api key 被人盗用了

你可以马上换一个 key 然后再观察一段时间，大概就知道是什么渠道了。
第三点可能性很小，不然会有很多反馈 key 被盗的。

我觉得 1 的概率更大一点，用的哪家托管，有没有用什么面板，开了哪些端口，SSH 是密码还是证书等都有关系。

git 放在私人里，缓存也是公开可以访问的，问题可能出在这

我之前也遇到过,在我没有用的期间有 glm 的请求.用了 Claude code open code cc switch, 写的项目也没有上传服务器.暂时不清楚怎么泄漏的, 让 glm 查这个人的 ip 信息都不愿意给我,气得我直接要求退款.

@terence4444 马上换了 但是过了几天后 又出现了这些 pro 模型的请求
@413420 也怀疑过 把 key 放到环境变量里了
@CyouYamato 真的太奇怪了

也可能是电脑装了什么软件有后门吧

@cctv6 好像好久没下载什么软件了 应该不至于

有没可能又是 npm 被投毒？

我最近的账号密码全部泄露，无一幸免。 就连我现在打开电脑，都是因为看到了 steam 的登录异常提醒，我才打开电脑的。

大概是从上个月开始，我的 codex 20x 被盗刷，然后陆陆续续收到了谷歌、微软、苹果、x 等账号的登录异常。幸好平时这些主要账号都开 2FA ，没开的也会由于风控，起码发个邮件提醒

我经过排查主要是有几个高风险的操作

1. apifox 被投毒的那次 - 小概率
2. 下载过一个盗版软件-大概率(打开之前让火绒查杀过)
3. npm 投毒- 中等概率

目前是换到卡巴斯基，并且全部账号密码在陆续轮换。

@miya0923 那你应该要先把 gitee 排除了吧？

改到环境变量的是 revoke 后的新 key 嘛？
国内平台的非公开不等于保密，毕竟有那啥需求，同时叠加平台草台班子概率
还有可能性就是你的各种工具来源并非官方

有个笨检测方法，就是重置 key 换着用后，二分法逐渐拆成更细的一步，比如今天重置个 key 但不在项目上使用，第二天切换过去，然后再过一天查看新 key 在这两天的使用量，分析是链路的哪一步出问题了

排除供应链攻击可以试试 https://socket.dev/

@loading 好的谢谢 我让 claude 检查下 这个问题

@twofox 好的 谢谢你的耐心回答

@terence4444 大概率是我本地的问题

@UnluckyNinja 好的 我把不同的功能切到不同的 key 上试试看

你配置到电脑的环境，不用他放几天试试。看是本地泄露了，服务器用其他的 key ，还是服务器的问题，看看哪个 key 出现了费用。

@foryou2023 谢谢！ 马上测试下

一个工具一个项目新建一个 key ，出问题了去排查用量就能看出来

claude code 中使用 deepseek 吗？可能是 claude code 的问题。我最近偶尔在 claude code 中调 deepseek ，一直是 flash ，但面板中可以看到 pro 的调用。不一定是泄漏了，你把 settings.json 中的模型都换成 flash 再看看。

@yggd 感谢回复，这个问题应该不会存在 claude 用的是套餐的 deepseek 只在项目里跑一些数据