Der LLM-Proxy von Headroom bestimmt den Besitzer eines gespeicherten Gedächtnisses allein anhand eines vom Client mitgeschickten HTTP-Headers mit der Benutzerkennung. Dieser Header wird an mehreren Stellen der Proxy-Logik ausgewertet – unter anderem auf den Pfaden für Chat-Completions und WebSocket-Verbindungen –, ohne dass der angegebene Wert an den tatsächlichen Aufrufer gebunden wird. Ein Angreifer kann daher einfach die Kennung einer anderen Person angeben und deren gespeicherte LLM-Gedächtnisinhalte auslesen oder verändern. Die Korrektur führt eine zentrale Stelle zur Auflösung der Identität ein: Der Header wird nur noch für lokale oder ausdrücklich freigegebene Aufrufer akzeptiert, sonst leitet sich die Identität aus dem Fingerabdruck des Proxy-Tokens oder dem Betriebssystembenutzer ab. Verschärfend wirkt die mitgelieferte Container-Konfiguration: Sie bindet den Dienst an alle Netzwerkschnittstellen mit veröffentlichten Ports und verlangt kein Proxy-Token, sodass die betroffenen Schnittstellen ohne Authentifizierung im Netz erreichbar sind.