论文揭示 LLM API 转售生态的隐藏依赖关系

一篇发表于 arXiv 的安全研究论文提出 CacheTracer 方法，首次以纯 API 测量的方式揭示了 LLM API 转售生态中普遍存在的隐藏依赖关系。研究显示，在 39 个转售端点组成的网络中，相当比例的端点对共享同一条上游缓存链路，依赖结构最深可达 7 层，暴露出不容忽视的供应链级保密性与完整性风险。

研究背景：被忽视的转售供应链

LLM API 转售商已成为用户访问主流大模型服务的重要中间层。一个常见的现象是多级转售：上游厂商将请求转发给二级甚至更多层级的转售方，后者再面向终端用户提供服务。这条链路对用户而言几乎不可见，请求在途中可能被未声明的上游节点检查或修改，从而引入生态系统层面的保密性和完整性风险。此前的研究多以审计单一转售商为主，对跨转售商的隐藏依赖缺乏可见性。

方法：CacheTracer 与前缀缓存侧信道

研究团队提出的 CacheTracer 是首个面向该问题的纯 API 测量工具，核心思路是利用前缀缓存复用作为侧信道，通过「缓存可达关系」推断两个端点之间是否存在共同上游。具体由两个原语组成：

• Flood：通过某一端点注入请求，在上游填充新鲜缓存状态。
• Prove：在排除探测自身造成的命中后，向目标端点询问能否复用先前 Flood 写入的缓存前缀。

若 Prove 成功命中，即表明两个端点共享上游缓存路径，从而可以反推出隐藏在转售结构中的依赖关系。整个方法无需访问模型内部状态，也不依赖日志或合作披露，完全基于外部可观测的 API 行为。

实测发现：深度集中、跨模型分化

研究团队在 39 个转售端点上开展真实测量，共发送约 110 万次 API 请求，覆盖 636 个端点对。主要结果包括：

• 37.1% 的被测端点对之间检测到共享缓存可达关系。
• 依赖结构最深达到 7 层，且呈高度集中分布：单条缓存可达链路被至少 31 个其他节点所包含。
• 恢复出的依赖结构具有模型特异性，不同模型之间的转售网络彼此独立。

为验证方法有效性，研究团队同时进行了真实环境一致性检查与受控实验，结果表明 CacheTracer 具有较高的可靠性与准确度。

意义：不可忽视的「爆炸半径」

这一发现意味着，看似彼此独立的 LLM API 转售商之间实际上存在深而集中的隐藏依赖。一旦公共上游路径上发生保密性或完整性事件，例如缓存投毒、提示注入或数据泄露，影响可能沿依赖结构扩散至多个下游转售商及其用户，形成远超单一供应商故障的「爆炸半径」。该研究为后续建立转售商透明度披露、缓存隔离机制与供应链级风险评估提供了基础工具与实证依据。