За восемь дней наблюдений за интернет-трафиком выявлено 10 867 скрытых серверов-посредников. Через них проходят запросы к самым мощным коммерческим ИИ-моделям. Посредники скрывают, кто именно отправляет эти запросы. Схема помогает обходить региональные запреты, делить один аккаунт между сотнями людей и забирать чужие ответы, чтобы обучать на них собственные разработки. Риски касаются прежде всего владельцев моделей и их добросовестных клиентов. Нагрузка на вычислительные ресурсы растёт, а договоры с пользователями перестают работать так, как задумано.
Описание
Посредник устроен просто. Он держит набор оплаченных подписок и ключей доступа, а клиентам выдаёт собственные ключи. Пользователь проходит проверку у посредника, посредник - у поставщика модели. Поэтому поставщик видит адрес посредника и никогда не видит настоящий адрес клиента. Такая прослойка рушит все механизмы контроля, которые опираются на привязку запроса к конкретному аккаунту. Речь об учёте расхода, ограничении скорости, выявлении злоупотреблений и географических запретах.
Экосистема выросла вокруг двух комплектов программ, опубликованных на GitHub под названиями Claude Relay Service и sub2api. Документация к ним написана на китайском языке. Любой из этих наборов превращает один или несколько аккаунтов в общий шлюз. Вторая версия умеет управлять пользователями, считать их расходы, превращать подписку в платный доступ и проверять запросы. Проект разошёлся более чем на восемь тысяч копий. Канал в Telegram собрал почти семь тысяч подписчиков. Из 10 867 работающих узлов 9 456 используют вторую версию, а 1 353 - первую, которая уже устарела. Все они разбросаны по 457 разным провайдерским сетям, и ни один хостинг-провайдер не обслуживает больше 11% узлов. Рассредоточенность говорит о десятках независимых операторов.
Всего на странице проекта указано двадцать шесть коммерческих спонсоров, по данным Team Cymru. Пятнадцать из них перепродают доступ к моделям OpenAI, Anthropic и Google и адресуют услуги самым активным пользователям больших моделей. Семь торгуют резидентными прокси-серверами: сами по себе они не вредоносны, но помогают обходить географические ограничения и мешают владельцам сайтов блокировать нежелательный трафик. Два спонсора поставляют аккаунты к передовым моделям и добывают их незаконно, в том числе через злоупотребление рекламными предложениями и кражу учётных данных. Ещё один связан с сетью доставки контента, которую создатели описывают как оптимизированную под большой объём ИИ-трафика, а последний - с генерацией изображений и видео.
Главная угроза - дистилляция моделей. Вместо того чтобы самостоятельно собрать данные, вычислительные мощности и провести исследования, злоумышленник массово опрашивает сильную модель и накапливает её ответы. Затем он дообучает на них свою, более дешёвую модель. Часть возможностей дорогой разработки переходит к нему по цене отдельных запросов. Именно поэтому крупные поставщики прямо запрещают использовать свои ответы для обучения конкурирующих систем.
Асимметрия трафика видна в цифрах. За восемь дней в конце августа свыше четырёх тысяч адресов из Китая и Гонконга обратились к 304 посредникам. В сторону посредников ушло около 14 терабайт, обратно вернулось чуть больше 7 терабайт. Если отбросить мелких пользователей, остаётся примерно 244 адреса, 173 посредника и 262 точки подключения к ИИ-сервисам, включая модели и обучающие наборы данных. Ещё показательнее один участок: 17 посредников обратились к сервису компании Anthropic и отправили 81 гигабайт данных, получив в ответ 1,4 гигабайта. Соотношение составило 58 к 1. По пересчёту на объём текста это 16-23 млрд входных токенов и 140-200 млн выходных. Если платить по обычным тарифам, такой объём стоит от 160 до 240 тысяч долларов. И это лишь 17 узлов из 10 867.
Работа идёт по расписанию пекинского рабочего дня. Объём растёт с утра, проваливается в обеденный перерыв, возвращается к прежнему уровню и сходит на нет к полуночи. Шестидневной недели, характерной для китайского графика 996, здесь не наблюдается. Конечные точки распадаются на два кластера. Китайские модели - Doubao от подразделения ByteDance, DeepSeek, Qwen, Zhipu и MiniMax - принимают трафик с преобладанием скачивания, что похоже на агрегацию и перепродажу. Западные сервисы OpenAI, Anthropic, xAI и Google получают в основном отправляемые данные, а это уже обход региональных запретов и дистилляция.
Условия всех проверенных западных поставщиков запрещают и перенос клиентов из закрытых регионов, и объединение многих людей под одними учётными данными. Китай и Гонконг как раз входят в закрытые регионы. Отдельного внимания заслуживает один узел в Пекине. Он отправил свыше 19 гигабайт единственному посреднику, и это 70% всего трафика того посредника. Тот же адрес напрямую обратился к американскому архиву медицинских изображений, доступ к которому заявлен как требующий авторизации. Выгрузка шла полными пакетами в двух сессиях два дня подряд. Разбор этого эпизода ещё продолжается. Свои находки авторы отчёта передали поставщикам моделей.
Владельцам моделей теперь мало блокировать отдельные адреса. Полезнее сопоставлять поведение аккаунтов, следить за резкими всплесками однотипных запросов и за тем, как расходятся объёмы отправки и получения. Компаниям, которые пользуются ИИ-сервисами, стоит держать ключи доступа внутри своей инфраструктуры, не передавать их в общие пулы и проверять, кто работает с моделями от их имени. Ставка на то, что региональные запреты и условия использования сами остановят злоупотребления, не оправдалась. Обход правил превратился в отдельный рынок с десятками поставщиков, спонсорами и устойчивым платёжным потоком.
Индикаторы компрометации
