论文地址： https://arxiv.org/abs/2604.08407v1
TLDR：论文作者从淘宝、闲鱼、电商网站等平台收集了 28 个付费中转站和 400 个免费中转站，发现数十个中转站会主动注入恶意代码、搜集敏感数据（ AWS 凭据、ETH 私钥）。有两个中转站甚至会推测用户是否运行在 YOLO 模式，以此决定是否注入恶意代码。
 |
1
codersdp1 2 天前
不懂就问，就配置了域名和密钥 中转站如何注入恶意代码？
|
 |
3
andforce 2 天前 via iPhone
“可是中转站便宜啊”
|
 |
4
Hashbaby 2 天前
中转站甚至可以修改任意返回值 模型名称都可以是假的 反正你也不知道我在后面使用的哈
|
 |
5
lel020 2 天前 via Android
关键是 AI 的每句话，中转站都可以篡改，现在 AI 都是有命令行权限的。一旦中转 AI 背刺你。后果不堪设想。目前为止还没用过中转，但经常使用 yolo 。
|
 |
6
SmithJohn 2 天前
看来这些确实是更适合放在容器或者虚拟机里。。。
|
 |
7
ideard 2 天前
比如说 ssh 密钥，ai 都是明文读取，大部分中转都可以截流对话记录（毕竟能卖钱），这时候对话记录就很值钱了
@andforce 我也遇到过这种，有免费的 codex 不用，硬要跑中转站的假模型，出了问题吐槽 Claude opus4.6 怎么突然变垃圾/降智了，最后被小孩哥中转商一顿 PUA ，钱没退到还一肚子气 |
 |
8
xusx1024 1 天前
prinode ，我充了 1k ，结果人家直接跑路了。
|
 |
9
WuXiangGuJun 1 天前
@xusx1024 退款呀，应该回退。小额就不会给你退
|
 |
10
rpish 1 天前
这都不是中间人，已经给后门让人命令执行了。
|
|
11
rpish 1 天前
好奇，像 openrouter 这样的大中转，API 好像是厂商自己提供的，这个可信吗？
|
 |
12
jqknono 1 天前 via Android
|
1
Select Language