很好玩，反馈两个问题。1.电脑端好像比手机端难很多，我先在电脑玩的，过第十关都很难（我是菜鸡），但是昨天在手机上玩，20 关通了。感觉是电脑的移动范围要大很多，弹药覆盖面占比较小。2.只能用 google 账号登录，我是国行小米，用 google 账号和在 play 里面买东西也都正常，但是不知道是不是 google 最近改了 android chrome 上的登录策略，要求我必须使用通行密钥登录，无法切换到任何其他两步验证方式，但是它又读不到小米上存储的通行密钥，如果我想办法移除 google 的密钥，它登录界面就直接报错。所以求求增加一个其他登录方式吧。。。

可写，尤其现在是 vibe 时代了，我司甚至有与此匹配的王多鱼计划（ aHR0cHM6Ly9pbWd1ci5jb20vYS80anNZbm9X ）
小肚鸡肠的老板/人事/面试官，不足与谋。V 站有些燕雀，同样不足与谋

@yiwayhb #64 都是爹爹婆婆们辛苦争取来的，上海这边专家提意见都没有用，这个自己搜吧，话题不再延伸了

武汉毕竟是之前搞了医保大散步，底层老百姓的医疗水平还是要高一档。上海别说药店了，很多三甲都开不到原研，要挂专家号或者国际部

@106npo 是，他们认为北京家宽和我的杭州服务器是“同一应用”，跟说我吃了两碗凉粉差不多

@realpg 厂商没有信，改长在我反馈之前。他们为什么改长我就不知道了。

自己的视角觉得能做的都做了，只能试图站在其他的视角了，楼上的 f key 已经击碎了我的梦。

我明白应该先从自己身上找问题。那个工具站是我这么多天想到的唯一一个“只会偷到某一个平台的 key”的工具了，结果一查人家没有网络上传。

@realpg 36 楼提供了 f 开头的 apikey 之后，我也同意撞库的概率非常低了。但是排查工具链的话，实在已经把卷子来回检查了，局限在这里了。我可以相信你有经验、就是我这里漏了、问题的答案巨简单、你知道是谁偷的，但是这并不能帮助我更容易的定位到泄露点。。。

早上还想起一个工具站，可能我们往上贴过带 key 的 http 日志，抓包检查了以后发现它没有上传请求，前端演算的。后面会把这个日志里面的 key 也给脱敏掉。

哦我还有一个疑问，如果这种盗取方式和用途如此流行（以至于你知道谁偷的｜以至于帖子里面有相同受害者），为什么网上都搜不到这样的受害者呢，哎。

我没有指望这些问题都得到回答，大家在网上萍水相逢。帖子和疑问放在这里，也许能有一天帮助到其他人。

@fov6363 一定程度上排除了撞的嫌疑，至少不是顺序开撞的。老哥方便加个微信吗，想聊聊看看大家有什么相同的工具链，找找共同点 eHh5bWFvbWFv

@realpg 发帖的时候已经把屋子翻了个底朝天了，人是有局限性的，一张卷子我自己翻来覆去的查，拿不了一百分就是拿不了，很遗憾你的“思路”确实是没有给我提供新的方向。

@fov6363 方便透露一下您被盗刷的 apikey 的前两位吗

@realpg 我有一些疑问。

如果是黑来的，既然每小时能烧 500 元，那么一晚上轻松干走 5000 ，何必这样一个多月断断续续只搞 2700 呢。如果计划偷摸搞，为什么又要搞出一个小时 500 元的峰呢，这个消耗量国内大部分 LLM 厂在监控到之后都会有销售跟进的。

如果我只是受害者之一，加上其他受害者，6 月至少有 20 亿字的翻译量。假设这些用量属于某个翻译插件，按照每用户两万字算，那么这个插件至少有 10 万活跃用户了，这个用户规模还有必要冒这么大的风险四处偷 token 吗。。

如果是代码库或 env 被盗，怎么不偷火山和其他厂呢，其他厂的模型翻译效果不好吗😂

这些疑问，以及更多疑问，在我排查的时候就不停的冒出来，互相矛盾，说不通，它完全不同于我过去遇到的任何一起安全事件。

anyway ，明天还是再查一遍插件，杂碎软件一律删除。

@crime1024 很好的思路，我后面看看哪些可以设置 IP 。有些 key 也是冲来方便大家日常使用的，不一定非要是工作用，所以有些 key 不太好限 IP ，还是限钱吧。

@fov6363 请问也是杭州厂吗？你们这个 key 有开通杭州厂主流模型的权限吗，还是说只能用 glm ？（用 glm5.2 做翻译也太豪横了）

@realpg 诉求提了。钱对公司来说是小钱，但是泄露的事情比较大，如果确认是撞到的，就算不退钱，我们换完 key 也就放心了。但如果不是撞的，家里还找不出来蟑螂窝，就非常膈应了，类似于不怕贼偷就怕贼惦记

再分享一张被偷跑 token 的用量

https://i.imgur.com/bNqYD1j.png


@sunrealzhang @hatori 感谢分享，我也补一点细节。

我们在杭州厂的一个 llm apikey ，是专门用于团队内部使用沉浸式翻译插件的，但本次被偷跑的不是这个 apikey 。

黑客的请求集中在一个 IP ，但请求的时间和频率很奇怪，参见下表：
https://imgur.com/a/3moyXRz

@wang93wei 不是业务层被刷的，而是黑客不知怎的拿到了 apikey ，从北京联通家宽发起的请求，我们服务器在杭州上海，团队在上海

@Yserver 😱 确实是没对这里做测试，看来新的 baseurl 只是用来做资源隔离的，不是 random key 的一部分

@vexify 因为历史原因，调用 llm 的库都是我们自己写的，甚至几乎没有 ai coding 参与，从这套东西里面找开源库的话，得找到 curl 这里去了，确切的说是 php-curl 。

@ujujzhaos 没有，因为业务上已经有限额了，所以这里没做，确实是疏忽，当天已经加上了。

@kneo “抽查”是工单人员经过我们授权后查看的，工单里面有一套这样的流程。

求个码，macos 终于有了搜索工具 eGllLnh1eWFuZ0BnbWFpbC5jb20=
另外，如果求码不成的话作者能不能考虑来个 18 元的限时促销 ^_^

“deepseek 犯这种错误”

「实在抱歉」
给楼主点赞，楼主讲究人儿，知错能道歉。