文章总结： AITokenJacking成为安全新焦点，攻击者窃取AIAPI密钥后滥用算力产生巨额费用并可能泄露敏感数据。风险被低估因模型密钥可快速变现且缺乏监控。蓝队应重新定义资产、优化风险排序、保全关联日志。应急处置需止血排查恢复三步并行，中期治理需责任到流程。检测应侧重行为逻辑而非静态IOC，验证需确保发现研判阻断闭环。长期需将事件转化为可重复的治理框架。 综合评分： 88 文章分类： 威胁情报,应急响应,安全运营,AI安全,安全建设

AI Token Jacking：被偷走的不只是 API Key，还有失控的算力账单

NowSec NowSec

NowSec

2026年8月20日 08:00 陕西

在小说阅读器读本章

去阅读

事件概览

过去一周，AI Token Jacking 成为安全圈的新焦点。真正值得企业关注的并不是又多了一个新闻标题，而是它暴露出的防守错位：系统已经进入生产、权限已经被自动化流程持有，安全运营却仍按传统资产名称和单点告警理解风险。攻击者利用的往往不是某个神秘技巧，而是组织没有把入口、身份、数据、日志和处置责任放在同一张图上。

Unit 42 于 2026 年 8 月 6 日公开 Token Jacking 研究，称其已响应多起 AI 令牌劫持事件：攻击者取得合法开发者的模型 API 密钥后，将算力接入灰色中转服务，可能在受害者察觉前产生巨额调用费用。文中案例为研究机构处置观察，并非对所有平台的普遍损失统计。

风险为何被低估

过去泄露云密钥，安全团队首先担心服务器、对象存储和数据库；现在模型密钥本身就是可以迅速变现的算力通行证。它可能没有交互式登录、没有 MFA 提示，也可能默认允许持续扩容，直到月度账单出现异常。

AI 调用还会带来第二层风险：提示词、代码片段、客户数据和内部文档可能被攻击者的中转服务观察或留存。因此事件响应不能只做费用止损，还要评估哪些敏感上下文曾通过被盗令牌或非官方网关流出。

蓝队排查重点

治理重点是把 AI 调用纳入机器身份体系：短期凭据、工作负载绑定、分环境额度、调用来源限制、模型级白名单、分钟级费用告警和统一 AI 网关。密钥轮换必须与日志保全、缓存清理、CI 变量和开发者终端排查同时进行。

这件事首先提醒我们重新定义资产。资产不只是 IP 和域名，还包括组件能力、开放协议、服务账号、API 密钥、插件或技能、数据连接以及自动执行链。对于 AI Token Jacking、API Key、AI 网关、机器身份、费用异常、灰产中转站这类对象，CMDB 如果只记录“系统名称、负责人、服务器地址”，就无法回答哪个入口可达、谁能调用、权限能做什么、异常发生后在哪儿留痕。

第二个问题是风险排序。很多团队仍按漏洞分数机械排期，但真实优先级至少要加入五个变量：外部是否可达、是否无需认证、成功后权限有多大、能否触及身份或敏感数据、现有日志能否支持快速发现。满足多项条件的资产，即便业务方认为“不重要”，也应进入紧急处置队列。

第三个问题是日志。针对 AI Token Jacking，蓝队应先保全边界访问、身份认证、主机或容器、应用审计、网络流量和费用或任务执行记录，再围绕统一时间线关联。需要关注的不只是明确失败，也包括短时间内的配置改变、新建凭据、异常导出、调用量突增、罕见目的地址和安全能力被关闭。孤立查看任何一类日志，都可能把攻击链切碎。

在攻防演练场景中，建议先做低成本验证：确认资产清单与实际监听是否一致；核对 WAF、代理、EDR 和身份平台是否覆盖；用授权测试账户验证告警能否产生、能否进入工单、是否有人接手。验证重点不是“能不能打进去”，而是发现、研判、升级和阻断链路是否真正闭环。任何测试都应在批准范围内进行，避免把生产系统当作实验靶场。

应急处置与中期治理

短期处置应分为止血、排查和恢复。止血包括收敛入口、限制来源、撤销或轮换高风险凭据、临时关闭不必要能力；排查要识别是否已有成功访问和后续行为；恢复则要完成补丁或版本升级、配置复核、业务验证与监控加固。只做第一步会留下隐患，只做升级则可能错过已经发生的入侵。

中期治理要把责任落到流程。系统负责人负责业务影响和升级窗口，安全团队给出威胁判断与检测要求，平台团队负责身份、网络和日志能力，审计或管理者确认例外是否到期。对无法及时修复的资产，必须记录补偿控制、责任人、截止时间和复核证据，不能让“临时措施”无限期存在。

国内运营商、金融和政企环境往往存在多中心、多租户、外包维护和复杂变更窗口。这里最有效的办法不是再增加一张 Excel，而是让资产、漏洞、告警、工单和变更使用同一标识关联。发生事件时，值班人员可以快速知道业务归属、链路、账号、版本、处置联系人和历史例外，减少跨团队确认时间。

检测、协同与验证

检测规则也要避免只写成一次性的 IOC 清单。域名、IP、文件哈希和固定路径当然有价值，但它们变化很快；更耐用的是行为逻辑，例如低频探测后出现高权限配置变更、非常用工作负载突然访问敏感数据、非业务时段产生密集调用、普通终端连接罕见基础设施。规则上线后还应记录数据源、适用范围、误报处置和失效条件。

对 WAF、EDR、NDR、身份平台和云审计的分工也要说清楚。WAF 能够看到入口请求，却未必知道后台权限是否被改变；EDR 能观察进程和文件，但对合法 API 滥用可能并不敏感；身份平台能发现异常登录，却看不到登录后的数据行为。真正有效的检测需要用工单把这些证据聚合，而不是要求某一台设备独自给出全部答案。

变更完成后的验证常被忽视。升级成功不等于风险已经关闭，还应检查旧实例、备用节点、灾备中心、灰度环境和镜像仓库是否遗留受影响版本；确认临时放通策略已经回收；对关键检测用例做一次安全的回放；由业务方确认主要功能与性能没有异常。只有技术修复、业务验证和监控验证同时通过，工单才适合关闭。

复盘与管理指标

复盘时不要只追问个人为什么没有及时发现，更应检查系统为何允许信息断裂：资产负责人是否准确，公告是否能映射到产品版本，日志是否集中保存，告警是否有值班人，夜间是否有升级通道，例外是否自动到期。把问题归因于“提高意识”通常不会改变下一次结果，把缺口改造成自动校验和明确门禁才会。

管理层需要看到的也不应只是“发现多少漏洞、关闭多少告警”。更有意义的指标包括互联网暴露资产确认时长、高危事件从发现到研判的时间、关键日志覆盖率、凭据轮换完成率、逾期例外数量、恢复演练成功率，以及同类问题是否在多个中心重复发生。这些指标能够反映组织是否真的缩短了风险窗口，而不是单纯增加报表数量。

还要避免两个极端。一是看到高危描述就直接等同于已被攻陷，在没有证据时制造恐慌；二是因为没有公开在野利用或暂未看到告警就认为安全。正确做法是明确事实层级：公告证明了什么、研究观察到了什么、本单位验证到了什么、哪些只是合理推断，并分别采取相称行动。

蓝队检查清单

如果把这起事件压缩成一份蓝队检查清单，至少包括：确认受影响资产与版本；梳理暴露入口和信任链；检查高权限账号与长期凭据；保全并关联关键日志；搜索异常配置、任务、进程、流量与数据访问；完成升级和回归；对备份、回滚和应急联系人做实测。每一项都应留下可复核证据。

长期来看，AI Token Jacking 不是单点产品问题，而是“新能力进入企业的速度快于治理能力”的又一次体现。安全运营的目标不应是追完每条新闻，而是把事件转化为可重复的资产识别、风险排序、检测、响应和复盘机制。下一次产品名称会变、CVE 会变、攻击工具会变，但治理框架不应该重新从零开始。

参考资料

本文资料以公开权威来源为准：https://unit42.paloaltonetworks.com/ai-token-jacking/。截至 2026 年 8 月 15 日，未获得的事实不会被写成已确认结论；涉及研究数据时，也不把实验结果直接外推为所有企业环境的普遍情况。

免责声明：

本文所载程序、技术方法仅面向合法合规的安全研究与教学场景，旨在提升网络安全防护能力，具有明确的技术研究属性。

任何单位或个人未经授权，将本文内容用于攻击、破坏等非法用途的，由此引发的全部法律责任、民事赔偿及连带责任，均由行为人独立承担，本站不承担任何连带责任。

本站内容均为技术交流与知识分享目的发布，若存在版权侵权或其他异议，请通过邮件联系处理，具体联系方式可点击页面上方的联系我。

本文转载自：NowSec NowSec NowSec《AI Token Jacking：被偷走的不只是 API Key，还有失控的算力账单》