把 SSH 私鑰和雲端金鑰寫進 Agent 提示詞之後，大語言模型中轉站為什麼還能把呼叫紀錄原樣賣掉

大語言模型中轉站夾在你的編輯器和上游模型之間。台灣團隊常用它繞過區域限制、分攤帳號或拿折扣價；華語圈也常把同一類服務叫作 API 中繼站。請求到達中轉之後，對方要核對你的呼叫額度、換上自己的上游金鑰、再把同一段提示詞轉給 Claude 或其他模型。要完成這三步，中轉站必須先把 HTTPS 接到自己這一跳上的請求解開，讀出 JSON 裡的 messages 或 Agent 上下文。安全內參 9 月 11 日對壽超璠披露的報導，把這一層寫成「任何缺乏端對端加密的應用層代理，本質上就是一個流量擷取工具」，見《實測揭祕：AI中轉站數據流入黑市》。ChainCatcher 同一天的繁中轉述也寫明：請求和回覆都會先經過中轉，因此能看到完整明文，見《研究員稱購 6TB 中轉站數據可攻入 19 家企業》。

開發用 Agent 讓這一跳更危險。Cursor、Claude Code 以及各類自製智慧代理，會依你的授權去讀工作區、掃描 .env、抓終端機輸出，再把這些片段拼進下一次提示詞。開發者不一定親手把 -----BEGIN OPENSSH PRIVATE KEY----- 貼進對話框；只要 Agent 為了「幫你連上測試機」把私鑰或部署腳本讀進來，這段位元組就已經在即將發給中轉站的正文裡。壽超璠團隊更早的論文 Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain 測過 428 個路由器：9 個會改回傳內容，17 個在看到研究人員放入的 AWS 測試金鑰後真的拿去呼叫 AWS，還有 1 個轉走了測試錢包裡的 ETH。那是另一條「中轉站會不會主動作惡」的證據。本篇要核對的，是更普通的一條：它只要開著全域日誌，不必作惡，也能把你寫進去的金鑰留下。

這和「對話式網頁裡貼工單」不是同一條路徑。工單貼進網頁版模型時，你至少看見自己按了貼上。Agent 走中轉時，上下文往往是工具自動拼的。你在本機核對的，不該是「我有沒有親手貼金鑰」，而該是「這一跳有沒有一個必須看見正文的中轉，以及正文裡現在有沒有能直接用的憑證」。

中轉站要除錯、計費、做微調語料，最省事的做法是把解開後的請求整段寫入資料庫。提示詞、系統指令、Agent 讀到的檔案片段、工具回傳值，都會以文字欄位留下來。賣掉 6TB 呼叫資料，賣的就是這層已經解開的歷史。研究員聲稱其中有可直連內網的 SSH 私鑰和 glpat- 權杖；公開報導展示過打碼後的企業 GitLab 位址。本站沒有買過那份資料，也不把「足以接管某家公司」寫成已核實結論。能當場核對的是機制：只要日誌裡存的是請求正文，寫進去的金鑰就不會自動變成星號。

HTTPS 憑證和「廠商說不訓練」都擋不住這一層。你的瀏覽器或編輯器把請求發給中轉站時，TLS 在這一跳終止。中轉站用自己的上游帳號再開一跳新的 TLS。兩段線路各自加密，中間那台機器上的行程看到的仍是明文 JSON。上游模型即使承諾不把對話用於訓練，也看不見中轉站自己留下的副本。副本在不在、賣不賣，取決於中轉站的儲存策略，不取決於你有沒有勾選「暫時對話」。

計費日誌和呼叫正文也不是同一份檔案。只記 token 數、模型名和狀態碼，賣不掉 SSH 私鑰。一旦維運為了「重現那次失敗的 Agent 步驟」把完整 messages 留下，這份檔案就同時具備除錯價值和黑市價值。壽超璠的披露之所以能在華語技術圈傳開，正是因為買家買到的不是摘要，而是還能用的憑證。你要判斷的不是「中轉站有沒有日誌」，而是「日誌裡有沒有提示詞正文」。

UsePwd 的隱私清理在目前分頁依格式辨識六類欄位：電話、證件字號、銀行卡、信箱、常見 API Key／權杖和 IP。權杖這一類認的是能核對的前綴，例如 sk-、sk-ant-、sk-proj-、AKIA、ghp_、github_pat_、glpat-、xoxb- 和 Bearer 。開啟即用，原文預設不上傳，也不寫進 analytics。你把一段帶 glpat- 的測試文字貼進去，頁面會留下前綴、蓋住中間、露出後四位，或在完全遮罩模式下只留前綴加星號。這一步能當場證明：常見雲端和程式碼託管權杖，至少能被格式規則抓住。

SSH 私鑰通常不是這種前綴。OpenSSH 私鑰是 -----BEGIN OPENSSH PRIVATE KEY----- 開頭的 PEM 區塊，中間是 Base64，結尾有對應的 END 列。VPN 設定、kubeconfig、資料庫連線字串、阿里雲 AccessKey 若沒用 AKIA 這類規則認得出的形狀，格式脫敏也抓不到。工單裡把手機號打星，解決不了「Agent 把 id_ed25519 讀進上下文」這件事。把工單貼進對話式 AI 之前，格式脫敏為什麼仍可能對回同一個客戶，見把工單原文貼進對話式 AI 之前，格式脫敏為什麼仍可能對回同一個客戶。那篇寫的是身分層還在；本篇寫的是通行憑證還在，而且中轉站日誌裡的憑證往往能直接登入。

即便權杖被蓋成 glpat-***wQ4x，後四位加上儲存庫位址，仍可能縮小到具體專案。完全遮罩能去掉後四位，仍然去不掉「這段對話在談哪台機器、哪個叢集」。真正少一層風險的做法，是根本不讓私鑰和雲端金鑰進入提示詞：部署說明寫成「金鑰走另一條一次性連結」，Agent 只看到步驟，看不到材料。需要把口令交給同事時，用閱後即焚：目前分頁按 AES-256-GCM 加密，明文上限 32 KB，金鑰接在 s.html?id={id}#{key} 的 # 之後，伺服器只暫存密文。建立和閱讀都開啟即用，不必先註冊。

工單貼進對話式 AI，風險首先是「還指得回同一個人」。手機號打了星，姓名、地址和單號仍在。中轉站賣掉 Agent 呼叫紀錄，風險首先是「還登得上別人的系統」。GitLab 權杖、SSH 私鑰、雲端金鑰本身就是登入材料。把這兩件事合成「都是貼進 AI」會漏掉處置順序：工單要先問身分層還在不在；金鑰要先問正文裡有沒有能直接用的憑證，以及這一跳有沒有必須看見正文的中轉。

雲端平台環境變數被拖走之後，新金鑰不該再發到聊天視窗，見雲端平台環境變數被拖走之後，新金鑰為什麼不該再發到聊天視窗。那篇寫的是輪替之後的第二輪外洩：Slack、聊天軟體、工單和截圖會留下可搜尋的明文副本。本篇寫的是第一輪就可以發生在模型呼叫鏈上：你甚至沒有把金鑰「發給同事」，只是讓 Agent 帶著工作區去完成部署。聊天紀錄和中轉站日誌不是同一份檔案，但處置一樣——新金鑰不要再走會留下正文的通道。

URL 的 # 片段不會進入 HTTP 請求，見URL 的 # 片段為什麼不會出現在伺服器日誌裡。閱後即焚把解密金鑰接在片段裡，正是為了讓暫存密文的那一台伺服器看不到金鑰。中轉站正好相反：它的業務就是讀正文。不要把「焚鏈伺服器看不到金鑰」理解成「任意中間人看不到提示詞」。兩條鏈路的可見範圍不一樣，能當場用網路面板核對。

Agent 只要有權讀工作區，就能在你沒打開對話框的情況下把金鑰拼進請求。YOLO 模式、自動核准終端機指令、把整個儲存庫當成上下文，都會擴大這一面。論文裡測到的「回傳內容被植入額外指令」，是另一條主動作惡路徑：中轉站不但能留下你送出去的金鑰，還能改你收回來的程式碼。本站核對不了某家中轉是否在改包，只能提醒：你看不見的那一跳，既可能記日誌，也可能改回應。

已經賣掉的 6TB 不會因為你今天改了提示詞習慣而消失。研究員聲稱其中的憑證仍可能有效；處置順序是先在雲端主控台、GitLab、主機和 VPN 上撤銷，再換新材料。新金鑰不要再進 Agent 上下文，也不要再進聊天視窗。需要長期保存或多裝置同步時，應使用專門的密碼管理員。UsePwd 沒有帳號和密碼庫，也不能依使用者找回遺失的連結。身分說明見關於。

格式脫敏是輔助，不是保證一個不漏。重要外發請再人工看一眼。口令本身可用密碼產生器在 6–128 位之間產生，再用密碼檢測看本機強度和公開弱密碼名單，不是全網 HIBP。這些頁面和本篇一樣開啟即用。不要把「HTTPS 小鎖」或「對話標了暫時」理解成「中轉站行程裡沒有明文」：線路加密和行程內正文不是同一層。