AI 密钥窃取漏洞引发巨额账单风险，安全机构发出提醒

2026 年 11 月 7 日，DEV Community（文章最早发布于 ConvertElementor）发文指出，攻击者正通过窃取 AI API 密钥进行高强度滥用，其中一例在单日内产生了 100 万美元的账单。文章将这类利用被盗密钥调用大模型的行为称为 LLMjacking，并称其并非小规模、静默的使用：Google 与 Mandiant 记录到，被盗密钥往往被按最大速率消耗，常被用于转售访问权限，或在密钥所属者察觉异常之前，用他人账号运行大规模工作负载。

关于泄露渠道，文章列出的具体情况是密钥出现在代码、代码仓库、日志以及共享的提示词之中，例如用户将密钥粘贴进聊天窗口或提示词里，会连带让密钥被一并记录或留存。文章最后提醒开发者，必须像保护数据库密码一样妥善保管 AI API 密钥。

截至目前，材料仅提供了这一篇报道，尚无更晚的后续进展，也没有关于漏洞是否已修复或 Google、Mandiant 是否公布进一步统计数字的信息。