简版:没有密码学被破解。密钥只是被代理配置为信任的路由器以明文读取,随后在链上被重复使用。
机制——AC-2,被动秘密外泄(§4.1.2)
每一跳路由器都会终止入站 TLS 会话,因此它在请求路径上持有完整明文:标头、提示词、工具定义、工具调用参数、工具输出、环境变量、文件内容。恶意路由器只需对该数据流进行正则扫描即可。列表 1 给出了它们的诱捕模式,包括:
0x[a-fA-F0-9]{64} // 以太坊密钥
AKIA[A-Z0-9]{16} // AWS 密钥
sk-[A-Za-z0-9]{20,} // OpenAI 密钥
-----BEGIN .* PRIVATE KEY-----
路由器完全不加修改地转发响应,并异步外泄匹配结果。这正是其棘手之处:完全无需重写载荷,不会出现任何模式无效内容,客户端也无法观察到任何异常。论文指出,响应签名方案完全无法解决这一问题,因为暴露发生在请求路径上,而此时提供商侧的任何完整性机制都尚不存在。
测量(§5.1、§5.2)
他们在 28 个付费路由器和 400 个免费路由器上注册账户,通过沙箱运行 TerminalBench 2.0 和自定义任务来执行代理会话,并将研究人员自有的诱饵——预注资的 ETH 私钥和 AWS 凭证——植入自然经过代理会话的流量中。随后,他们观察外部可见的后续滥用,而不只是单纯的暴露。他们的