LLM Token 轉售灰市調查：API 密鑰池化牟利，欺詐與濫用並存

安全研究員 Matt Lenhard 於2026年7月26日發佈的調查顯示，圍繞 LLM token 已形成灰色轉售市場。轉售商聚合多個來源的 API 密鑰，通過代理以折扣價向買家提供訪問。折扣源於濫用免費試用額度、劫持未受保護的支持機器人流量，以及利用盜刷信用卡或發起拒付攻擊。這些轉售商使用的代理軟件多為開源項目（如 one-api 及其分支 new-api），本質上是合法的 API 代理工具，用於在密鑰池間負載均衡。買家則尋求低成本 token、繞過地理限制，或收集數據用於模型蒸餾。調查大量引用中文論壇帖子作為信息源，顯示該市場在中國尤為活躍。對 LLM 供應商而言，這一生態意味著僅靠速率限制已不足以防範濫用，需要設置硬性使用上限（如按時間或消費金額的封頂），防止 API 密鑰被非法套利。