沒設防就等著被偷！LLM 端點正遭瘋狂掃描，背後竟藏「折扣轉售」灰色暴利鏈

重點摘要

• 研究者 Matt Lenhard 於 2026 年 7 月 26 日發布調查，揭露一個以折扣轉售 LLM API 存取權的中繼市場，手段包含濫用免費額度、劫持未設防的客服機器人，以及信用卡盜刷或拒付（chargeback）攻擊。
• 轉賣商使用的基礎設施是開源工具 one-api 及其更活躍的分支 new-api，兩者本身是合法的 API 負載平衡代理，被複用來集池各來源的 API key 並對外統一轉售。
• 買方動機不限於省錢：部分人蒐集模型輸入輸出資料進行模型蒸餾，另一部分人透過這個管道繞過地區限制存取特定模型。

2026 年 7 月 26 日，Matt Lenhard 發布一篇針對 LLM token 中繼市場的調查報告，核心發現是：以折扣轉售 LLM 存取權的灰色市場已有完整商業邏輯在運作，現象目前集中在中國。Simon Willison 在自己的部落格轉述這篇調查，並加上一個對工程師更直接的判讀：當「找到新的未設防端點」本身就能變現，任何公開暴露的 LLM 端點都成了主動掃描的目標。

當「尋找未設防的 LLM 端點」已發展成一條完整的變現產業鏈，任何公開暴露的 API 都將面臨無孔不入的主動掃描與盜刷風險。

Token 中繼市場是怎麼運作的？

轉賣商的獲利邏輯建立在一個前提上：把拿到 token 的成本壓到官方售價以下，再以折扣出售，差價就是利潤。取得 token 的路徑有幾條。最輕的是批次開號、濫用各平臺的免費試用額度，把零散的免費 token 集中出售。更進一步是找到未設防的客服機器人或其他公開 LLM 代理端點，把呼叫流量打進去，讓對方的 API key 替自己付費。更嚴重的做法是用盜取的信用卡刷額度，或消費後以拒付讓費用回轉，損失落在 LLM 供應商或原始 key 持有人身上。

這幾條路徑的共同點是邊際成本極低，而找到一個新端點的報酬可以立即變現。這個結構解釋了為什麼主動掃描是常態，而不只是偶發的機會主義行為。

one-api 和 new-api 在這個市場裡扮演什麼角色？

轉賣商用來架設代理服務的是兩個開源專案：one-api，以及分叉出來、目前維護更活躍的 new-api。這兩個工具的原始設計是讓開發者集中管理多組 API 金鑰、對流量進行負載平衡，是合法的工程工具。

被灰色市場複用的方式並不複雜：把從各來源取得（或盜用）的 API key 灌進 new-api，對外提供一個統一的代理端點。買方從這個端點打進來，看到的和直接呼叫官方 API 幾乎沒有差異，只是費用低得多。開源工具把建立這類中繼服務的技術門檻壓低，個人操作者也有能力架設起完整的轉賣基礎設施，不需要從頭自己開發代理層。這也說明瞭為什麼規模估算困難：進入門檻極低，潛在參與者數量自然難以收斂。

買方除了便宜 token，還在買什麼？

價格是主要誘因，但調查揭示的買方動機比單純省錢更複雜。部分買家使用中繼服務是為了繞過地區封鎖，存取在本地無法直接使用的模型。這塊需求不受官方降價影響，代表這個市場有一部分是結構性需求，不只是套利空間支撐的。

更值得注意的是蒸餾需求。部分買方蒐集的不是算力，而是特定模型的輸入輸出資料，用來訓練自己的模型（model distillation）。這意味著，如果你的端點流量被這類買方打中，對方拿走的可能不只是 token 消耗：你的 prompt 設計、使用者的對話內容、甚至商業邏輯的痕跡，都有可能進入對方的訓練集。帳單問題可以用限流封頂；資料外洩則沒有事後補救的機會。

部署 LLM 應用之前，應該先把哪些防護到位？

Willison 的結論是：這不是個別駭客的零星騷擾，而是一套有人靠「找到新端點」穩定獲利的市場機制。任何公開的 LLM 端點，都是這套機制的潛在標的。找端點、集池、轉賣，三個環節各自都有人在做，形成了分工。

根本解法的一部分在 LLM 供應商這側。Willison 明確點出：API key 需要硬性的花費上限，也就是一旦到達設定金額就直接停止服務，而不只是發出警告通知。這個功能目前在多數主流平臺上仍是軟性的，供應商還沒有補上。在此之前，自己設防是唯一選項：限流、按時段設定 token 預算熔斷（超出即停用）、以及異常呼叫頻率的告警，都應該在端點公開之前就到位，不是等帳單爆了才補。

這篇調查的主要資料來源是一個中文論壇討論串，Lenhard 在此基礎上整理成英文分析。轉賣市場的真實規模沒有可查的公開數字，參與者人數也難以估計。但開源工具已把進入門檻壓得相當低，這讓規模估算本身變得不那麼重要：只要端點暴露、沒有防護，出現在掃描清單上只是時間問題。