Un préprint publié sur arXiv à 00:00 UTC le 19 août mesure où les chemins de relais des API LLM rompent l’isolement du cache de prompts. Le constat est uniforme : les cinq passerelles open source testées, connectées à OpenAI et Anthropic, n’ont pas réussi par défaut à lier les clients à des identifiants amont, et les cinq ont exposé des lectures de cache entre clients chez les deux fournisseurs.

Ce qu’est l’attaque

Le cache de prompts rend les préfixes répétés moins coûteux en les stockant en amont. Lorsqu’une passerelle regroupe de nombreux clients derrière un seul identifiant, le cache est partagé, et des différences de timing révèlent si le préfixe d’un autre client est déjà présent. Dans des mesures en production couvrant 80,5 % du volume de jetons éligibles sur OpenRouter, les auteurs ont identifié des lectures entre comptes pour 12 des 28 libellés, représentant 33,7 % du volume. Sur un chemin de production, ils ont reconstitué huit positions cibles consécutives sans aucun accès à la cible.

Ce que le récit habituel comprend mal

Il s’agit d’une mesure d’un défaut d’isolement, pas d’une faille de sécurité. Aucune donnée client n’a été volée, aucun incident ne s’est produit, et rien ici ne prouve une exploitation dans la nature. Les chercheurs ont reconstitué les conditions et mesuré ce qui fuyait. Le présenter comme des « passerelles LLM piratées » ou des « prompts volés » décrit un événement qui ne s’est pas produit.

Il s’agit aussi d’un préprint : publié sur arXiv, non relu par les pairs, et non reproduit indépendamment. Ensuite, l’échec tient à une configuration par défaut, pas à une loi de la nature — les passerelles peuvent être configurées autrement, et le propos de l’étude est précisément qu’elles ne le sont pas, dès l’installation.

Le chiffre qui met mal à l’aise

La défense proposée — placer les séparations d’identité du cache après les préfixes publics réutilisables — coûte 1,7 % à 2,5 %. Un défaut dont la correction représente moins de deux pour cent et demi de la dépense est difficile à défendre comme un arbitrage de performance réfléchi, ce qui rend le réglage par défaut indéfendable plutôt que simplement regrettable.

Pourquoi les relais comptent

Les passerelles se situent entre les applications et les fournisseurs de modèles pour gérer l’acheminement, le basculement, le contrôle des dépenses et l’abstraction multi-fournisseur. Leur valeur repose entièrement sur la mutualisation — et mutualiser les identifiants revient précisément à effacer la frontière entre locataires. Toute équipe exploitant un relais partagé devant une API de modèle payante devrait pouvoir préciser sur quel identifiant circule la requête d’un client donné.