Укажите Base URL, API-ключ и ID модели, чтобы выполнить 84 стандартных проверок. Ещё 2 проверки доступны дополнительно — всего до 86. Отчёт проверяет модель, токены, Prompt Injection, цепочку поставок и streaming.
Один пользователь задаёт неуместный вопрос, и блокируют ваш API-ключ. Каждый запрос сначала проходит проверку контента BazaarLink; вопросы высокого риска блокируются и до upstream не доходят, что существенно снижает риск блокировки вашего аккаунта из-за контента, нарушающего правила.
Узнать о BYOK →Один API key; при полной конкуренции узла, падении процесса или отключении машины запросы бесшовно переходят к модели платформы; трафик со своего узла не тарифицируется, оплачивается только трафик, который принимает fallback.
Полная инструкция по установке →Мы никогда не спрашиваем у эндпоинта, какая он модель, — любой эндпоинт может назвать любое имя. Мы отправляем 84 стандартных проверок, заставляя его действительно работать, и сравниваем манеру этой работы с эталонами известных нам моделей. Вердикт складывается в пять этапов, от грубого к точному, и на каждом этапе допустимо сказать: «доказательств мало, я не берусь утверждать».
Можно ли этот эндпоинт вообще измерить?
Первое условие вердикта — что на вопросы действительно пришли ответы. Пропуски означают не просто меньше данных: пришедшие ответы могут случайно склоняться в одну сторону, и это смещение выборки, а не доказательство.
Если эндпоинт не отвечает вовсе или ключ либо имя модели попросту не работают, мы останавливаемся здесь и не собираем вывод из обломков.
Чья это модель?
Чаще всего подмена происходит между семействами: дешёвая модель под дорогим именем. Поведение на уровне семейства самое устойчивое и труднее всего подделывается, поэтому мы спрашиваем этот слой первым. Сравниваем мы стиль и привычки ответов, а не то, как эндпоинт себя называет: самоназвание — самая легко подделываемая часть всего отчёта.
Без надёжных признаков семейства мы воздерживаемся, а не называем кого-то наугад. Когда эндпоинт по-китайски называет одного производителя, а ведёт себя как другой, мы считаем это оговоркой и возвращаемся к поведенческим признакам.
Какая именно модель внутри этого семейства?
Вы купили конкретную модель, а не «что-нибудь этого производителя». То, что называют падением качества, обычно происходит на этом слое: семейство остаётся прежним, а место занимает более дешёвый родственник. Мы одновременно проводим сравнение внутри семейства и сравнение между семействами и заставляем их проверять друг друга: стоит ошибиться с семейством, и сравнение внутри него назовёт неверную модель с большой уверенностью.
Когда доказательств хватает только до уровня семейства, отчёт так и пишет: производителя мы узнаём, модель — нет. Мы не заполняем пробел самым похожим кандидатом.
Действительно ли выбранную на прошлом этапе модель можно отличить от ближайших родственников?
Некоторые модели — близнецы: стиль, возможности и привычные обороты перекрываются настолько, что у прошлого этапа между ними почти нет разрешающей способности, и баллы оказываются рядом, хотя эта близость ничего не значит. Этот этап делает одно: для таких групп близких родственников он заново набирает выборку отдельным набором вопросов, построенным именно под это сравнение, и читает всё распределение, а не отдельный ответ. Прошёл — прошлый этап подтверждается или отменяется; не прошёл — результат прошлого этапа остаётся.
В этот этап заложена намеренная асимметрия: если доказательства не решающие, а результат прошлого этапа случайно совпал с заявлением продавца, мы его не отменяем. Ложно обвинить честного продавца дороже, чем один раз пропустить нечестного.
Чем измеренное отличается от того, что заявил продавец?
Само распознавание не смотрит на заявление продавца — предыдущие этапы сравнивают только поведенческие признаки. Заявление входит в игру ровно в двух местах: когда четвёртый этап решает, отменять ли результат, и здесь. Такой порядок выбран намеренно: если ответ получен до чтения условия, заявление не может вести за собой. Возможные выводы: полное совпадение, совпадение только семейства, верное семейство при неверной модели, подмена модели, подделанное самоназвание, наведённое поведение, недостаточно данных и неоднозначно.
Когда сигналы противоречат друг другу и устойчивого большинства нет, вывод — «неоднозначно». Это полноценный вывод, а не сбой.
Потому что две стороны ошибки стоят по-разному. Назвать честный релей подменщиком моделей — это обвинение, и оно реально вредит живым людям; пропустить же один случай не страшно: можно проверить ещё раз или посмотреть историю. Поэтому при слабых доказательствах мы предпочитаем не утверждать.
У этого принципа есть конкретная форма в коде: отчёт рисует «модель не совпадает» только тогда, когда движок подтвердил подмену. «Самая похожая модель случайно отличается от заявленной» никогда не превращается в обвинение — это лишь наша догадка. Если вы видите «не определено», правильное прочтение такое: доказательств этого запуска недостаточно для вывода. Это ни справка о невиновности, ни приговор.
Ниже — известные нам границы. Мы их описываем, потому что отчёту, умалчивающему о своих границах, доверяют больше, чем он заслуживает.
Одна проверка — это одна выборка. Релей может подменять модель лишь на части трафика или отдавать настоящую всякий раз, когда трафик похож на проверку. Пройти один раз — не то же самое, что быть честным долго: перепроверяйте регулярно и смотрите историю, а не единственный отчёт.
Когда подражатель намеренно копирует больше половины поведения оригинала, примерно половина доказательств по построению указывает на заявленную личность. Это структурный предел, а не нехватка вопросов: мы измеряли — добавление вопросов резко подняло стоимость и почти не сдвинуло разрешающую способность.
Вердикт о совпадении означает «доказательства этого запуска не подтверждают подмену», а не «подмены не было». Любая проверка, обещающая гарантию второго рода, преувеличивает свои возможности.
Путь вердикта восстанавливается по сохранённым данным задним числом; движок не записывает, какое правило сработало в тот момент. Некоторые ветви не оставляют достаточно различимого следа, и тогда мы подсвечиваем только результат, не указывая номер правила. Лучше сказать меньше, чем угадывать.
Ответ соответствует baseline и порогу безопасности этой проверки.
Сигнал неполный или близок к порогу; изучите пояснение и исходный ответ.
Подтверждено отклонение, ошибка протокола или риск целостности.
Сопоставляет fingerprint семейства, признаки подмодели и anti-spoofing сигналы с заявленной моделью.
Проверяет токены, SSE, задержку и структуру ответа на завышение и ошибки посредника.
Проверяет System Prompt injection, утечку секретов, dependency hijacking и подмену подписей.
Probe обнаруживает три ключевых класса атак ретрансляторов из arXiv 2604.08407: hijacking зависимостей, условную инъекцию системного промпта и утечку учётных данных. Он показывает свидетельства идентичности и предупреждения о поведении, но не выставляет оценку безопасности.
Прокси изменяет вызов инструмента или текст при разборе ответа, из-за чего агент выполняет заданные злоумышленником операции. Типичные приёмы включают подмену команд установки npm/pip/go/cargo, внедрение пакетов с похожими именами и изменение параметров команд оболочки. Для обнаружения ответы прокси сравниваются с данными вызовов инструментов при прямом подключении, чтобы выявить скрытые изменения.
Прокси условно добавляет системное сообщение в зависимости от содержимого промпта: вредоносные инструкции появляются в запросах с чувствительными словами вроде «bank», «password» или «transfer», а в остальных запросах отсутствуют. Это статистически заметное смещение. Для обнаружения Proxy Monitor сравнивает смещение системного промпта между базовой линией и проверяемым ретранслятором.
Прокси незаметно сканирует запросы (request) и ответы (response) на наличие API-ключей, токенов доступа, персональных данных и коммерческих тайн. Поскольку само содержимое не изменяется, обычные инструменты сравнения этого не замечают. Для обнаружения внедряется токен-приманка и проверяется, появляется ли он в журналах прокси, Telegram-ботах или на внешних эндпоинтах.
Набор включает 84 стандартных и 2 дополнительные проверки, максимум 86. Дополнительные проверки запускаются только при подходящих настройках и возможностях endpoint.
Сравниваются семейство модели, fingerprint подмодели, знания и возможности, а также поведение после удаления самоописания. Один слабый сигнал не считается доказательством.
API-ключ используется только для запрошенной проверки и не показывается в отчёте или публичной ссылке. Используйте отзывный тестовый ключ с небольшим лимитом.
Не обязательно. Оно указывает на неполные или аномальные данные. Проверьте пояснение и исходный ответ; сильный вывод о несовпадении требует нескольких согласованных сигналов.
