Billige AI-tokens skjuler et organisert gråmarked

Et organisert gråmarked for AI-tokens selger tilgang til de største modellene med rabatter på over 90 prosent. For deg som bygger med API-er er det viktigste ikke at noen har funnet en billig snarvei. Det er at misbruk av en åpen chatbot, en lekket nøkkel eller en dårlig sikret konto nå kan omsettes videre i et marked med kunder, betalingsløsninger og support.

En undersøkelse fra Matt Lenhard beskriver en kinesisk verdikjede med fire lag: selgere av kort og kontoer, store kontopooler, såkalte relay-tjenester og sluttkunder. Til sammen gjør de ulike kilder til modelltilgang om til ett OpenAI-kompatibelt API. Kjøperen trenger i praksis bare å bytte endepunkt i klienten sin.

Det er lett å henge seg opp i de mest absurde detaljene. En av markedsplassene skal til og med ha arrangert daglig lotteri om API-nøkler. Men hovedsaken er større: Angrep på AI-tjenester har fått en forretningsmodell. Dermed kan en tilsynelatende liten sikkerhetsglipp bli råvare for noen andre.

Hvor stort er gråmarkedet for AI-tokens?

Markedet fremstår som en etablert handelsplass, ikke en håndfull tilfeldige svindlere. Vectorals kartlegging fant 49 relay-leverandører og i tillegg prisportaler og partnerprogrammer rundt dem. De ti mest besøkte tjenestene skal samlet ha 3,6 millioner besøk i måneden, ifølge selskapets egne trafikktall.

Prisene viser hvorfor etterspørselen finnes. Det billigste tilbudet i kartleggingen lå 97,8 prosent under offisiell listepris, mens alle de ti billigste lå mer enn 94 prosent under. Et konkret tilbud lovet modellbruk tilsvarende 3 333 dollar i offisiell Anthropic-kreditt for 425 yuan. Med Norges Banks siste publiserte kurser før 27. juli tilsvarer det omtrent 31 900 kroner i oppgitt bruk for rundt 600 kroner.

Det regnestykket er ikke et bevis på at kjøperen faktisk får stabil tilgang til den lovede verdien. Det er selgernes og prisportalens påstand, og rabatten er så voldsom at den i seg selv bør utløse noen spørsmål. Hvis en fremmed tilbyr deg en splitter ny laptop for prisen av et tastatur, er ikke første spørsmål hvilken farge den har.

Hvordan fungerer et relay-marked?

Et relay er en mellomtjener som samler modelltilgang fra mange kontoer og videreselger den gjennom ett felles API. Undersøkelsen beskriver fire lag fra kilden til sluttkunden: kort- og kontoselgere, kontopooler, relay-tjenester og utviklere eller selskaper som kjøper billig inferens.

Øverst finner du leverandører av virtuelle betalingskort og masseopprettede kontoer. Neste lag samler titalls eller hundrevis av kontoer, fordeler trafikken mellom dem og bytter automatisk når en konto blir stengt eller når en grense nås. Relay-tjenesten pakker så dette inn i et ryddig produkt med saldo, fakturering, kundestøtte og kinesisk brukergrensesnitt.

Sluttkunden kan være en enkelt utvikler, en liten oppstartsbedrift eller et større selskap som vil ha svært billig modellbruk. Ifølge undersøkelsen er de tre viktigste motivene lav pris, omgåelse av geografiske begrensninger og tilgang til store mengder svar for modelldestillering. Den siste påstanden bygger i stor grad på innlegg i forumet og er ikke uavhengig dokumentasjon på hvilke selskaper som gjør det.

Den underliggende V2EX-tråden hadde over 37 000 visninger og 191 svar da jeg kontrollerte den 27. juli. Trådstarteren skrev at tjenesten hadde passert 2 000 yuan – omtrent 2 800 kroner med samme kursgrunnlag – i daglig innbetaling og åpnet elleve egne chatgrupper på under to uker. Det beviser ikke hele markedets størrelse, men viser hvor åpent og kommersielt miljøet omtaler seg selv.

Hvor kommer den billige kapasiteten fra?

Gateway-programvaren kan brukes både legitimt og til misbruk, og det er viktig å skille mellom dem. En gateway som samler bedriftens egne API-kontoer er et helt vanlig verktøy. Grensen krysses når poolen fylles med stjålne eller lekkede nøkler, misbrukte prøveperioder, kontoer betalt med stjålne kort eller trafikk hentet gjennom en ubeskyttet AI-tjeneste.

Lenhard beskriver gratis kreditt som massehøstes gjennom nye kontoer, betalinger som senere bestrides, og support-chatboter som brukes som skjult inngang til en dyr modell. Sistnevnte er lett å undervurdere. En chatbot trenger ikke avsløre selve API-nøkkelen for å bli misbrukt. Hvis angriperen kan sende vilkårlige forespørsler gjennom den i stor skala, har endepunktet allerede en økonomisk verdi.

Det ligner på det jeg tidligere har skrevet om da 1,5 millioner API-nøkler ble stjålet fra AI-agenter, men dette er en ny del av bildet. Nøkkeltyveri handler om å få tilgang. Relay-markedet viser hvordan tilgangen kan sorteres, fordeles og selges videre til mange kunder gjennom et ferdig kommersielt lag.

Det forklarer også hvorfor misbruket kan fortsette selv om enkeltkontoer stenges. En pool er laget for å tåle at én kanal forsvinner. Når trafikken kan flyttes mellom hundrevis av kontoer, blir stenging en driftskostnad i stedet for slutten på virksomheten.

Er one-api og new-api ulovlige verktøy?

Nei. one-api og new-api er åpne gateways som kan samle flere modellleverandører bak ett kompatibelt endepunkt. Programvaren kan brukes legitimt til lastbalansering, intern kostnadskontroll og administrasjon av bedriftens egne nøkler. Problemet er hvilke kontoer som legges inn, og om operatøren har rett til å videreselge tilgangen.

Vectoral fant one-api omtrent fire ganger så ofte som new-api i tjenestene de fulgte. Prosjektets egen dokumentasjon viser støtte for en lang rekke modellleverandører, kanalgrupper, kvoter, brukergrupper og automatisk retry. Det er akkurat det en legitim intern gateway trenger. Det er også akkurat det en uærlig operatør trenger for å holde mange tvilsomme kontoer i gang.

Dette er en kjent egenskap ved infrastruktur: En proxy vet ikke om nøkkelen bak den er betalt på redelig vis. Derfor blir det feil å mistenkeliggjøre all modellruting. En lokal eller selvhostet ruter kan tvert imot være et fornuftig grep for kontroll, slik jeg har beskrevet i saken om NadirClaw og legitim kostnadsstyring av modelltrafikk.

Hva risikerer kjøperen av billige AI-tokens?

Kjøperen risikerer mer enn at tjenesten plutselig forsvinner. Relay-operatøren står mellom klienten og modellen og kan i prinsippet se forespørsler, kode, dokumenter og svar som passerer. Du vet heller ikke hvilken modell som faktisk svarer, hvordan trafikken logges eller hvor mange andre ledd dataene går gjennom.

Stabiliteten er også bygget på kilder som kan bli stengt uten varsel. Forumtråden advarer selv om at omvendt tilgang via forbrukerprodukter kan gi dårligere resultater fordi skjulte systeminstruksjoner følger med. Billig kapasitet kan dermed bety feil modell, endret oppførsel, lavere grenser og en tjeneste som er borte når du trenger den mest.

Så kommer ansvaret. Hvis prisen bare kan forklares med misbrukte prøveperioder, stjålne betalingskort eller tilgang som videreselges i strid med vilkårene, er du ikke bare en smart kunde som har funnet rabatt. Du finansierer systemet som gjør angrepene lønnsomme. Det er en ganske dårlig besparelse hvis du samtidig sender kundedata eller kildekode gjennom det.

Det daglige nøkkellotteriet i undersøkelsen illustrerer hvor normalisert handelen har blitt. Portalen annonserte 50 nøkler med 100 dollar i kreditt hver dag – en påstått premiepott på 5 000 dollar, eller omtrent 47 900 kroner med kursen 24. juli. En kontrollert trekning med Bitcoin-hash gjør kanskje lotteriet rettferdig. Den forteller ingenting om hvor nøklene kom fra.

Hva bør du gjøre hvis du driver en AI-tjeneste?

Du bør behandle hvert offentlig AI-endepunkt som en mulig kilde til videresalg. Det betyr serverlagrede nøkler, egne nøkler eller prosjekter per tjeneste, lave forbruksgrenser for nye brukere, begrensning av samtidige kall og varsling på uvanlige kostnadshopp. En månedlig e-post når budsjettet allerede er brukt er ikke skadebegrensning.

OpenAI anbefaler separate API-nøkler, flere varslingsterskler og sletting av nøkler som kan være kompromittert. Selskapet advarer også mot nøkler i nettlesere og mobilapper. Det er gode grunnregler, men din egen applikasjon trenger i tillegg et hardt tak i serverlaget. Kostnaden bør reserveres idet forespørselen starter, slik at 100 samtidige kall ikke rekker å passere den samme grensen før regnskapet oppdateres.

Logg nok til å oppdage mønstre: antall kall per bruker, samtidighet, plutselige modellbytter, nye kontoer med ekstremt forbruk og trafikk fra uventede steder. Ikke gi alle integrasjoner samme nøkkel og samme budsjett. Da kan du stenge én lekkasje uten å ta ned alt annet, og du kan se hvilken del av systemet som faktisk bruker pengene.

Det viktigste er likevel å endre trusselbildet i hodet. En åpen demo blir ikke bare besøkt av nysgjerrige mennesker og en tilfeldig bot. Den kan bli oppdaget av aktører som allerede har kunder, prisportaler og programvare klar til å gjøre kapasiteten din om til et produkt.

Billig tilgang er bare overflaten

Den store historien er ikke at kinesiske utviklere vil betale mindre for Claude, Gemini eller OpenAI. Det vil alle. Den store historien er at markedet rundt uautorisert modelltilgang har fått spesialisering: Noen skaffer kontoene, noen holder poolen levende, noen selger et pent API, og noen kjøper kapasiteten.

Tallene i undersøkelsen må leses med riktig forbehold. Trafikkestimatene kommer fra Vectorals sporing, flere markedsopplysninger bygger på et forum der relay-operatører selv deltar, og påstandene om modelldestillering navngir ikke kjøperne. Men selve infrastrukturen, prisportalene, programvaren og den åpne handelspraten er synlig nok til at fenomenet ikke kan avskrives som en røverhistorie.

For API-brukere er konklusjonen ganske jordnær: Nøkkelen din er ikke den eneste verdien som kan stjeles. Selve endepunktet kan tappes og selges videre. Når et misbrukt supportvindu kan bli en kanal i et kommersielt relay, er kostnadsgrenser, samtidighetskontroll og isolerte nøkler ikke pynt. De er det som hindrer at regningen din blir lagerbeholdningen til en annen.

Ofte stilte spørsmål