先に結論です。LLM中継（LLM APIルーター）はクライアントと上流モデルのあいだにあり、2026年の実測論文はそれを「途中のJSONのすべてに、完全な平文可視性を持つアプリケーション層プロキシ」と書いています。HTTPSが守るのは、あなたからこのプロキシまでの転送だけです。鍵をプロンプトやツール引数へ書いた時点で、中継のログにそれが現れるのに、TLSを破る必要はありません。
検索意図に一文で答える
呼び出しダンプにSSH鍵が出るのは、「HTTPSが壊れた」からではありません。鍵が先に、中継へ送る平文の文脈へ書かれたからです。中継がリクエストを転送するにはJSONを読む必要があり、読めるなら保存も販売もできます。論文の原文はこの境界を固定しています。第三者ルーターはアプリケーション層プロキシとして動き、途中のJSONごとに完全な平文可視性を持ち、クライアントと上流モデルのあいだに、検証可能な暗号学的完全性は強制されていません。
この記事は、IDEのAgent、自前ゲートウェイ、「安い中継」でモデルを呼んでいる開発者と運用向けです。個人情報マスクの操作説明の代わりにも、「チケットをチャットへ貼る前に欄を伏せる」前回の代わりにもしません。持ち帰ってほしいのは四つです。9月の投稿が証拠として使える範囲、HTTPSが守る二つの端、Agentの文脈がチケットより秘密鍵一式を挟みやすい理由、そしてこの端末のNetworkと、これから送る一文でその場照合する方法です。
9月の投稿が実際に述べたこと
2026年9月11日の公開報道が伝えるところでは、研究者 Chaofan Shou（寿超凡）は9月10日の投稿でこう述べました。あるトップクラスの中国語LLMルーターから、約6TBのFableモデル呼び出しデータセットを購入した。その中のSSH鍵、VPN設定、Aliyunの鍵、GitLabトークンがあれば、中国およびCIS関連の7機関と、19の中国企業へ入れる、と。投稿はいくつかのブランドを例に挙げ、複数の中国語セキュリティ媒体が9月11日に続報しました。
この段落で照合リストへ書いてよい文は、三つだけです。第一に、「中継は呼び出し記録を保存し、まとめて売ることもある」という攻撃面があり、テラバイト単位のデータを買ったと公開で主張する人がいる。第二に、点名された資格情報の種類、秘密鍵、VPN、クラウド鍵、GitLabトークンは、Agentのデバッグで文脈へまとめて貼りやすいものばかりである。第三に、「乗っ取るのに足りる」は研究者の能力主張であり、第三者監査が確認した侵入通報ではない。FastPwdはその6TBファイルを検証しておらず、点名されたブランドを「侵入済み」とも書きません。
話題を見出しにするのは構いません。話題を、すでに判決が出た事件としては書けません。処理すべきなのは同じ技術経路です。平文のプロンプトが端末を出たあと、中継は「透明な管」ではありません。
中継が見ている平文は、どの層か
公式のモデルAPIはたいてい、クライアントがベンダーへ直接つながり、TLSの終点はベンダーです。中継はホップを一つ足します。クライアントは先にルーターへ打ち、ルーターが上流ベンダー向けの呼び出しへ書き換える。クライアントから見ると、証明書とアドレス欄（またはHTTPライブラリのpeer）はルーターで止まります。ルーターがTLSを解いたあと見るのは、完全なリクエスト本体です。システムプロンプト、利用者の質問、ツール名、引数、ときにはリポジトリの経路と .env の断片です。
Liu、Shou らの論文 Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain（arXiv:2604.08407、CCS 2026）は、脅威モデルに二種類の攻撃を書いています。ツール呼び出しのペイロードを書き換える（AC-1）ことと、平文ペイロードから鍵をすくい取る（AC-2）ことです。電子商取引と独立店舗から有料ルーター28件を買い、公開コミュニティから無料ルーター400件を集めました。結果は、有料1件と無料8件が能動的に悪意あるコードを注入し、17件が研究者自身のAWSカナリア資格情報に触れ、1件が研究者のテスト秘密鍵からETHを動かした、です。その後の汚染実験では、弱い設定の囮が累計99件の資格情報を露出させ、440件のCodexセッションを覆い、うち401件は確認不要のYOLOモードでした。
これらの数字を、あなたが実験として再現する必要はありません。すでに発表されている一事だけを示します。中継は「見える」だけでなく、一部のノードは「書き換え」と「行使」もする。有料は検査免除の宣言ではありません。9月の6TBデータは、同じ経路で「見て残した」ことが公開で点名された一例です。
| 見える現象 | 支えられる結論 | 支えられない結論 |
|---|---|---|
| クライアントがHTTPS / 安全な接続と表示する | 今のTLS終点までの転送は暗号化されている | 中継はプロンプトを見ない |
| 中継がツール呼び出しを転送できる | 平文のJSONを解析する必要がある | バイトを透過するだけで、ディスクへ残さない |
| 研究者が6TBの呼び出しデータを買ったと述べる | 「ログがまとめて売られた」という公開主張がある | 点名された会社の侵入が独立に確認された |
| 論文がルーターによるペイロード改変を測った | 一部のノードは保存だけでなく注入もする | すべての中継が汚染している |
| チケットはすでに規則マスク済み | よくある電話番号や身分証番号は伏せられたかもしれない | Agent文脈のSSH秘密鍵一式も止まった |
HTTPSは路上の人を止め、中継が本文を読むことは止めない
MDNのTLS説明は保護範囲をこう書いています。信頼できないネットワークを隔てるとき、暗号化、完全性、サーバー認証はクライアントとサーバーのあいだで起き、HTTPを守るときはHTTPSと呼ぶ。ハンドシェイクのあと、このホップではHTTPヘッダと本文は暗号文です。中継の場面では、「サーバー」はルーターです。どの上流を呼ぶか、ツール引数は何か、を知るには復号が要ります。復号したあとログへ残すなら、二度目の「端から端まで」は通りません。
したがって、「全部HTTPSだから鍵は漏れない」は、この経路では成り立ちません。正しい文はこうです。公衆網のこのホップにはTLSがあり、路上の傍路キャプチャはJSONを読みにくい。ルーターのプロセス、そのディスク、その運用者、データを買った人は、傍観者の列に入りません。
公式直結でも、ベンダー職員を「平文を見られる人」から外せません。差は信頼境界の位置です。本文をモデルベンダーの正式インターフェースへ渡すのか、差額、枠、あるいは「Claudeが使える」を売りにする第三者へ渡すのか。後者は、鍵の取り扱いについてあなたと契約していないことが多いのに、ベンダーより先に同じJSONを読みます。
Agentの文脈が、チケットより秘密鍵一式を挟みやすい理由
チケットをウェブ版のチャットへ貼るときは、人は少なくとも送る字を一目見ます。AgentとIDEプラグインは、文脈を自動で組み立てることが多いです。今開いているファイル、端末のエラー、Git remote、.env、さっき失敗した ssh コマンド。YOLOや「ツールを自動承認」を入れると、送信を押していなくても秘密鍵がリクエスト本体へ入ります。論文の401 / 440件のセッションは、すでにこのモードで走っていました。修辞ではありません。
規則マスクが得意なのは、電話番号、身分証、メールのように形が決まった欄を伏せることです。「id_rsa の全文をシステムプロンプトへ添付する」ことや、「AKIA… と対応するSecretをツール引数へ書く」ことは伏せられません。前回が扱ったのは、チケットを外へ出す前に欄を照合することです。今回が先に聞くのは、今回のJSONに、ログインできる秘密がまとまって入っていないかです。両方必要であり、片方で片方を代替できません。
同僚へ渡す必要がある一回限りのパスワードも、Agentへ迂回して書いてはいけません。より適切な経路はワンタイムリンクです。この端末で暗号化したあと、サーバーへ渡すのは暗号文だけ、復号鍵は s.html?id={id}#{key} のシャープの後ろに残します。作成も閲覧も開いてすぐ使えます。再読み込みで削除済みと出ても、サーバー上の暗号文がなくなっただけで、相手が画面撮影していない証明にはなりません。それは別記事の境界です。少なくとも、「6TBのログを残す中継へパスワードを渡す」より、平文のホップが一つ減ります。
本物のSSH秘密鍵、本番のクラウド鍵、まだ回していないGitLabトークン、マスクしていないチケットで実験しないでください。捨てられるカナリア、たとえば CANARY-LLM-20260916 を用意します。照合するのは出域境界であり、まだ扉を開ける鍵をもう一度送ることではありません。
その場で照合する：Host、JSON、これから送る文
スローガンは証拠になりません。次の三歩は、今の機械で、アカウントなしで終えられます。目的は6TBの取引を再現することではなく、自分のクライアントが今回、本文を誰へ打ち、何を出したかを確認することです。
- 開発者ツールのNetworkを開くか、この端末のプロキシや端末でAgentのHTTPS対向を見てください。Hostを記録します。公式APIのドメインか、中継か、自前ゲートウェイか、海外中継か。証明書の発行先は、このHostと一致していなければなりません。
- 本物の業務に出ないカナリアを一つ作り、今回のプロンプトまたはツール引数へ書いて送り、送信後にその文字列でリクエスト本体を検索します。当たれば、その文字は業務データとして端末を出ています。アドレス欄やHTTPライブラリがHTTPSと出しても、この結論は変わりません。
- 「これから送る」文を、別に一度照合します。SSH秘密鍵の頭
BEGIN OPENSSH PRIVATE KEY、クラウド鍵、GitLabのglpat-、VPN設定ブロックが残っているなら、送らないでください。よくある電話番号、身分証番号、メールは先に規則マスクへ回せます。まとまったパスワードと秘密鍵はプレースホルダへ変えるか、モデル経路ではなくワンタイムリンクで人へ渡してください。
南京錠より、Hostの名簿の方が「誰が見るか」に近い
同じ会社に、公式SDKと、社員が手元で付けた base_url が同時にあることがあります。「某モデルを使っている」だけでは足りず、実際のリクエストのホスト名を見てください。中継は自分のドメインでTLSを終え、その後ろで自分の上流鍵を使ってベンダーを呼ぶことが多いです。鍵が最初のホップのJSONに出た時点で、ベンダーは唯一の読者ですらありません。
照合の対象は、これから送る文である
画面上の「マスク済み」「プライバシーモード」「学習に使わない」が変えるのは、相手の保持と学習の仕方だけです。欄がすでに端末を出た事実は変わりません。中継が呼び出しデータを売っても、学習スイッチは助けになりません。照合の対象は、いつでも今回のリクエスト本体であり、スイッチの文言ではありません。
パッケージされたAgentは、リクエストをこの機械のlocalhostプロキシへ送り、プロキシが外へ出すことがあります。外網のHostが見つからないときは、ローカルポートの次のホップを追ってください。ローカルプロキシは終点ではなく、平文をもう一度手渡しているだけです。
この話題を読み過ぎる三つの場合
第一に、研究者が点名したブランドを「侵入確認済み」と書くこと。投稿は能力主張です。FastPwdと無関係な第三者の鑑識が足りないなら、判決としては書かない。できるのは、自分の環境に出た同種の資格情報を回し、まだ使える鍵を中継へ送るのを止めることです。
第二に、「公式APIへ替えれば、平文は端末を出ない」と書くこと。公式インターフェースも、サーバー上でプロンプトを読みます。減るのは「差額中継がディスクへ残して売る」このホップであり、「モデル側が見えない」ではありません。本文を自分の管理下のプロセスに残すのは、本機モデルか、本機でのマスクです。
第三に、FastPwdを中継の監査役として書くこと。モデル通信を中継せず、アカウントもパスワード保存機能もありません。その場でできるのは、これから外へ出す文をブラウザで伏せることと、一回限りの秘密をワンタイムリンクで人へ渡すことです。ファイル暗号化はAES-256-GCMで5 GBまでのファイルを扱い、出力は .lock / .enc、平文はデフォルトでアップロードしません。それは「先に暗号化してから出す」別の経路であり、すでにプロンプトへ書いた秘密鍵は解決しません。
よくある質問
LLM中継がHTTPSなら、プロンプトは暗号化されていますか？
HTTPSが暗号化するのは、クライアントから今のTLS終点までの転送だけです。中継そのものがこのホップの終点であり、論文はそれを、途中のJSONをすべて平文で見られるアプリケーション層プロキシと書いています。路上の傍観者はパケットを読みにくい一方、中継のログ、運用者、データを買った人は、プロンプト、ツール呼び出し、鍵を読めることがあります。
6TBのデータは、点名された会社の侵入が証明された、という意味ですか？
違います。9月10日の公開投稿は研究者の主張です。約6TBの呼び出しデータを買い、いくつかの企業や機関へ入れる資格情報が含まれていた、と述べています。本稿はそれを照合すべき公開主張として扱い、検証済みの侵入事実としては書きません。その場で照合できるのは、自分の今回のリクエストに、まだ使える鍵をプロンプトへ書いたかどうかです。
チケットをChatGPTに貼る前のマスクと同じ層ですか？
同じ層ではありません。チケットのマスクが照合するのは、これから貼る文に電話番号、身分証番号、メールが残っていないかです。LLM中継の問題が照合するのは、Agentが出したJSONがどのホストへ着いたか、SSH秘密鍵とクラウドトークンがツール引数として端末を出ていないかです。欄のマスクはチケットを伏せられても、秘密鍵一式を文脈へ入れたことは止められません。
FastPwdは、中継がログを売ることを止められますか？
止められません。FastPwdにアカウントはなく、大規模言語モデルの通信も中継しません。できるのは、文が端末を出る前によくある機密欄を規則で伏せることと、同僚へ渡す必要があるパスワードをワンタイムリンクへ回し、鍵をURLの # の後ろに残すことです。開いてすぐ使えます。まだ使えるSSH鍵とクラウドトークンは、もともとプロンプトへ書いてはいけません。
同じカナリアを、開いてすぐ使えるツールで一度照合する
外へ出すのがチケット、ログ、スタックトレースなら、FastPwdの個人情報マスクを開いてください。登録は不要です。捨てられるテスト段落を貼り、マスク結果を照合します。電話番号、身分証番号、メール、よくあるAPI Keyの形が、原文のまま出てはいけないか。原文はデフォルトでアップロードしません。規則が覆えないまとまったパスワードは、「だいたい伏せた」で済まさず、プレースホルダへ変えてください。
一回限りのテストパスワードを、モデルではなく同僚へ渡すなら、ワンタイムリンクを開き、s.html?id={id}#{key} を作ります。Networkを照合してください。リクエスト行にあるべきなのは id だけであり、シャープの後ろの鍵は出てはいけません。これは「人と人で秘密を一度渡す」問題であり、「中継を安全にする」問題ではありません。
次に「LLM中継6TB」「呼び出しにSSH」を見たら、先に三つ聞いてください。第一に、今回のJSONのTLS終点は公式インターフェースか、第三者ルーターか。第二に、これから送る文に、ログインできる秘密がまとまって残っていないか。第三に、人へ渡すパスワードはシャープの後ろの鍵へ回したか、Agentへ迂回して書いたか。繰り返せる観察だけが、自前の審査リストに書けます。
関連記事
チケットとログをAIに貼る前に、どの欄が端末を出るかを先に照合する方法は、チケットとログをAIに貼る前に、どの欄が端末を出るかを確認する。ブラウザのローカル暗号化で、カナリアを使ってNetworkを検索する方法は、ブラウザのローカル暗号化で、平文が端末を出ていないことを確認する。シャープの後ろがデフォルトでHTTPに入らない理由は、URLの#以降に鍵を置ける理由と、その保護が崩れる場面。