- miya09232026-09-22
排查不出原因
这是我个人的一个项目 就我一个人开发
代码上传到的是 gitee 代码里确实写了 key 现在已经改到环境变量里了
平时用的 ai 是 claude
我自己用的都是 deepseek 的 flash 模型 每天都有 pro 的调用量 一天几十块钱的样子
我的猜测
1 、感觉服务器被人黑了
2 、gitee 上泄露了 git 上是一个私人项目
3 、cluade 的渠道泄露出去
主楼 - terence44442026-09-22
你可以马上换一个 key 然后再观察一段时间，大概就知道是什么渠道了。
第三点可能性很小，不然会有很多反馈 key 被盗的。我觉得 1 的概率更大一点，用的哪家托管，有没有用什么面板，开了哪些端口，SSH 是密码还是证书等都有关系。
- 4134202026-09-22
git 放在私人里，缓存也是公开可以访问的，问题可能出在这
- CyouYamato2026-09-22
我之前也遇到过,在我没有用的期间有 glm 的请求.用了 Claude code open code cc switch, 写的项目也没有上传服务器.暂时不清楚怎么泄漏的, 让 glm 查这个人的 ip 信息都不愿意给我,气得我直接要求退款.
- miya09232026-09-22
@terence4444 马上换了 但是过了几天后 又出现了这些 pro 模型的请求
@413420 也怀疑过 把 key 放到环境变量里了
@CyouYamato 真的太奇怪了 - cctv62026-09-22
也可能是电脑装了什么软件有后门吧
- miya09232026-09-22
- loading2026-09-22
有没可能又是 npm 被投毒？
- twofox2026-09-23
我最近的账号密码全部泄露，无一幸免。 就连我现在打开电脑，都是因为看到了 steam 的登录异常提醒，我才打开电脑的。
大概是从上个月开始，我的 codex 20x 被盗刷，然后陆陆续续收到了谷歌、微软、苹果、x 等账号的登录异常。幸好平时这些主要账号都开 2FA ，没开的也会由于风控，起码发个邮件提醒
我经过排查主要是有几个高风险的操作
1. apifox 被投毒的那次 - 小概率
2. 下载过一个盗版软件-大概率(打开之前让火绒查杀过)
3. npm 投毒- 中等概率目前是换到卡巴斯基，并且全部账号密码在陆续轮换。
- terence44442026-09-23
- UnluckyNinja2026-09-23
改到环境变量的是 revoke 后的新 key 嘛？
国内平台的非公开不等于保密，毕竟有那啥需求，同时叠加平台草台班子概率
还有可能性就是你的各种工具来源并非官方有个笨检测方法，就是重置 key 换着用后，二分法逐渐拆成更细的一步，比如今天重置个 key 但不在项目上使用，第二天切换过去，然后再过一天查看新 key 在这两天的使用量，分析是链路的哪一步出问题了
- UnluckyNinja2026-09-23
排除供应链攻击可以试试 https://socket.dev/
- miya09232026-09-23
- miya09232026-09-23
- miya09232026-09-23
@terence4444 大概率是我本地的问题
- miya09232026-09-23
@UnluckyNinja 好的 我把不同的功能切到不同的 key 上试试看
- foryou20232026-09-23
你配置到电脑的环境，不用他放几天试试。看是本地泄露了，服务器用其他的 key ，还是服务器的问题，看看哪个 key 出现了费用。
- miya09232026-09-23
@foryou2023 谢谢！ 马上测试下
- wat4me2026-09-23
一个工具一个项目新建一个 key ，出问题了去排查用量就能看出来
- yggd2026-09-23
claude code 中使用 deepseek 吗？可能是 claude code 的问题。我最近偶尔在 claude code 中调 deepseek ，一直是 flash ，但面板中可以看到 pro 的调用。不一定是泄漏了，你把 settings.json 中的模型都换成 flash 再看看。
- miya09232026-09-23