AI 破解者 400 万账号薅算力卖钱，法院判三缓三警示 API 分发安全

AI 攻防战：批量账号与签名伪造

宗某某在掌握 API 调用技术后，针对某大模型聚合平台实施“薅羊毛”行动。他利用 AI 编写自动化脚本，批量注册近 30 万个免费账号构建“账号池”，以轮换调用规避 IP 限制。当平台升级防护机制时，他再次借助 AI 工具自动伪造电子签名，成功绕过新增校验，持续发起非法调用。这种“用 AI 攻破 AI”的手段，使平台的多道防线在自动化攻击下逐一失效。

算力窃取与低价转卖模式

该平台的核心业务模式是用户消耗积分生成内容，平台按次向上游厂商支付算力成本。宗某某搭建“中转网站”，对外低价提供 AI 绘图和视频生成服务，实际后台全部对接平台的付费算力。这种模式相当于窃取他人算力资源进行商业牟利，将平台成本转嫁为个人收益。尽管平台多次升级防护，但其接口安全漏洞长期存在，为攻击者提供了持续作案空间。

数据异常触发司法介入

今年 3 月，平台后台数据出现异常，被害公司随即报案。调查显示，在年初时，两款视频和图文设计应用曾出现由同一 IP 注册的 400 多万个用户涌入现象，这一异常数据直接暴露了批量注册行为。经统计，宗某某共非法调用平台接口 29 万余次，累计违法所得达 3.4 万余元。司法介入及时切断了对大模型资源的持续盗用，维护了算力市场的公平性。

刑事判决与法律警示

徐汇区法院以非法获取计算机信息系统数据罪，判处宗某某有期徒刑三年，缓刑三年，并处罚金人民币四万元。这是上海首例利用 AI 伪造签名、盗用大模型算力的刑事判例。判决不仅惩罚了具体犯罪行为，更对开发者接入和 API 聚合分发行业敲响警钟：单一签名校验机制已不足以应对 AI 驱动的自动化攻击，需建立动态验证与多维风控体系。

API 分发与算力安全趋势

该案反映出当前大模型算力转售环节的安全短板。随着 API 调用成本成为核心商业要素，攻击者通过自动化脚本窃取算力的动机愈发强烈。对于聚合平台而言，每百万 tokens 的定价策略虽影响收入，但若底层接口防护薄弱，将直接导致巨额算力流失。开发者在接入此类服务时，需警惕未经验证的中转站点，避免成为算力盗用链条的终端，同时建议平台强化 IP、签名、行为指纹等多维校验机制。

来源：IT之家