AI 金鑰竊取漏洞引發鉅額賬單風險，安全機構發出提醒

2026 年 11 月 7 日，DEV Community（文章最早釋出於 ConvertElementor）發文指出，攻擊者正通過竊取 AI API 金鑰進行高強度濫用，其中一例在單日內產生了 100 萬美元的賬單。文章將這類利用被盜金鑰呼叫大模型的行為稱為 LLMjacking，並稱其並非小規模、靜默的使用：Google 與 Mandiant 記錄到，被盜金鑰往往被按最大速率消耗，常被用於轉售訪問許可權，或在金鑰所屬者察覺異常之前，用他人賬號執行大規模工作負載。

關於洩露渠道，文章列出的具體情況是金鑰出現在程式碼、程式碼倉庫、日誌以及共享的提示詞之中，例如使用者將金鑰貼上進聊天視窗或提示詞裡，會連帶讓金鑰被一併記錄或留存。文章最後提醒開發者，必須像保護資料庫密碼一樣妥善保管 AI API 金鑰。

截至目前，材料僅提供了這一篇報道，尚無更晚的後續進展，也沒有關於漏洞是否已修復或 Google、Mandiant 是否公佈進一步統計數字的資訊。