Nhập Base URL, khóa API và ID mô hình để chạy 84 phép kiểm tra tiêu chuẩn. Có thêm 2 phép tùy chọn, tối đa 86. Báo cáo kiểm tra danh tính mô hình, token, Prompt Injection, chuỗi cung ứng và streaming.
Một người dùng hỏi điều không nên hỏi, thứ bị khóa là API key của bạn. Mọi yêu cầu đều đi qua kiểm duyệt nội dung của BazaarLink trước; câu hỏi rủi ro cao bị chặn ngay và không đến được upstream, giúp giảm đáng kể rủi ro tài khoản của bạn bị khóa vì nội dung vi phạm.
Tìm hiểu BYOK →Một API key. Nếu node đầy, không phản hồi hoặc mất kết nối, yêu cầu có thể thử một nguồn khả dụng khác; nếu không có, yêu cầu sẽ trả lỗi. Lưu lượng do node của bạn xử lý không bị BazaarLink tính phí.
Xem hướng dẫn cài đặt đầy đủ →Chúng tôi không hỏi một endpoint xem nó là mô hình nào — endpoint nào cũng có thể trả lời bất kỳ cái tên nào. Chúng tôi gửi 84 phép kiểm tiêu chuẩn để bắt nó làm việc thật, rồi so cách nó làm việc với mốc chuẩn của những mô hình chúng tôi đã biết. Việc phán định đi qua năm chặng, từ thô đến tinh, và chặng nào cũng được phép nói rằng bằng chứng chưa đủ nên chưa kết luận.
Endpoint này có đo được hay không đã?
Điều kiện đầu tiên của phán định là các câu hỏi thật sự có lời đáp. Câu thiếu lời đáp không chỉ là ít dữ liệu hơn: những câu trả về có thể tình cờ nghiêng hết về một phía, và đó là lệch mẫu chứ không phải bằng chứng.
Nếu endpoint không phản hồi gì, hoặc khóa và tên mô hình vốn đã không dùng được, chúng tôi dừng ngay tại đó thay vì chắp vá một kết luận từ phần còn sót.
Đây là mô hình do ai làm ra?
Kiểu tráo phổ biến nhất là tráo xuyên họ: một mô hình rẻ khoác cái tên đắt. Hành vi ở tầng họ mô hình ổn định nhất và khó giả nhất, nên chúng tôi hỏi tầng đó trước. Thứ chúng tôi đối chiếu là văn phong và thói quen trả lời, không phải cái tên nó tự xưng; lời tự xưng là thứ dễ làm giả nhất trong cả bản báo cáo.
Không đủ bằng chứng ở tầng họ thì chúng tôi bỏ phiếu trắng chứ không gọi tên cho có. Khi một endpoint tự xưng một nơi sản xuất bằng tiếng Trung nhưng hành xử như một nơi khác, chúng tôi coi lời tự xưng đó là lỡ lời và quay về với bằng chứng hành vi. Cột hành vi (hành vi sau khi bỏ lời tự xưng) chỉ là bằng chứng bổ trợ: nếu chỉ riêng cột này lệch khỏi lời công bố thì không bao giờ bị kết luận là giả mạo.
Trong cùng một họ, đây là bản nào?
Thứ bạn mua là một bản cụ thể, không phải một mô hình nào đó của nơi ấy. Cái mà người ta gọi là bị giảm chất lượng phần lớn xảy ra ở tầng này: họ mô hình vẫn nguyên, chỗ của nó bị thay bằng một bản anh em rẻ hơn. Chúng tôi chạy đối chiếu trong họ và đối chiếu xuyên họ cùng lúc rồi để hai kết quả kiểm tra lẫn nhau — một khi họ mô hình đã sai, đối chiếu trong họ sẽ gọi tên sai với một sự tự tin rất cao. Khi phán định, trước hết chúng tôi so với nhóm các bản anh em chứa mô hình được công bố và chỉ tin khi độ khớp đủ tốt; sau đó so độ khớp ấy với các nhóm của họ mô hình khác — chỉ khi nhóm khác khớp rõ ràng hơn mới kết luận là bị tráo. Nếu mô hình được công bố không có baseline, chúng tôi không buộc tội.
Khi bằng chứng chỉ đủ tới tầng họ, báo cáo nói thẳng rằng chúng tôi biết là do ai làm ra chứ không biết là bản nào, thay vì điền vào chỗ trống ứng viên trông giống nhất.
Bản mà chặng trước chọn ra có thật sự tách được khỏi những anh em gần nhất của nó không?
Có những bản là sinh đôi: văn phong, năng lực và lối nói quen thuộc trùng nhau tới mức chặng trước gần như không còn khả năng phân biệt giữa chúng, điểm số xích lại gần nhau mà sự gần đó chẳng có ý nghĩa gì. Chặng này chỉ làm một việc: với những cụm họ hàng gần như thế, nó lấy mẫu lại bằng một bộ câu hỏi riêng được dựng đúng cho phép so sánh đó, rồi đọc toàn bộ phân bố thay vì đọc từng câu trả lời. Qua được thì chặng trước hoặc được xác nhận hoặc bị lật; không qua thì kết quả chặng trước giữ nguyên.
Chặng này mang một sự bất đối xứng có chủ ý: khi bằng chứng chưa có tính quyết định mà kết quả chặng trước lại tình cờ trùng với điều nhà cung cấp công bố, chúng tôi không lật. Vu oan cho một nhà cung cấp trung thực đắt hơn là bỏ lọt một nhà cung cấp gian dối.
Kết quả đo khác với công bố của nhà cung cấp ở chỗ nào?
Bản thân việc nhận diện không nhìn vào điều nhà cung cấp công bố — các chặng trước chỉ đối chiếu bằng chứng hành vi. Lời công bố chỉ bước vào ở đúng hai chỗ: khi chặng thứ tư quyết định có lật hay không, và ở đây. Thứ tự này là cố ý — có đáp án trước khi đọc đề thì lời công bố không dắt mũi được. Các kết luận gồm: khớp hoàn toàn, chỉ khớp họ mô hình, đúng họ nhưng sai bản, bị tráo mô hình, lời tự xưng bị làm giả, hành vi bị dẫn dắt, dữ liệu không đủ, và không ngã ngũ.
Khi các tín hiệu mâu thuẫn nhau mà không có đa số ổn định, kết luận là không ngã ngũ. Đó là một kết luận chính thức, không phải hệ thống hỏng.
Vì hai chiều sai lầm không có cái giá như nhau. Nói một relay trung thực là kẻ tráo mô hình là một lời buộc tội, và nó gây thiệt hại thật cho người thật; ngược lại, bỏ lọt một lần thì bạn vẫn có thể đo lại hoặc xem lịch sử của nó. Vì vậy khi bằng chứng mỏng, chúng tôi chọn không kết luận.
Nguyên tắc ấy có hình hài cụ thể trong mã nguồn: báo cáo chỉ vẽ ra dấu hiệu mô hình không khớp khi mô hình được công bố có baseline và bằng chứng dấu vân tay ủng hộ việc thay thế; lời công bố không có baseline thì không bao giờ bị buộc tội. Còn việc mô hình giống nhất tình cờ khác với công bố thì không bao giờ được vẽ thành lời buộc tội — đó chỉ là phỏng đoán của chúng tôi. Khi bạn thấy dòng chữ chưa xác định, cách đọc đúng là bằng chứng của lần chạy này chưa đủ để kết luận. Nó không phải giấy chứng nhận trong sạch, cũng không phải bản án.
Dưới đây là các giới hạn mà chúng tôi biết. Chúng tôi viết ra vì một bản báo cáo giấu đi giới hạn của mình sẽ được tin tưởng nhiều hơn mức nó xứng đáng.
Một lần đo là một mẫu. Một relay có thể chỉ tráo trên một phần lưu lượng, hoặc trả hàng thật mỗi khi dạng lưu lượng trông giống một phép kiểm. Qua được một lần không đồng nghĩa với trung thực lâu dài — hãy đo lại định kỳ và đọc lịch sử thay vì đọc một bản báo cáo đơn lẻ.
Khi kẻ mạo danh cố ý bắt chước hơn một nửa hành vi của mục tiêu, khoảng một nửa bằng chứng sẽ chỉ về danh tính được công bố do chính cấu trúc của phép đo. Đó là một trần mang tính cấu trúc chứ không phải do thiếu câu hỏi — chúng tôi đã đo: thêm câu hỏi làm chi phí tăng mạnh còn khả năng phân biệt gần như không nhúc nhích.
Phán định khớp có nghĩa là bằng chứng của lần chạy này không ủng hộ việc có tráo, chứ không có nghĩa là đã không có việc tráo. Bất kỳ phép kiểm nào tự nhận bảo đảm được điều thứ hai đều đang nói quá về mình.
Đường đi của phán định được dựng lại từ dữ liệu đã lưu sau khi mọi chuyện đã xong; engine không ghi lại lúc đó nó đã đi theo quy tắc nào. Có những nhánh không để lại dấu vết đủ khác biệt để khôi phục, và ở đó chúng tôi chỉ làm sáng kết quả mà không đánh số quy tắc. Thà nói ít còn hơn đoán.
Phản hồi đáp ứng baseline và ngưỡng bảo mật của phép kiểm tra.
Tín hiệu chưa đầy đủ hoặc gần ngưỡng; hãy xem giải thích và phản hồi thô.
Đã xác nhận sai lệch baseline, lỗi giao thức hoặc rủi ro toàn vẹn.
Đối chiếu fingerprint họ, đặc điểm sub-model và tín hiệu chống giả mạo với mô hình được khai báo.
Kiểm tra số token, khung SSE, độ trễ và cấu trúc phản hồi để phát hiện độn số hoặc lỗi trung gian.
Kiểm tra System Prompt injection, rò rỉ bí mật, dependency hijacking và sửa đổi chữ ký.
Probe này phát hiện 3 nhóm tấn công relay chính được mô tả trong arXiv 2604.08407: chiếm đoạt dependency, chèn System Prompt có điều kiện và làm lộ thông tin xác thực. Probe hiển thị bằng chứng danh tính và cảnh báo hành vi, không chấm điểm bảo mật.
The proxy modifies tool-call or text content during response parsing, causing the agent to execute attacker-specified operations. Common tactics include tampering with npm/pip/go/cargo install commands, injecting typosquatting packages, and rewriting shell command parameters. Detection compares the proxy's response to direct-connect tool-call payloads to surface silent rewrites.
The proxy conditionally injects a system message based on prompt content — malicious instructions for requests containing sensitive terms like "bank", "password", or "transfer", silence for everything else. The skew shows up statistically. Detection uses Proxy Monitor to compare the system-prompt offset between baseline and the relay under test.
The proxy silently scans both requests (request) and responses (response) for API keys, access tokens, personal data, and trade secrets. Because the content itself is not modified, generic diff tools miss it. Detection injects a honeypot token and verifies whether it surfaces in proxy logs, Telegram bots, or external endpoints.
Bộ kiểm tra gồm 84 phép tiêu chuẩn và 2 phép tùy chọn, tối đa 86. Phép tùy chọn chỉ chạy khi cấu hình và khả năng endpoint phù hợp.
Probe so sánh tín hiệu họ mô hình, fingerprint sub-model, đặc điểm kiến thức và năng lực, cùng hành vi sau khi bỏ tín hiệu tự khai báo. Một tín hiệu yếu không đủ để kết luận.
Khóa API chỉ được dùng cho lần kiểm tra bạn yêu cầu và không xuất hiện trong báo cáo hay liên kết công khai. Hãy dùng khóa thử nghiệm có giới hạn thấp và có thể thu hồi.
Không nhất thiết. Cảnh báo cho biết bằng chứng chưa đầy đủ hoặc bất thường. Hãy xem giải thích và phản hồi thô; kết luận mismatch mạnh cần nhiều tín hiệu nhất quán.