周一早上打开云账单，用量曲线像被人按了快进：十几个小时烧掉的调用量，比平时一个月还多，模型列表里还有几款你从没点过的名字。第一反应是“自己脚本写炸了”；翻完日志才发现，花钱的根本不是你——是别人拿着你留在某家开发平台里的模型密钥，在替自己刷量。
这不是个例。10月30日，安全公司Wiz把这个月总结成“黑色十月”：至少九家AI开发平台在十月陆续披露了安全事件。名单从月初排到月末：Fireworks、Zeabur、Lightning AI、Railway、Warp、Northflank。攻击者盯上的东西高度一致：平台侧存着的、能直接调大模型的API Key。偷走密钥、刷量、转卖，业内管这叫LLMJacking。知乎
数字比“又被黑了”更扎人。Wiz盯到的两起企业密钥滥用里，一把密钥在约30小时内打出约80万次AWS Bedrock调用，成功率九成，重点烧的是最贵的Claude Opus系列；另一把在13小时里打出约170万次调用。仅这两起，按标价估算用量就很可能超过10万美元。而买单的，是密钥的主人。知乎
10.5万星的插件，悄悄“搬走”你的提示词
更让人不安的是，不用被黑，也能泄。
10月29日，有用户在claude-mem——Claude Code生态里星数最高（10.5万星）的记忆插件——仓库里提交issue #5176：从v15.2.0起，安装结束时自动弹出的设置页，会把你最近30天的提示词原文，连同项目名、路径、时间戳，直接上传到官方云端cmem.ai。扫描对象覆盖Claude Code、Codex、Gemini CLI等工具的本地会话库，和安装器里勾选了哪些工具无关。知乎知乎
页面上唯一的勾选框默认勾中、上传期间置灰；官方后来确认，取消勾选也不会停止上传。而它的隐私政策写着：“除非显式开启云同步，否则什么都不会离开设备。”知乎
提示词里有什么？业务逻辑、接口设计、内网地址——它本身就是资产。官方的回应是：自家数据库记录已删，但上传途经的OpenRouter和下游模型供应商手里的副本，删不掉。还有用户实测发现，插件会拿她的ChatGPT账号偷偷跑后台任务，几天233次，用了–ephemeral参数让会话不落盘，用量面板里根本看不见。知乎知乎
木马也“与时俱进”了
10月15日，Symantec披露信息窃取木马Aoki（又名Aokigahara）能力升级：开始专门搜刮Claude、Cursor、Codex、GitHub Copilot、Gemini等编程助手的凭据与会话文件，还能顺手拿走AWS凭证。你开发机上的.claude.json、config.toml、.env，都在猎物清单里。知乎知乎
在安全厂商眼里，AI助手的登录态，已经和银行卡、加密钱包排进了同一价值阶梯。前提是本机先中木马。但2026年开发者的机器上，半打编程助手、云CLI、浏览器密码库并存，一次中招，一起打包。知乎
今晚就能做的五件事
三起事件指向同一个共性：AI编程工具的能力扩张太快，权限和数据边界的设计没跟上。MIT科技评论10月底也喊话：智能体需要的是实时监控和随时叫停，而不是事后翻日志。知乎
按性价比排序的自查清单：
看账单：翻一遍近30天用量曲线，短时冲高、陌生模型、异常地区调用，出现任何一条先按泄露处理。
轮换密钥：进过第三方平台或中转站的密钥，默认按已泄露处理；明文.env里的长期密钥换成短时、最小权限令牌，用量告警和限额开起来。
审插件：装插件前查一眼遥测和云同步是否默认开启，星数不等于可信。
管住目录：.claude.json、config.toml这类会话文件列入敏感资产清单，本机杀软全盘扫一次。
提示词也当数据管：涉及业务逻辑的会话记录，定好留存和清理策略。
AI编程的价值上限由模型决定，下限由数据边界决定。上限可以慢慢追，下限破一次就是事故。与其等账单爆了再向财务解释“我只是图部署方便”，不如今晚花十分钟，翻一遍自己的密钥列表。
