтобы на этой машине доказать: обычные облачные и git-токены форматное правило умеет поймать.

Закрытый ключ SSH обычно не такой префикс. Ключ OpenSSH — это PEM-блок, который начинается с -----BEGIN OPENSSH PRIVATE KEY-----, продолжается Base64 и заканчивается парной строкой END. Конфиги VPN, kubeconfig, строка подключения к базе и ключ сервисного аккаунта Yandex Cloud в JSON с полем private_key тоже проскакивают, если у них нет короткой формы вроде AKIA…. Звёздочки на телефоне в тикете не помогают, если агент уже прочитал id_ed25519 в контекст. Почему форматная маска всё равно может указать на того же клиента до вставки тикета в диалоговый ИИ — отдельная статья: Почему форматное маскирование всё ещё указывает на того же клиента. Та — про слой личности, который остался. Эта — про вход, который остался: учётные данные в логе прокси часто можно использовать сразу.

Даже токен вида glpat-***wQ4x вместе с адресом репозитория всё ещё сужает поиск до одного проекта. Полная маска убирает последние четыре. Она не убирает фразу «этот разговор про ту машину, тот кластер». Слой риска снимает другое: ключ и облачный секрет вообще не входят в промпт. В инструкции пишете «секрет идёт отдельной одноразовой ссылкой», агент видит шаги, не материал. Когда парольную фразу нужно отдать коллеге, откройте одноразовую ссылку: текущая вкладка шифрует AES-256-GCM, открытый текст не больше 32 КБ, ключ стоит после # в s.html?id={id}#{key}, сервер хранит только шифротекст. Создать и прочитать можно сразу — регистрироваться не нужно.

Когда тикет вставляют в диалоговый ИИ, первый риск — «можно ли ещё склеить это с одним человеком». Телефон закрыт звёздочками; имя, улица и номер заявки остаются. Когда прокси продаёт логи вызовов агента, первый риск — «можно ли ещё зайти в чужую систему». Токен GitLab, ключ SSH и облачный ключ и есть вход. Свалить оба случая в «мы что-то вставили в ИИ» прячет порядок работы: в тикете спросите, жив ли слой личности; в ключе спросите, есть ли в теле готовые учётные данные и есть ли на hop посредник, который обязан это тело прочитать.

После утечки переменных окружения в облаке новый ключ нельзя снова слать в окно чата; см. После утечки переменных окружения в облаке новый ключ нельзя снова слать в чат. Та статья — про вторую утечку: Telegram, Slack, тикет или скриншот оставляют открытую копию, которую можно найти поиском. Эта — про первую, и она может случиться на пути вызова модели: вы даже не «отправляли ключ коллеге». Вы только дали агенту рабочую папку и попросили закончить деплой. История чата и журнал прокси — разные архивы. Лечение одно: новый ключ не должен идти каналом, который хранит тело.

Фрагмент # в URL не входит в HTTP-запрос; см. Почему фрагмент # в URL не попадает в логи сервера. Burn-Link ставит ключ расшифровки во фрагмент как раз затем, чтобы машина с шифротекстом ключ не видела. Прокси — наоборот: его работа — читать тело. Не читайте «сервер одноразовой ссылки не видит ключ» как «никакой посредник не видит промпт». У двух путей разная видимость. Обе можно сверить в панели Network.

Если агенту разрешено читать рабочую папку, он может вшить ключ в запрос, даже когда вы не открывали чат. Режим YOLO, автоподтверждение команд оболочки и «весь репозиторий как контекст» расширяют эту поверхность. Находка статьи о том, что часть маршрутизаторов вшивала в ответ лишние инструкции, — второй, активный путь: тот же hop может оставить ключ, который вы отправили, и переписать код, который вы получили. Этот сайт не проверит, подменяет ли конкретный прокси пакеты. Он может только напомнить: hop, которого вы не видите, может писать журнал и может переписывать ответ.

Уже проданные 6 ТБ не исчезнут, потому что вы сегодня поменяли привычку в промпте. Шоу говорил, что часть тех учётных данных ещё может работать. Порядок такой: сначала отозвать — консоль облака, GitLab, хосты, VPN — потом выпустить новый материал. Новый ключ не должен снова войти в контекст агента и не должен снова войти в окно чата. Долгое хранение и синхронизация между устройствами — задача отдельного менеджера паролей. У UsePwd нет аккаунтов и хранилища паролей, потерянную ссылку по пользователю не восстановить. Кто мы — на странице О сервисе.

Форматная маска — подсказка, не обещание, что ничего не проскочит. Важный исходящий текст всё равно просмотрите глазами. Парольную фразу от 6 до 128 символов можно собрать в генераторе паролей, затем сверить локальную стойкость и открытый список слабых паролей на странице проверки пароля — это не поиск Have I Been Pwned по всей сети. Эти страницы, как и статья, открываются сразу. Не читайте замок HTTPS или пометку «временный чат» как «внутри процесса прокси нет открытого текста». Шифрование провода и тело внутри процесса — разные слои.