DMIT 发布关于26日网络安全事件的通报：攻击者以谋利或大规模蒸馏模型为目

DMIT 近日发布通告说明了8月26日大规模异常流量攻击事件的原委。通告称，攻击者在美东时间26日 16:00-18:00 先发送了一批试探性流量，确认出口可用后，在次日凌晨 3:00-4:00 发起了统一的大规模利用。

攻击者利用了部署在客户虚拟机上的一类 SNI 代理应用程序的设计缺陷，该类应用在处理 SNI 转发时未对请求来源与目标做有效校验。其后果是：互联网上的任意第三方，无需持有该实例的任何凭据，即可通过客户的虚拟机强制代理访问 Cloudflare 及其后端的 OpenAI 资源。运行该类应用的客户实例，实质上是一个面向全网开放的匿名 AI 请求出口。

DMIT 在探测研究后认为：攻击方大概率持有批量的"合法"API 凭据或其他有效请求来源。单纯扫描行为不会呈现这一特征。这是有预谋、有资源调度能力的行为模式，与机会主义式的滥用有本质区别。这种有组织的攻击极有可能是为了第三方 AI 中转服务、API 代理售卖或进行“模型蒸馏训练所需的大批量数据采集”。

DMIT 称，介于如上原因，DMIT 已多次告知被滥用机器用户，并将采取必要措施，包括暂停服务、终止服务及费用追偿在内的措施。以避免 IP 与 ASN 资源的信誉风险以及对边界容量与全网服务质量影响。

[消息等级 Level C2 · 简要]