低价 AI 积分背后的数据风险：开发者的代码，可能先经过陌生人的服务器

2026 年 9 月 12 日，央视曝光了二手平台上一类低价 AI 积分服务的潜在风险：部分服务并非正规产品折扣，而是通过修改用户本地配置，把请求导向不透明的第三方基础设施，用户提交的办公文档、源代码和对话内容可能因此被截留、分析甚至倒卖。

这不是一次普通的低价促销争议，而是 AI 使用链路里一个经常被忽略的安全问题：当用户为了省下几元钱，安装来路不明的客户端、脚本或配置文件时，实际上可能把模型请求、访问凭据和企业数据一起交给了陌生人。

发生了什么：低价积分背后，不一定是优惠

低价 AI 接入服务是指通过非官方渠道向用户提供模型访问、积分或客户端配置的服务，它的核心风险在于请求路径和数据处理方式通常无法被用户验证。

据 IT之家 9 月 12 日援引的央视曝光信息，二手平台上出现了“8.8 元购买 5000 积分”等明显低于正常市场价格的商品。相关服务有的要求用户下载所谓专用工具，有的要求替换本地配置文件，还有的直接提供一段配置内容，让用户将原本面向官方服务的请求改到指定地址。

从用户视角看，这个过程可能只是“复制配置、重新登录、开始使用”；从技术视角看，它改变的是整个请求链路。用户原本以为自己在使用某个模型，实际请求却可能先到达一个无法确认身份、日志策略和数据保留期限的服务节点。模型名称、计费方式和界面都可以被仿造，真正决定安全性的，是数据究竟经过谁的服务器。

低价并不能证明服务存在问题，但无法解释的价格差、强制改配置和不透明的数据处理，构成了需要立即警惕的组合信号。

正规 AI 服务的价格通常包含模型推理、带宽、存储、风控、运维和合规成本。若一个商品长期以远低于公开价格的方式提供大量额度，卖家却不说明额度来源、请求路径和数据保留政策，用户就很难判断它究竟是促销、共享账户、未经授权的转售，还是利用用户流量和数据获利。

对开发者最危险的，不只是代码泄露

对开发者而言，AI 请求泄露的影响范围通常大于单段对话，因为一次请求可能同时携带源代码、系统提示词、内部接口、数据库结构和业务上下文。

很多编程助手并不是只接收用户最后输入的一句话。为了生成可用代码，它们可能读取当前文件、相关目录、错误日志、依赖清单、终端输出、版本差异，甚至整个项目的上下文。用户发送的一次“帮我修复这个 bug”，背后可能包含以下信息：

• 尚未发布的产品功能和业务规则；
• 数据库表结构、字段命名和内部服务地址；
• 测试环境中的账号、令牌或配置片段；
• 私有仓库代码、专有算法和未公开的技术方案；
• 客户数据、合同内容、财务表格或员工信息；
• 系统提示词、代理工具列表和自动化权限。

即使服务商没有直接出售原文，数据也可能被用于日志留存、人工审核、模型训练、质量分析或广告画像。对企业来说，泄露的未必是一份完整源代码，可能只是足以拼出系统结构的碎片；对攻击者来说，错误日志中的一个内部域名、配置文件中的一个环境变量，都可能成为后续入侵的线索。

AI 数据泄露的关键问题不是“模型会不会记住”，而是请求在到达模型之前和之后，经过了哪些可被人为控制的系统。

这也是低价服务比普通网页工具更值得警惕的地方。网页端至少可以通过域名、隐私政策和企业主体进行初步核验；而要求用户修改本地配置的工具，可能把风险前移到开发环境，甚至获得读取文件、调用终端和访问网络的机会。

三类常见风险：截留、调包与后门

第一类风险是请求截留，即服务商能够看到用户发送给模型的完整内容和模型返回结果。

如果请求先经过第三方服务器，那么服务商理论上可能记录请求时间、用户标识、提示词、附件、代码上下文和响应内容。是否真的记录，取决于它的系统设计和商业动机；但用户往往没有办法通过客户端界面验证“不记录”承诺。对于普通闲聊，这可能只是隐私问题；对于企业代码和客户资料，这就是信息安全事件。

第二类风险是模型调包，即界面宣称使用某个模型，实际调用的却是能力、版本或安全策略不同的模型。

模型名称可以出现在网页标题、客户端菜单和返回字段里，但这些信息并不等同于可验证的模型身份。服务商可能为了降低成本，将高价模型替换为低价模型，也可能改变系统提示词、上下文长度和输出过滤策略。用户得到的结果或许“看起来差不多”，却无法再根据公开基准和官方特性判断性能。

这对开发者尤其麻烦：代码生成任务的质量取决于模型版本、上下文窗口、工具调用能力和系统指令。一个调包后的模型可能在简单问答中表现正常，却在复杂重构、长上下文分析或安全审查中出现明显退化。

第三类风险是安装后门，即用户为了使用服务而安装的程序、插件或脚本，获得了超出模型调用所需的本地权限。

正常的模型请求并不必然需要读取整个磁盘、修改终端配置或关闭安全软件。如果一个所谓 AI 客户端要求管理员权限、添加未知证书、关闭杀毒软件、执行无法审计的脚本，或者把启动项、代理设置改得面目全非，用户面对的就不再只是数据合规问题，而是潜在的供应链攻击。

需要强调的是，央视此次曝光主要指向相关低价服务存在的风险与违规问题，并不意味着所有第三方软件都已经被证明植入恶意程序。技术判断必须区分“已确认事实”和“合理风险”：目前可以确认的是低价服务存在篡改本地配置、数据可能被截留等问题；至于某个具体商品是否安装后门，则需要安全机构进一步取证。

为什么开发者更容易踩坑

开发者更容易受到这类服务影响，是因为他们更习惯接受配置级解决方案，也更容易把安全风险误判成网络连通性问题。

当模型访问受地区、网络、额度或企业采购流程影响时，用户往往会在搜索引擎、社交平台和二手市场寻找“更快的办法”。“只改一个环境变量”“复制一段配置就能用”“多个模型统一入口”等说法，对熟悉开发工具的人非常有吸引力。

问题在于，配置文件本身就是信任边界的一部分。它可能决定请求地址、证书校验、代理方式、超时策略、日志位置和身份认证方式。把官方地址替换成未知地址，并不等于换了一个登录入口，而是把数据发送给了另一家服务商。

开发环境中的最小权限原则同样适用于 AI 工具：模型只需要完成任务所需的最少文件和网络权限，不应该默认获得整个工作区。

尤其是具备代理、终端执行和文件写入能力的 AI 编程工具，风险会从“内容泄露”升级为“操作风险”。一旦请求链路、客户端和插件都不可信，攻击者理论上可以通过恶意提示、篡改返回结果或诱导执行命令，影响本地代码和持续集成流程。

一张表看懂正规服务与低价服务的差别

| 对比维度 | 官方或可审计服务 | 来路不明的低价服务 | |---|---|---| | 服务主体 | 可核验的公司、产品和隐私政策 | 卖家身份、主体和责任边界不清晰 | | 请求路径 | 域名、证书和文档相对明确 | 可能要求改配置，实际地址难以确认 | | 模型身份 | 通常有公开的模型名称、版本和计费说明 | 可能存在模型调包或版本模糊 | | 数据政策 | 会说明保存、删除、训练和合规规则 | 常见“绝不记录”等口头承诺，难以验证 | | 客户端权限 | 权限范围相对可解释 | 可能要求管理员权限、关闭防护或执行脚本 | | 售后与追责 | 有正式支持渠道和合同关系 | 交易完成后难以追责，账号也可能随时失效 | | 成本结构 | 价格与推理、运维和安全投入相匹配 | 价格异常低，额度来源和盈利方式不透明 |

这张表的结论很直接：用户购买的不是几个数字组成的积分，而是一条承载数据的计算链路。

开发者现在应该怎么做

第一步是立刻停止在生产代码和敏感文档中使用无法核验的 AI 服务。

如果团队已经使用过相关工具，不要只删除客户端或恢复原配置，还应当检查过去提交过的内容、访问日志和本地文件权限。凡是曾经出现在对话、附件、终端输出或自动补全上下文中的凭据，都应该按照“可能已经暴露”处理，及时轮换令牌、密码、证书和云平台密钥。

第二步是审计本地环境，确认配置、证书、代理和启动项没有被悄悄改变。

重点检查模型服务地址、系统代理、Shell 启动脚本、编辑器插件、浏览器扩展、用户证书、SSH 配置和最近新增的可执行文件。对于无法解释的改动，不要直接在原环境继续工作，最好在隔离环境中保留证据并交给安全人员分析。

第三步是把敏感信息分级，而不是把“能发给 AI”简单理解成“可以发给任何 AI”。

可以将数据分成公开、内部、机密和受监管数据四级，并为每一级设置不同规则。公开资料可以使用普通工具；内部代码需要明确服务主体和保存政策；机密代码应优先使用企业合同覆盖、可审计日志和明确删除机制的服务；涉及个人信息、客户数据和重要业务系统的内容，则需要额外的合规评估和脱敏处理。

第四步是给 AI 编程工具设置技术隔离，让模型看不到不需要的文件，也不能随意执行高风险命令。

实践上可以采用独立开发容器、最小化工作区、只读挂载、网络白名单、密钥隔离和人工审批等措施。不要把云凭据写进项目目录，不要让工具默认读取整个用户目录，也不要让自动化代理在没有确认的情况下执行删除、发布、数据库变更和权限修改。

这次曝光真正值得关注的是什么

这次事件暴露的不是某一个平台的偶发漏洞，而是 AI 服务正在形成新的“软件供应链”风险。

过去，开发者主要担心从网上下载的依赖包、编辑器插件和容器镜像是否安全。现在，模型访问地址、系统提示词、工具协议、客户端扩展和代理服务同样构成供应链。它们可能不出现在最终编译产物里，却会接触开发过程中的大量高价值信息。

AI 行业越普及，用户越容易把“能不能调用模型”放在“数据经过哪里”之前。低价服务利用的正是这种认知偏差：它把复杂的网络、计费和模型问题包装成一个简单的价格问题，让用户只看到每个积分值几分钱，却看不到数据出境、日志留存和权限扩大的代价。

对个人用户来说，最稳妥的判断标准不是价格够不够低，而是服务身份、请求路径、数据政策和客户端权限能否被独立核验。

如果卖家无法说明模型来源、服务主体、数据保存期限和删除方式，却要求你执行脚本、替换配置或提交完整项目，那么这笔交易就不值得冒险。省下的几十元，可能换来一次密钥轮换、一次代码审计，甚至一次企业数据泄露事故。

央视报道提到，相关部门将严打这类违规行为。对开发者和企业来说，等待平台或监管部门清理并不是充分的安全策略。真正有效的做法，是从今天开始把 AI 工具当作外部供应商和高权限软件来管理：先验证，再接入；先脱敏，再提交；先隔离，再授权。

结语

AI 工具可以降低写代码和处理文档的成本，但任何无法解释的数据路径，都会把这种效率建立在额外风险之上。

在模型能力越来越接近、价格越来越透明的今天，服务是否便宜已经不是最重要的竞争力。对开发者而言，真正值得付费的能力包括稳定的模型身份、可追溯的请求链路、清晰的数据政策、最小化权限和出了问题之后可以找到责任人的支持体系。

低价不是原罪，透明度不足才是。

参考来源

• IT之家：IT早报 0912：央视曝光 AI 中转站低价灰产——提供 2026 年 9 月 12 日央视曝光相关低价 AI 服务风险的报道摘要。
• YouTube：起底 AI 中转站黑产：暗改倍率，模型调包，贩卖隐私，植入后门——补充材料，本文仅将其作为风险讨论背景，不将视频中的未经独立核验内容视为确定事实。

注：本文根据公开报道和补充材料整理。关于具体商品是否截留数据、是否植入恶意程序，应以监管部门、平台和安全机构的进一步调查结论为准。