揭秘驱动代币转售与欺诈的转发市场

马特·伦哈德（Matt Lenhard）最近发布了一项引人入胜的调查，深入揭示了围绕转售大型语言模型（LLM）代币而兴起的灰色市场。在这个市场中，转售商通过将来自多个来源的API密钥汇集到一起，以显著低于官方定价的价格提供LLM API访问。这些折扣的实现手段包括滥用免费试用、通过未受保护的支持机器人进行代理，甚至使用被盗信用卡或发起拒付攻击。这种现象特别常见于中国，转售商利用开源代理软件（主要是 one-api 及其更活跃的分支 new-api）来管理多个API密钥，实现负载均衡。这些软件本身是合法的API代理产品，但被转售商用于不当目的。

转售商的客户群体多样，包括寻求廉价代币的用户、希望规避地理限制的开发者，以及需要收集数据用于模型蒸馏的研究人员。这个市场的存在使得LLM的安全风险进一步加剧，因为现在有一个完整的生态系统可以通过发现新的未受保护端点来获利。西蒙·威尔逊（Simon Willison）在他的博客中表达了对公开暴露LLM驱动应用的担忧，他指出这个市场让他更加谨慎，因为滥用可能导致巨额API账单。他强烈呼吁LLM供应商改进API密钥管理，提供严格的使用上限，让应用在达到设定的费用阈值后立即停止工作。

该调查的主要来源是一个中文论坛的讨论帖，其中详细介绍了转售模式的运作方式。此外，西蒙的博客还提到了近期其他相关事件，如OpenAI对Hugging Face的意外网络攻击，以及Kimi K3等模型的进展。整体而言，这一现象揭示了LLM生态系统中一个被忽视的漏洞，并强调了加强安全措施和定价策略的紧迫性。