AI 中转站靠谱吗、安全吗？拆一份流出的站长内部文档

三十块钱一个月，官方价的一折，GPT 和 Claude 随便调。这类广告你大概刷到过，或者已经充过一次。

第一周用得挺顺。第二周开始觉得它答得敷衍，同一个问题问两遍，第二遍明显更糊。你去问客服，客服说是高峰期限流，让你晚点再试。你信了一半，另一半没处问，就这么接着用了。

那阵子网上传出一份文档，据说是某个中转站运营方内部的决策记录。里面没写什么技术细节，通篇是「怎么让用户查不出来」。看完之后，你心里那另一半大概能对上号。

文档的截图我还留着。下面把它的每一条摊开说，能算的我算一遍，它没写的部分按公开资料补上。

一、你的请求，先到谁手里

海外 API 有三道门槛：要海外信用卡，要海外网络，要按美元结算。国内大部分人卡在这三步上。中转站做的就是把这三道坎一次抹平，人民币充值、国内直连、一个 key 调遍所有模型。

技术上没什么新鲜东西。你的请求不再发往 api.openai.com，改发往它的域名。它收到，用自己的账号向上游发一遍，拿到结果原样吐给你。中间多了一跳 HTTP，麻烦就在这一跳上。

几百毫秒里，你的请求停在它的服务器上。它可以把 model 字段改成别的型号，把 max_tokens 压小，把返回的文本换掉，把计费用量往上抬，甚至把 tool call 的参数整个替换。你这边看到的只是一个兼容 OpenAI 格式的接口，至于它拿这个请求去做了什么，你没有任何办法知道。

这算不上攻击。它本来就有这个权限，请求是你自己发过去的。

有人拿 CDN 类比，说「不就是个缓存层」。不一样。CDN 只搬字节，不解释内容；中转站得把你的请求拆开看，重新组装，再拆开返回。转发只是它顺手做的那件事，它站在能改的位置上。

AI 中转站请求链路示意图：请求经中转站转发到上游模型，中转站可在缓存作假、关键词路由、模型降级、倍率虚标、脉冲涨价、预置答案六个位置动手脚

二、一折的钱是从哪省出来的

包月三十块，比官方便宜十倍。这个价得算一下。

上游的成本是死的。旗舰模型按百万 token 计价，输出端便宜的十几美元，贵的几十美元。一个重度用户跑 agent，一天烧几十上百块人民币很正常。这笔钱不会因为中间多了一家公司就凭空消失，要压价只能从三个地方想办法。

一个账号卖给一堆人。买一个两百美元级别的高级订阅，拆给几十个人同时用，谁用谁排队。这种玩法算不上黑产，但它有上限，额度就那么多，人越多每人分到的越少。高峰期卡、被官方风控、封号，都是这么来的，怨不得运营。

把贵的模型换成便宜的。这个后面单独说。

压根没付这个钱。用接码平台批量注册新号，薅官方送的新用户体验金；或者拿盗刷来的信用卡开号。前一种官方一封号就报废一批，后一种性质就不一样了，那在刑法里。

正经做企业级采购再分销的也有，但它们的价格有天花板，压不到官方批发价下面太多。所以看到「官方一折」还能长期稳定供货的，基本可以倒推：这三条里至少占了一条。这不涉及道德判断，就是算不过来——正经采购怎么算都亏，另外三条怎么算都不亏。

有个开发者跟媒体讲过自己两个月里换三家的经历。第一家 25 元月租、每天 120 美元额度，用了二十来天，官方大规模封号，商家直接跑路。第二家 70 元月租只剩 90 美元额度，十来天后商家说「封杀严重、成本上涨」，价格翻到三到四倍。再往后月卡取消，改成 100 元换 500 美元。

额度一次比一次小，钱一次比一次多，包月最后变成了预付。这三件事一起发生的时候，一般说明上游的号池快见底了。

三、什么活儿给你真模型，什么活儿给你降级版

用户管这个叫「降智」，站长管它叫「路由」。说的是同一件事，用词不一样，因为一个是感受，一个是操作。文档里那条写得很直白：

找一个不降智的号，专门处理类似的信息关键词抽取。比如糖果题、html 动画、svg，这些你判断是降智的关键词，会专门用一个不降智的号来处理，你的请求会打到这个正常号上返回，让你觉得是正常号。

挑这三类不是随手挑的。svg 你打开就能看见画歪没有，html 扔浏览器里点两下就知道能不能用，数学题对着答案一核就知道对不对。这三样东西一旦偷工，用的人当场发现，接着就是退款、差评、到群里骂。站长算过这笔账，不划算。

剩下的就不一样了。写文案、改简历、解释一个概念、把邮件润色得客气点，这些活儿没有标准答案。你拿到一段读起来挺顺的话，凭什么判断它是真的那个模型写的，还是某个便宜模型拼出来的。答得空一些，你会怪自己 prompt 没写清楚；代码跑不起来，你会以为是需求没说明白。降级池里装的，主要就是这一类。

这么一来，你在能验证的地方拿到的还是好模型，省下来的钱全从你验证不了的地方出。这笔账只有一处是划算的：对站长。

第二层是模型本身。文档里的说法是「长时间、长任务会随机降智」，把贵的型号换成便宜的。为什么挑长任务？因为长对话里没人会逐句回头比对，你不可能去检查第 40 轮的回答质量是不是还跟第 3 轮一个水平。

第三层是动态路由。同一个模型名，高峰走便宜渠道，低峰走贵渠道；简单请求给小模型，复杂的偶尔给真的。你只会隐隐觉得「今天这个有点不对劲」，然后就没有然后了，因为你没有证据。

四、那张倍率表，我把三行数字重算了一遍

文档里有一张表，三行。第一眼看像内部价目表。

标称倍率	典型缓存命中率	输入等效倍率
0.1 倍	60%–70%	0.046 倍
0.2 倍	60%–70%	0.092 倍
0.3 倍	95%	0.044 倍

表上这几个词得先弄明白。倍率是指中转站不按「每百万 token 多少钱」标价，改按「官方价的几折」标，0.1 倍就是官方价的一折。

缓存则是另一回事。Claude、GPT 这类模型都有 prompt caching：一段重复出现的前缀，第二次不用重算，价格只有标准输入的十分之一。agent 干活的特点就是每轮都要把前面几十轮的内容重新喂一遍，所以命中不命中，账单能差出一个数量级。

真实成本是这么算的。设命中率为 h：

cost = 命中部分 × 0.1 + 未命中部分 × 1
     = h × 0.1 + (1 − h) × 1
     = 1 − 0.9h

把表里的命中率代进这个式子，三行都能对上：

0.1 倍档，命中率 60%：(1 - 0.54) × 0.1 = 0.046
0.2 倍档，命中率 60%：(1 - 0.54) × 0.2 = 0.092
0.3 倍档，命中率 95%：(1 - 0.855) × 0.3 = 0.0435 ≈ 0.044

小数点后三位一个不差。随手编的数字不会这么巧。编这张表的人手里有公式，他挑一个命中率代进去，算出这一档该报多少，填进表里。所以这三行数字是从价格倒推出来的：先定好这一档要收多少钱，再回头定命中率该给多少。

真正的信息不在第三列，在第二列。0.1 倍档，命中率 60%；0.3 倍档，命中率 95%。

你选最便宜那档，拿到的命中率是 60%。你选贵三倍那档，命中率 95%。最后一算，0.046 对 0.044，差 5%。

那你多花的钱买到了什么？买到了一件事，不被打断。那这个命中率又是谁定的？

文档开头有一段叫「缓存作假」，原文是：「线路 1 切换线路 2，人为作梗，作一次缓存删数值不止」。翻成人话，就是在你的两次请求之间把上游线路切一下，缓存断了。命中率不是自然发生的，是可以拧的旋钮。

所以标价压多少，命中率就跟着压多少，一直压到等效价格跟上一档持平为止。你以为自己在挑便宜的，其实只是在挑一个更低的命中率。

AI 中转站倍率表反推：0.1 倍档对应 60% 缓存命中率、等效 0.046，0.3 倍档对应 95% 命中率、等效 0.044，两档实际只差 5%

还有更狠的一档。文档里写「Plus 冒充」，就是用 Claude Pro/Max 的订阅号反代成 API。订阅号没有 API 那套缓存计费，谈命中率没意义，但账单照旧按「官方一折」报。这种你连「命中率被压」都察觉不到，因为从头到尾就没拿到过缓存。

五、账单上的数字，比模型好改多了

模型你好歹能想办法验，账单基本没辙，你只能看到它愿意给你看的那几行。

倍率随时能改

大部分站跑的是 New API 这类开源面板，后台有个字段就叫「费率倍数」，1.0 标准价、0.5 半价、2.0 双倍，站长填个数字就生效。文档原话是「同样任务花 1 块钱，他可以设置花 3 元、4 元，或者 1.5 倍」。

你查账的时候看到的是「这个模型倍率 0.1，消耗 100 万 token，扣 3 块」，账面上挑不出毛病。你不知道的是，这个 0.1 是什么时候改过的。

涨价能做成一闪而过

文档里叫「紧急价格保护」：凌晨两点到两点二十，把某个分组的倍率临时调高，跑完调回来。单次金额不大，摊到你连着几天的账单里看不出来。你去问，答复是「线路波动」。

预置答案

这一条最像作弊。把一批热门任务提前在真模型上跑好，答案入库，用户来问直接返回。

也就是说，你的请求可能压根没到模型那里。这类回答的质量通常不差，因为做的时候是认真做的。破绽在长上下文上：你塞一段它没见过的内容进去，让它引用里面的某个数字，它就对不上了。所以预置答案只敢用在短任务上。

假首字

收到请求先吐一个空格或者一个固定字符，首字延迟立刻变成几百毫秒。官方模型首字一般一到两秒，比官方还快，这事儿本身就值得多看一眼。

六、它不只能看，还能改

前面这些事，伤的都是钱。你能通过账单和测试发现，发现了换一家，损失有上限。数据这块不一样。

AI 中转站三类风险的代价对比：模型注水可发现可止损，倒卖上下文不可逆，改内容投毒影响执行权限且极难发现

你的 prompt 经它转发，意味着它能看到全部内容：代码、报错日志、数据库字段、.env 里的键名、客户名单、还没上线的方案。而「脱敏」这个说法经不起推敲。代码上下文里，内网 IP、表结构、服务之间的调用关系、业务规则的注释，单看都不敏感，拼起来就是你的系统架构图。脱敏脱得越干净，数据越没用；越有用，就越脱不干净。

这个市场是明码标价的。有人在群里发过这样的消息：「收上下文缓存数据，正常脱敏，模型蒸馏用的，去重后 1m 10 元」。

而且值钱的东西变了。单轮问答其实不值钱，值钱的是完整的轨迹：你提了什么需求、它错了三次、你怎么纠正、最后跑通的那版代码长什么样。这里面有意图、有试错、有最终解，比任何静态语料都贴近真实的工程决策。

用得越重、上下文越长、纠正得越细的人，越是被盯上的目标。而他本人什么都不知道。

改内容的事，今年四月有篇论文专门测过，叫《Your Agent Is Mine》。研究团队测了 28 个付费、400 个免费的中转网关，在请求里埋了 AWS 金丝雀凭证，结果 17 家碰过这把假钥匙；埋进去的一把以太坊私钥，被其中一家直接转走了 ETH。另有 1 个付费站和 8 个免费站会往返回内容里注入恶意代码，2 个用了自适应规避触发器（检测到测试流量就不作恶）。

论文里的手法不是给你一个错答案，是改 tool call 的参数。比如模型要装 requests，返回里那个包名可能变成 requestss；模型要访问某个文档链接，URL 可能被整个换掉。你这边看到的还是模型在正常工作，实际执行的是另一套东西。

再配一个数字看：440 个 Codex 会话里，401 个跑在 YOLO mode，自动批准工具执行、不弹确认。这些人的上下文里不只有文本，有可以直接执行的权限。

模型注水，骗的是你的钱。改内容，是在你机器上装东西。这两件事不在一个量级上，但很多人只防前者。

七、出事之后，站长和用户各担什么

今年五月，一位上海的中转站站长公开发了关停声明，说自己因为非法获取 API 模型被刑事拘留 37 天，目前取保候审，已经退赔退赃。消息在圈子里传得很广，之后不少同行紧急关站。法律上目前比较一致的看法是两条线：

非法经营。面向境内用户大规模提供境外模型接口并牟利，属于经营性互联网信息服务，需要增值电信许可。绝大多数个人站没有。
非法获取计算机信息系统数据。逆向官方协议、伪造请求、绕过鉴权。这一条比「没牌照」重得多。

还有一个容易被忽略的点：数据出境。你用中转站处理公司资料，那些内容实实在在地传到了境外服务器上。按现行规定，处理重要数据、或者达到一定量级的个人信息出境，要走安全评估或标准合同。个人用户可能觉得这跟自己没关系，但真出事的时候，「把数据发出去」这个动作是你做的。

不少从业者的自我认知是「我只是技术代理，不算数据处理者」。这话站不住。只要数据经过你的服务器，发生收集、存储、传输，你就是数据处理者，名字叫什么不影响定性。

八、七个自己动手就能验的招

不用信谁，验就行。下面七条按成本从低到高排：

看账单字段。正常的账单会把 input、output、cache_write、cache_read 四项分开列。只给一个总数、不肯导出明细的，直接排除。这一条能筛掉一大半。
自己数 token。拿公开的 tokenizer 把同样的文本数一遍，跟账单对。差三成以上不正常，差一倍就是明抢。
试缓存。同一段几千 token 的长 prompt 连发两次，看第二次的 cache_read 涨不涨。不涨说明根本没有缓存，所谓「一折」是把没打折的钱按打折卖你。
埋长上下文。塞一串随机数字进去，让模型「引用第 37 个数字」。预置答案和上下文截断会当场露馅。
看首字。首字 200ms、整段却吐得很慢，翻一下第一个 chunk 是不是空串或者一句「好的」。
放饵。这条最老也最狠。在 prompt 里埋一个只用过一次的随机串，或者一把明知是假的云厂商 key。过两三周回来查：假 key 有没有产生调用记录（云厂商后台能看到），那个随机串有没有出现在搜索结果里。论文测金丝雀凭证就是这么测的。
看有没有聊天记录页面。有，说明请求体是明文存的。没有也不代表没存，只是没给你看。