密钥=支付授权: 一周两起API安全事件, 分发平台风控必须升档

一周两起事件: API密钥已从凭证变成支付授权

10月17日, 开源编码智能体OpenCode的开发商Anomaly Innovations披露: 一套正在退役的遗留Console系统被未授权访问, 用户工作区内保存的OpenAI、Anthropic、Google等第三方密钥可能被窃取, 影响面为OpenCode Console用户的约1.4%(仅限挂载了外部供应商的用户, 非全体用户). 官方当日邮件逐一通知, 未收到邮件即不在影响范围. 用户侧反馈已出现真金白银的损失: 有开发者报告未授权Anthropic扣费超400美元, 另一用户称1700美元; 开发者Max Weinbach的OpenAI账户单日记录约3500万token、8966次请求, 预付余额跌至负2.15美元, Google方面同时警告其一个项目可能已被入侵并临时下调用量限制. 注意一个细节: 攻击目标不是密码或信用卡, 而是付费推理的授权能力: 在2026年, 一条有效的前端模型密钥相当于一张别人替你付账的账单, 这是本轮安全事件与历次数据泄露的本质区别.

黑产端: 被盗密钥已产品化为攻击燃料

10月16日, Bitsight威胁情报团队披露: 某高门槛犯罪论坛在售自主渗透测试平台MONST3R-AI(厂商自报、未能独立验证), 采用BYOK(自带密钥)架构: 买家把偷来的OpenAI、Anthropic、Google密钥贴进操作面板, 设预算上限, 指定目标清单, Agent自主完成侦察、漏洞匹配与PoC草拟; 卖家不托管任何模型, 借商用API绕过供应商安全训练, 推理账单全部落到密钥持有人头上. 卖家仪表盘自称199台主机跑出1072个发现(Bitsight明确无法核实). 同份研究覆盖16个地下论坛2026年2至8月: AI Agent、间接提示注入与MCP的提及量上升67%, 越狱话题上升约四分之三, 勒索软件话题下降49%; 低价转售通道同步成型: 转售商CloseRouter把GLM做到每百万输入token 0.053美元, 官方API为1.12美元. 还有一条配套供应链: 假冒仓库传播活动FakeGit已扩散约7600个伪造GitHub仓库, 其中800多个伪装成MCP服务器与AI技能, 借公共AI注册表索引投毒.

对API分发平台的三点含义

1) 密钥风控从可选项变成货架标配. 密钥的威胁模型已等价于云根凭据: 平台默认能力应包含每密钥消费上限、异常告警(token量突增、未知来源地域、请求节奏显著偏离人类基线)、短效密钥与轮转提醒. Agent型攻击流量有可识别的节奏特征, 限流加行为分析即可捕获大部分. 对聚合分发平台, 这是直接的产品需求: 网关层默认给每个客户密钥挂消费天花板与异常熔断, 被盗密钥进路由后第一小时内被卡掉.

2) 分发平台出现安全溢价业务位. 密钥审计与异常检测可作为付费增值项, 定位类似货架上的安全保险: 对高频Agent负载客户, 一次盗刷事故的损失(本次案例400至1700美元每人, 企业侧量级更大)远超审计功能定价. 定价可参考云厂商的密钥审计模块, 按密钥数量或月监控请求数计收, 毛利结构优于模型差价.

3) 盯两组运营数据: 密钥总数对比触发异常告警的密钥占比(风控灵敏度); 盗用事故的发现时长与封禁时长. 本次行业实况是用户靠账单发现, 发现时长超24小时, 平台侧应压缩到分钟级.

观察点: 三大供应商滥用检测能否缩短被盗密钥的可用窗口; OpenCode是否发布完整技术复盘; 密钥轮转闭环未跑通之前, 同类事件大概率复发, 路由侧建议对Agent高频档位临时收紧默认限流. 下一轮跟踪: 密钥事故后的供应商赔付政策, 若OpenAI/Anthropic/Google对盗刷一律免责, 分发平台作为中间层将承接大部分客户索赔, 合同里的安全责任条款要在本月内重写.

来源: OpenCode官方公告(X@opencode, 10-17), OfficeChai/CryptoBriefing/CyberSecurityNews/Startup Fortune(10-17至10-18), Bitsight威胁情报报告(Help Net Security转载, 10-16); MONST3R-AI发现数为卖家自报.