黑客正将目标对准AI服务订阅账户，窃取令牌以消耗用户配额。这一趋势提醒我们，AI安全不仅关乎模型本身，也关乎账户与令牌管理。

发生了什么

上个月，一名Claude用户发现自己的账户在未使用的情况下持续消耗令牌。随后，Anthropic向用户发出警告，提醒防范黑客窃取令牌。这类攻击通常通过钓鱼、恶意浏览器扩展或泄露的API密钥实施，一旦得手，黑客即可在用户不知情的情况下调用模型，消耗其订阅额度，甚至可能窃取对话数据。

为什么重要

AI服务的令牌（token）是计费与访问的核心凭证，其价值等同于数字货币。随着Claude、ChatGPT等服务的普及，订阅账户成为黑客眼中的“金矿”。与传统的账号盗用不同，令牌窃取更具隐蔽性——用户往往在账单异常或额度耗尽时才察觉。Anthropic的警告并非孤例，此前已有针对开发者的API密钥滥用事件。这一现象背后，是AI服务在身份验证与令牌生命周期管理上的不足，例如缺乏细粒度的使用监控、异常行为检测和及时告警机制。

影响与看点

对普通用户而言，令牌窃取意味着直接的经济损失和隐私风险；对开发者与企业，则可能引发数据泄露和合规问题。值得关注的是，AI服务商如何应对这一挑战：是否会引入更严格的多因素认证、设备绑定或实时用量告警？此外，用户自身的安全习惯也至关重要，例如定期轮换API密钥、审查已授权应用、启用异常登录通知。独立判断：AI安全的下一个战场，或许不在模型层，而在账户与令牌的“外围防线”。若服务商不尽快补齐这块短板，信任危机将拖累AI的普及进程。