Почему ваша LLM-платформа — следующая цель: аудит безопасности AI-сервиса изнутри

Пользователь → API → База данных

Пользователь → API → Прокси → Evaluate (ключи) → Worker → LLM-провайдер
                                    ↕                  ↕
                               PostgreSQL         api.anthropic.com
                               (пул ключей)       (x-api-key: sk-ant-...)

• Дорогие секреты в обороте. API-ключи от Anthropic/OpenAI — это не пароли от тестовой БД. Это прямой доступ к биллингу на десятки тысяч долларов в месяц.
  
• User-controlled routing. В классическом SaaS пользователь отправляет данные. В LLM-платформе пользователь может косвенно влиять на то, куда сервер отправит HTTP-запрос — через выбор модели, хоста, параметров.
  
• Прокси-архитектура с передачей секретов. Ключ извлекается из базы, передаётся между сервисами, оседает в памяти процесса. Каждый этап — потенциальная точка утечки.
  
• Быстрый MVP → безопасность потом. AI-стартапы торопятся. Docker-compose в продакшене, дефолтные секреты, отсутствие сегментации — не исключение, а правило.

╔══════════════════════════╗
  Пользователь            ║   Точки компрометации:   ║
      │                   ╚══════════════════════════╝
      ▼
  ┌─────────┐
  │   API   │◄──── JWT forgery (дефолтный секрет)
  └────┬────┘
       ▼
  ┌─────────┐
  │   RAG   │◄──── SSRF (user-controlled model host)
  │  Proxy  │
  └────┬────┘
       ▼
  ┌─────────┐
  │Evaluate │     Ключ извлекается из БД (plain text)
  └────┬────┘     и передаётся дальше по цепочке
       ▼
  ┌─────────┐
  │ Worker  │──── canary injection (подмена ответов)
  └────┬────┘
       ▼
  api.anthropic.com
  x-api-key: sk-ant-...       Docker API (порт 2375)
                                     │
                              Все ENV контейнеров
                              = все ключи сразу ◄────── один curl

• Инфраструктура и разведка
  
• Аутентификация: JWT с дефолтным секретом
  
• SSRF через LLM-провайдер: новый класс уязвимости
  
• Охота за API-ключами: что мы пробовали и почему не получилось
  
• Admin-панель: что расскажут JS-бандлы
  
• Открытый Docker API: как одна ошибка обесценивает всё остальное
  
• Итоги, уроки и рекомендации

JWT_SECRET = os.getenv("JWT_SECRET", "your-secret-key-change-in-production")

• API-токен для RAG-прокси (используется в цепочке получения LLM-ключей)
  
• Полный кластер: 10 LLM-нод, 3 SD-ноды на RunPods GPU, внутренние IP-адреса, SSH-порты
  
• Профили пользователей: балансы, email’ы, ключи интеграций (Tavily API)
  
• Конфигурации всех нод: хосты, порты, параметры моделей

# Упрощённая логика маршрутизации
if host.startswith("ollama."):
    # Worker делает POST http://{host}:{port}/api/chat
    return OllamaHelper(host=host, port=port)

┌─────────────┐         ┌───────────┐         ┌──────────┐
│  PostgreSQL  │  HTTP   │    RAG    │  invoke  │  Worker  │
│  aikeys_pool │────────→│   Proxy   │────────→│          │
│  (plain text)│  [key]  │           │         │          │──→ api.anthropic.com
└─────────────┘         └───────────┘         └──────────┘    x-api-key: sk-ant-...

• {api_key}, {ANTHROPIC_API_KEY} → KeyError (нет в контексте)
  
• {{ config }} → литеральная строка (это не Jinja2)
  
• Attribute traversal через format → ограничен Python’ом
  
• LangChain deserialization CVE ({"lc":1, "type":"secret"}) → данные не проходят через loads()

access-control-allow-origin: http://127.0.0.1:3000
access-control-allow-credentials: true

GET /api/config → {"apiHost": "https://api.internal.example.com"}

GET /info → {"Containers": 12, "Swarm": {"LocalNodeState": "active"}, ...}

ANTHROPIC_API_KEY=sk-ant-api03-...
OPENAI_API_KEY=sk-...
JWT_SECRET=your-secret-key-change-in-production
DATABASE_URL=postgresql://user:pass@10.0.0.13/db
REDIS_URL=redis://10.0.0.18:6379/0

JWT forgery (дефолтный секрет)
    ├── Профили и данные пользователей
    ├── Кластер: все ноды, IP, порты, GPU
    └── API-токен
            └── Ollama SSRF (nip.io)
                    ├── Подмена ответов LLM (canary injection)
                    └── Эксфильтрация промптов пользователей
Docker 2375 (без аутентификации)
    ├── ENV всех контейнеров → ВСЕ API-ключи
    ├── Произвольные контейнеры → RCE
    └── Монтирование файловой системы → чтение любых файлов

• Быстрый MVP на docker-compose — переезжает в прод без ревизии
  
• Дефолтные секреты — «поменяем позже» (не поменяют)
  
• Плоская сеть — все сервисы видят друг друга, egress не ограничен
  
• Ключи как строки — plain text в ENV, в БД, в HTTP между сервисами
  
• User-controlled routing — хосты моделей, URL источников для RAG

• Сегментация: admin, proxy, worker — разные серверы и VPC
  
• Egress firewall: worker ходит только на whitelisted LLM-провайдеров
  
• Proxy pattern для ключей: ключ никогда не покидает secure enclave; прокси сам делает вызов к провайдеру
  
• Secret rotation: автоматическая ротация через Vault с TTL
  
• Мониторинг: алерты на аномальный DNS, новые Docker-сервисы, исходящие соединения worker’ов
  
• CI/CD: gitleaks/trufflehog в пайплайне, проверка обязательных ENV перед деплоем

• [ ] JWT-секрет сгенерирован криптографически, не дефолтный
  
• [ ] Docker API закрыт или за TLS mutual auth
  
• [ ] Хосты моделей валидируются через whitelist
  
• [ ] API-ключи в secret manager, не в ENV и не в БД plain text
  
• [ ] Egress-трафик worker’ов ограничен
  
• [ ] Admin-панель на отдельном хосте с отдельной аутентификацией
  
• [ ] DMARC p=reject, SPF/DKIM настроены
  
• [ ] Flask/Django не в debug-режиме в production
  
• [ ] JS-бандлы не содержат admin-маршруты
  
• [ ] Регулярный аудит открытых портов

• docker-compose в проде без ревизии сетевых политик
  
• API-ключи в переменных окружения или plain text в базе
  
• Нет egress-фильтрации на worker’ах
  
• JWT-секрет, который «поменяем потом»