Team Cymru, AI API'larını gerçekte kimin kullandığını gizleyen 80.000'den fazla relay düğümünü haritaladı

Team Cymru'nun bulguları

Team Cymru'daki güvenlik araştırmacıları, kullanıcılar ile büyük AI hizmetleri arasında yer alan devasa bir relay gateway ekosistemi belgeledi; bu bulgu, 22 Eylül 2026'da yayımlanan ve dev.to üzerinden ortaya çıkan "Relaying to the Frontier" raporunun özetine dayanıyor. Claude Relay Service (CRS) ve sub2api gibi açık kaynak araçlar üzerine kurulan bu gateway'ler, abonelik hesapları, API anahtarları, OAuth token'ları ve oturum token'larından oluşan havuzlar barındırıyor ve kullanıcı isteklerini başka ülkelerdeki ara sunucular üzerinden AI sağlayıcılarına yönlendiriyor.

İlk sekiz günlük tarama, CRS veya sub2api çalıştıran 10.867 relay düğümü doğruladı. Araştırmacılar taramayı daha geniş bir gateway ve relay yazılımı imzası kümesini kapsayacak şekilde genişlettiklerinde sayı 80.000 düğümü aştı.

Relay'ler nasıl çalışıyor

Team Cymru'nun anlattığına göre mekanizma basit. Öncelikle Çin ve Hong Kong'da gözlemlenen bir kullanıcı, bir gateway'e istek gönderiyor. Gateway, havuzundan bir kimlik bilgisi seçiyor ve isteği çoğunlukla Amerika Birleşik Devletleri'nde barındırılan bir relay'e iletiyor. Bu relay, geçerli kimlik bilgileriyle OpenAI, Anthropic, Google ve xAI gibi hizmetlere bağlanıyor ve yanıt aynı yol üzerinden geri dönüyor.

Sağlayıcının bakış açısından istek, gerçek kişiden değil, relay'in IP adresinden ve paylaşılan bir hesaptan geliyormuş gibi görünüyor. Bölgesel erişim kuralları, kullanıcı başına atıf ve hız limitlerinin tümü uygulanması zor hale geliyor.

Gözlemlenen ölçek

Tek bir ABD relay kümesinde, Çin ve Hong Kong'taki yaklaşık 4.000 IP adresi sekiz gün içinde 304 relay düğümüne yaklaşık 14 TB veri gönderdi ve karşılığında 7 TB'den fazla veri aldı. Team Cymru, bu toplamların relay'lere ulaşan trafiği ölçtüğünü, AI şirketlerine doğrudan iletilen trafiği ölçmediğini belirtiyor.

Neler doğrulandı, neler doğrulanmadı

Rapor kendi sınırları konusunda dikkatli. Relay düğümleri ile AI hizmetleri arasındaki çift yönlü trafik doğrulandı; yani bu altyapı üzerinden çalışan erişim gerçek. Ancak Team Cymru prompt içeriklerini inceleyemedi, havuzdaki kimlik bilgilerinin nasıl elde edildiğini belirleyemedi ve trafiğin model distillation veya extraction amaçlı olduğu yönündeki spekülasyonları doğrulayamadı. Kimlik bilgileri gönüllü paylaşım, yeniden satış, promosyon kötüye kullanımı veya hırsızlık yoluyla gelmiş olabilir; kesin karışım bilinmiyor ve araştırmacılar hepsinin çalınmış olarak nitelendirilmesi konusunda uyarıyor.

Tespit ve savunmalar

Yöneticiler için rapor, izlenmeye değer göstergeler sıralıyor: tek bir hesabın veya API anahtarının çok sayıda IP adresi ve otonom sistemden kimlik doğrulaması yapması, coğrafi olarak imkânsız erişim desenleri, token tüketiminde ani sıçramalar ve tek bir relay'in birden fazla hesaba dokunması. Meşru kimlik bilgisi sahipleri sorunu ilk olarak beklenmedik faturalandırma, tanıdık olmayan kullanım geçmişi veya ani hız limitleme yoluyla fark edebilir.

Önerilen karşı önlemler arasında her kullanıcıya veya kullanım senaryosuna ayrı, kısa ömürlü kimlik bilgileri atamak, bunları düzenli olarak döndürmek ve derhal iptal etmek; birçok ağda görülen kimlik bilgilerini işaretlemek veya engellemek; ve personelin kurumsal kimlik bilgilerini yetkisiz gateway'lere girmesini yasaklayan bir politika belirlemek yer alıyor. Endpoint kontrolleri tarayıcılarda, CLI araçlarında, eklentilerde ve yapılandırma dosyalarında saklanan AI anahtarlarını aramalıyken, ağ ekipleri bilinen relay altyapısına yapılan bağlantıları izleyebilir.

İlgili kaynak olarak gösterilen Dark Reading, aynı bulguyu AI güvenlik kontrollerinin daha geniş bir aşınması olarak çerçeveliyor.

Neden önemli

On binlerce düğüme ulaşan ölçek, bunun marjinal bir yöntem değil, kullanıcılar ile frontier modeller arasına yerleşmiş köklü bir altyapı katmanı olduğunu gösteriyor. AI sağlayıcıları için bu, bölgesel kısıtlamaların ve kullanım politikalarının sessizce aşılabilmesi anlamına geliyor; çünkü gözlemledikleri şey isteğin sahibi olan kişi değil, bir relay adresi. Kuruluşlar için bu gateway'lerden birinden geçen her kimlik bilgisi, sahibinin kullanımını kontrol edemeyeceği paylaşılan bir havuza düşüyor; bu da kota kaybı, sürpriz ücretler ve olası askıya alma anlamına geliyor. Ve frontier modellerin gerçekte nasıl kullanıldığını anlamaya çalışan herkes için bu kurulum atfı tamamen bozuyor: muazzam hacimlerde prompt ve completion, operatörleri, amaçları ve yararlanıcıları dışarıdan tespit edilemeyen aracılar üzerinden akıyor. Team Cymru'nun kendi uyarısı iki yönlü işliyor; zira kitlesel veri toplama ne doğrulanabiliyor ne de dışlanabiliyor.