论文地址： https://arxiv.org/abs/2604.08407v1
TLDR：论文作者从淘宝、闲鱼、电商网站等平台收集了 28 个付费中转站和 400 个免费中转站，发现数十个中转站会主动注入恶意代码、搜集敏感数据（ AWS 凭据、ETH 私钥）。有两个中转站甚至会推测用户是否运行在 YOLO 模式，以此决定是否注入恶意代码。
另见： t/1196288
 | 1 codersdp1 14 天前 不懂就问，就配置了域名和密钥 中转站如何注入恶意代码？ |
3 andforce 13 天前 via iPhone “可是中转站便宜啊” |
 | 4 Hashbaby 13 天前 中转站甚至可以修改任意返回值 模型名称都可以是假的 反正你也不知道我在后面使用的哈 |
 | 5 lel020 13 天前 via Android 关键是 AI 的每句话，中转站都可以篡改，现在 AI 都是有命令行权限的。一旦中转 AI 背刺你。后果不堪设想。目前为止还没用过中转，但经常使用 yolo 。 |
 | 6 SmithJohn 13 天前 看来这些确实是更适合放在容器或者虚拟机里。。。 |
 | 7 ideard 13 天前 比如说 ssh 密钥，ai 都是明文读取，大部分中转都可以截流对话记录（毕竟能卖钱），这时候对话记录就很值钱了 @andforce 我也遇到过这种，有免费的 codex 不用，硬要跑中转站的假模型，出了问题吐槽 Claude opus4.6 怎么突然变垃圾/降智了，最后被小孩哥中转商一顿 PUA ，钱没退到还一肚子气 |
 | 8 xusx1024 13 天前 prinode ，我充了 1k ，结果人家直接跑路了。 |
 | 9 WuXiangGuJun 13 天前 @xusx1024 退款呀，应该回退。小额就不会给你退 |
 | 10 rpish 13 天前 这都不是中间人，已经给后门让人命令执行了。 |
| 11 rpish 13 天前 好奇，像 openrouter 这样的大中转，API 好像是厂商自己提供的，这个可信吗？ |
 | 12 jqknono 12 天前 via Android |
1
Select Language