现在的安全环境远比我们想象的要严峻很多
除了不要用中转站以外，
api key 也不建议裸放在 env 文件里
还有不要乱安装体验各种新出的 AI 工具
分享下我的经历，我 mac 上安装了杀毒软件和各种监控工具，但也栽跟头了
因为上个月，我 openrouter 的 api 被莫民奇妙的盗刷了400 多刀，没有使用任何中转站，key 只放在 .env 文件夹下，日志显示也是正常应用的调用，我目前还查不出来怎么被盗刷的，只能认栽
平时每月 500 多美金的 AWS 账单，9 月才过 7 天，直接被刷到 6,600 多美金。
凌晨收到邮件，账号被停用了。元凶是两台完全不认识的 c5.2xlarge，一周跑了 70TB 出站流量，典型的被人拿去当代理节点卖带宽。
顺着 CloudTrail 一查，实锤了：
我的 IAM 密钥泄露，攻击者用脚本连开五波实例，来源 IP 全是美国住宅宽带。
最细思极恐的是，账号停用前几分钟，他还创建了一个叫 bedrock-console-4 的 IAM 用户，名字伪装成 AWS 官方服