AI 令牌盗用：免费试用为何被盯上

过去，免费试用主要是获客成本；到了 AI 产品里，它还可能直接变成可兑现的算力。所谓 AI 令牌盗用，本质上是针对 AI 计量层的欺诈：攻击者未必偷走模型权重，而是偷走能够消耗模型的访问权限。这个权限可能是 API Key、OAuth 或会话 token、自动化凭证，也可能是注册时赠送的免费试用额度或预付余额 。

问题的严重性在于，攻击者可以把这些被盗或低成本获得的访问权限转换成昂贵的模型推理和云计算消耗，最后由平台或合法账号所有者买单 。

先说清楚：这里的「token」不只是模型计费单位

在大模型语境里，token 常常指模型处理文本时的最小计费/计量单元。但在「token theft」这个安全与欺诈语境中，它通常指更宽泛的东西：任何能够解锁付费使用的凭证或额度。

常见目标包括：

• API Key：用于向 AI 模型服务商或平台发起授权请求 。
• OAuth token、刷新 token、会话 Cookie、自动化凭证：可让攻击者冒充合法用户或系统 。
• 免费试用或预付额度：注册后即可获得，并能在平台真正收到收入之前被转换成模型调用和算力消耗 。

这也是为什么它不再只是「密码泄露」问题。SpyCloud 在报告中称，其 2025 年回收了 1810 万个暴露的 API Key 和 token，并指出攻击者正在从只盯用户名和密码，转向窃取 API Key、会话 token 和自动化凭证这类「已认证访问」。

攻击者如何把 AI 访问权限变成钱

AI 令牌盗用大致有两条路径：一条是批量注册薅免费额度，另一条是偷 API Key 跑别人的账单。

1. 批量假注册，收割免费算力

一些攻击者会创建大量新账号，专门领取免费额度或促销算力。Fortune 报道称，Stripe CEO Patrick Collison 曾表示，在某些 AI 公司场景下，token 窃贼已经占到新客户注册量的六分之一 。这个比例不应被当作全行业通用基准，但它足以说明：AI 产品的注册和试用流程，正在成为欺诈攻击面。

原因很直接：慷慨的免费试用不再只是营销费用。如果产品一注册就发放可用于真实模型推理的额度，每一个被滥用的新账号都可能立刻产生真实算力成本 。

2. 偷 API Key，发起 LLMjacking

第二条路径是凭证盗用。攻击者找到或窃取 AI API Key 后，用受害者账号运行模型工作负载。安全行业常把这种模式称为 LLMjacking，也就是针对大语言模型访问权限的「劫持」。

一个 LLMjacking 案例写道，某初创公司平时每月 OpenAI 账单约为 400 美元，但一次 API Key 暴露后收到了 67,000 美元账单；该 key 据称在公开 GitHub 仓库中放了 11 天，并在提交后几分钟内就被自动化机器人发现 。另有防御指南称，这类攻击已经从机会主义的密钥盗用，发展为更有组织的滥用活动，目标包括 AI 服务商和云端 AI 服务 。

为什么 AI 初创公司尤其容易受伤

AI 初创公司往往依赖低门槛增长：自助注册、快速演示、免费额度、即时 API 访问。这些机制有利于获客，但当每一次调用背后都有真实推理成本时，也会放大欺诈风险 。

凭证泄露又让问题雪上加霜。CSO 报道了 Wiz 的研究：在 Forbes AI 50 公司中，65% 被发现存在经过验证的密钥泄露，包括暴露在 GitHub 上的 API Key 和访问 token 。这并不意味着每一次泄露都会直接导致 AI 令牌盗用，但它说明，在高速开发环境里，高价值凭证很容易外流。

更关键的是经济账不同。传统 SaaS 的假账号可能浪费客服时间、污染增长数据；但 AI 产品里的假账号或被劫持账号，可以立刻消耗 GPU 支撑的模型推理、模型服务商额度或云账单 。

为什么它不容易被发现

令牌盗用最棘手的地方在于：攻击者经常使用的是有效 key、有效会话或刚注册的有效账号。有关 token theft 的安全简报警告称，被盗的会话 Cookie、OAuth token 等可以让攻击者绕过认证控制，并冒充合法用户 。

因此，对 AI 公司来说，最有价值的信号往往不是单个登录事件，而是行为模式：新账号是否快速耗尽额度，某个 API Key 是否突然从正常流量变成高频调用，某个客户的消费是否远超历史水平。这些信号对应的正是已被报道的攻击方式：假账号用来吸走算力额度，暴露的 key 用来制造巨额账单 。

AI 团队可以怎么防

没有一个单点方案能解决 AI 令牌盗用，因为它同时横跨欺诈、身份安全和云成本控制。更现实的做法，是把三者放在同一套风控体系里。

给访问权限加上硬成本边界

免费额度应该被视为潜在支出，而不只是获客预算。AI 团队可以降低默认试用额度，采用分阶段解锁，设置账号级和 key 级配额，加入速率限制，并在用量突然跃升时触发告警 。

把密钥卫生做进开发流程

团队应默认 API Key 有可能泄露，除非开发流程主动阻止。代码仓库和 CI/CD 系统的密钥扫描、定期轮换、最小权限凭证，以及发现泄露后的快速吊销，都是核心控制项。考虑到 AI 公司在 GitHub 上暴露凭证的情况已被报道，这一点尤其重要 。

把身份信号和用量信号合在一起看

只看注册资料的反欺诈系统，可能漏掉被盗 API Key；只看登录事件的安全系统，又可能漏掉免费额度农场。AI 平台需要关联账号年龄、额度消耗、API 调用量、模型选择和消费速度，尽量在异常行为变成大额账单之前拦住它 。

把 token 当成钱来管

最重要的心态变化是：AI 访问 token 具有类似现金的价值。它们可以解锁稀缺算力，可以被转卖，也可以被用于其他活动，同时把成本推给别人 。一旦团队把 token 同时视为技术凭证和金融化资产，消费上限、异常检测、密钥生命周期管理就不再是后台安全杂项，而是 AI 产品的核心基础设施。

结论

AI 令牌盗用不是简单的账号安全事故，而是直接打在 AI 平台「成本表」上的欺诈。被盗对象可能是 API Key、会话 token、OAuth token，也可能是免费试用余额；真正被变现的，是付费算力 。对初创公司而言，这会同时侵蚀利润率、污染增长漏斗，并让无限制的免费试用变得越来越难以承受 。