最好别用任何中转，包括付费和免费，大企业也控制不了风险

这个博主就是第一个公布claude code源码泄漏的炒饭君

作者研究论文：

论文叫《Your Agent Is Mine》，研究的是 LLM API Router 对 Agent 构成的供应链攻击。

中转站为什么危险？

你的 Codex、Claude Code 或 Hermes 请求通常走这条路径。

Agent → 中转站 → 上游模型

两段连接都可以使用 HTTPS，但 TLS 只保护每一段传输。中转站需要解密你的请求，再重新请求上游模型，因此它天然能看到完整明文。

这包括 System Prompt、文件内容、工具定义、Shell 命令、API Key、环境变量和模型返回的 Tool Call。

更麻烦的地方在返回阶段。

上游模型原本可能返回一条正常的安装命令。中转站可以在响应经过时修改 JSON，把下载地址换掉，或者把 requests 偷偷改成外观相似的恶意包名。

Tool Call 的名字和 JSON Schema 依然合法，Agent 不会觉得格式有问题。模型本身也完全无辜，因为修改发生在模型完成推理之后。

论文把攻击分成两类。

AC-1 会修改模型返回的工具参数，让 Agent 执行攻击者指定的命令。

AC-2 不改任何内容，只在请求经过时扫描并保存 AWS Key、GitHub Token、Slack Token、私钥和其他凭据。这种攻击不会改变响应，客户端几乎看不出异常。

攻击者还可以做条件投放。

论文发现，有路由器先正常工作 50 次，再开始注入；也有路由器只攻击开启 YOLO 自动批准的 Agent，或者只在识别到 Rust、Go 项目时动手。

所以你手动测试十几次都正常，并不能证明中转站安全。

论文测试了 28 个付费路由器和 400 个免费路由器。结果需要准确拆开来看。

1 个付费路由器和 8 个免费路由器会主动注入恶意代码。

17 个免费路由器在看到研究人员设置的 AWS Canary 凭据后，触发了后续使用。

其中一个路由器还转走了研究人员专门放置的 ETH。

网上流传的“26 个中转站全部注入恶意 Tool Call”并不符合论文口径。9 个代码注入和 17 个凭据触碰不能直接合并成 26 个独立恶意路由器，两组对象还可能重叠。

论文还主动泄露了一个研究用途的 OpenAI Key。这个 Key 后续产生了约 1 亿 GPT-5.4 Tokens，并出现超过 7 个 Codex Sessions。

另一组实验部署了带弱配置的诱捕路由器。它们后来被塞进真实的转发路径，最终看到了约 20 亿 Tokens、440 个 Codex Sessions 和 99 组凭据。

最吓人的是，440 个 Sessions 全部存在命令注入路径，其中 401 个已经开启 YOLO 自动执行。攻击者甚至不需要设计特别复杂的骗术，只要改掉一次 Tool Call，命令就会直接执行。