我开源项目给用户免费用 GPT6 Luna，还是招来了一堆素质极差的人盗刷。

[461229187]

最近和一个中转站合作，每月提供一些额度，我本身 OpenAI 就给我免费使用，所以我这些额度就开放了 GPT6 Luna 给用户免费用。 因为开源免费，所以也不会开发登录这种功能，所以提供模型的地址密钥在仓库里都可以看得到。结果就引来了存心不良的人来盗刷，我看了一下日志，几乎都是各种 AI 工具在调用，应该是某些用户看了源码之后刷了点小聪明去盗用。 说真的我这种模式也没办法阻止盗刷，因为都摆在明面上了，只能对 ip 进行控制。真的要对我这小服务器攻击我也没办法，最后最多就是砍掉这个福利。 真希望这些人做个人吧，Luna 都盗刷，真的是活不起了吗？

先补充一下吧，因为我这个项目是不做登录的，大多数用户还是使用自己的模型，这个免费的也是为了给不会配置或新人体验使用。

所以在这里还是想获取一些经验，大家说的被盗刷是正常的我也理解，只不过我做的限制可能还不够。

目前我的方案是：

1.服务器做了中转，所以暴露的密钥是我的中转站的，而不是直接暴露供应商提供的。

2.对请求次数做了限制，按每分钟和每日最大请求数，超出了降级到 qwen3-8b ，这个不做限制也不会有人愿意盗刷这个烂模型。

3.对请求的 User—Agent 做一下过滤，异常的直接封 ip 。

4.对每个 IP 每日最大请求 token 做了限制。

希望大家可以帮助一下，还有什么办法？被盗没办法，但是尽量将消耗成本降低。

[flycodeu]

不要把 key 泄露出去，现在全自动 ai 抓取了

[zturns]

deepseekAPI 不知道怎么泄露了都被刷，luna 被刷没啥奇怪的

[JimLee0921]

太正常了。。

[deplives]

[所以提供模型的地址密钥在仓库里都可以看得到]
所以你怪谁？现在都是全自动扫描。

[yidinghe]

防人之心不可无，你这样设计，AI 看了都摇头

[yyysuo]

说不定赞助你的中转站也会收费这种免费 key 当资源池呢，闭环了。

[shawnsh]

随便生成一些密钥，玩玩他们

[461229187]

@flycodeu 不这么搞就得做登录，我就想做个不做登录的

[ccvip]

前天一个小白朋友刚遇到，用 agent+中转站搭建 AstrBot+NapCat ，登录的时候直接告诉了 agent 要登录 QQ 号和密码，第二天 QQ 就被盗了，登录了邮箱、还登录了多个邮箱绑定的账号，改了几个密码，该 QQ 已经开启设备锁，还能被异地登录，不知道黑产怎么做到的，中转站是闲鱼买的 MIMO ，大概是官方价 4 折

[akko]

永远不要高估人性

[MoeDisk]

你被毒打的还是太少

[jkfadsljlasdgs]

大佬，能否给 codex 额度（如果有多余的）用用，我在国外。

[Lockroach]

最好不要硬编码在项目里，有很多工具一直在扫 github 项目密钥，可以考虑做成 api 接口返回，在不登录的情况下被扫到也稍微难一点

[TimPeake]

if(盗刷) 王者灵宝上线

[yjxjn]

是你的 notegen 么？我还真逆向看过，发现你是直接硬编码到代码里的，但是是中转站的 api.notegen.top 里，但是我的建议是如果要使用高级模型，要么采用邀请制要么直接上兑换码。。。没有好方法，素质是没法衡量的。

[montaro2017]

太正常了，有利可图

[sinstar]

楚伐隋

[kimhooo]

“这个免费的也是为了给不会配置或新人体验使用。”，这个模式就很奇怪，要不就是提供低级模型给新用户，付费订阅或者开放自配 Key 去实现更优效果，不然就得一直想各种策略对抗 ai 抓取

[d5n]

lz 的项目在哪？我可以免费用一下么？

[tim9527]

🤣某些程序员的素质都不如老辈子大爷大妈，你把人心想得太好了。大爷大妈偷东西偷一次，程序员使坏那真是用劲蹬，把你卡里面钱刷爆的那种

[saigetsu]

说实话感觉没什么好办法。。。

[piercezzstool]

上面老哥提到了兑换码，楼主可以考虑让使用的人从微信公众号免费申请兑换码，然后兑换码异常直接封这个微信账号，这种只能提高对方成本方式来处理

[maichael]

关乎利益的事情就不要想着会有「素质」

[gloeaerris]

现在的某些网民，你免费把不要钱的饭喂他嘴里，他都嫌你喂得慢~还会骂你的饭难吃，这群人的世界里，他是宇宙中心，比韩国人还招笑

[defa21312]

思路很奇怪，和机器谈道德，你是被机器扫了，每天都有大量的自动程序在开源项目里扫 key ，怎么能评判一个程序的道德呢？

[yuanzheng0922]

这倒提醒我了，这就去做登录

[hookbreak]

开源仓库都有脚本自动扫描的，只要是 key 、私钥之类的，立刻就被扫到了

[exc]

@461229187 做登录也最好也不开放邮箱注册, 不然还要确保不会被无限制注册, 现在这环境, 直接开通 Google 登录就好, 用 Google 去防御. 或者做成福利, 一天开放一定数量的额度, 这样好管理

[VibeHex]

我在 V 站发了一个免费生图的，收费的话稍微麻烦点，但价格便宜，0.012 一张。
每天的额度被一个哥们刷完。后来限制了每个 IP 每天的额度
结果照样有哥们宁愿用动态拨号都不愿意付费。甚至写脚本为了让他使用顺畅，而浪费整站额度。

只能说什么恶心的人都有。

[catning]

你自己写个转发，不按照标准 AI 厂商那些通用的协议，扫描和被集成在其他服务里的概率会小很多。
要是有人非要再写个转发去转发回通用协议集成在其他工具里，那你也由着它吧，毕竟人家下了功夫了，哈哈哈哈。

[Quarry]

设置人机验证，这种能杜绝一点 xx 群体用 curl 刷(但也可能他拿验证后的 token 继续刷)，限制拉满(wasm+图片隐写+环境检测)他就会急眼攻击你，部分国人就这德性，免费的东西到了他那，会二次包装弄成付费的到处坑蒙拐骗(xx 逆向论坛和咸鱼 xhs 大把的这种人)，更何况 AI 已经普遍的情况，大幅度加速了这种现象。

[Vaspike]

@ccvip 这种中转最好曝光出来让大家拉黑

[liyafe1997]

bushi
你把 KEY 公开出来（甚至还不是别人逆向出来的），然后还怪别人「盗刷」？
这就是光明正大的用好吧。

就像你把机器暴露在公网上，你不能怪别人暴破/扫端口，Internet 本来就不是一个干净的地方

[timeance]

有很多人打野的

然后搞到的 key 直接丢自己中转卖

[evilwk]

别高估人性

[iorilu]

怎么可能放 key 除来

真免费也弄个服务器中转下, 这样还能控制限流啥的

[irrigate2554]

不要泄露 key 将 api 稍微封装一下，不兼容标准 openai 格式，然后系统提示词服务器端预置，能增加不少盗刷的成本