自建的AI中转站被陌生人“蹭”了？别慌，教你几招排查和处理

最近在折腾 AI 相关的项目，不少朋友应该都顺手搭过自己的中转站（API Relay）。我也一样，本来是想自己用着方便，偶尔分享给几个哥们儿。

结果前两天手滑，把注册功能开着忘了关。今天一看后台，好家伙，突然冒出来十几个陌生的注册用户。瞬间脑子一紧：这算是被“黑”了吗？他们能干嘛？需不需要立马删库跑路？

如果你的中转站也遇到了这种“不速之客”，先别慌。咱们像剥洋葱一样，把这个问题的风险和处理方式一层层理清楚。

一、 风险评估：他们到底能干啥？

风险评估：需要关注潜在的安全隐患

首先，看你的系统配置。大多数中转站（比如基于 New-API 或 One-API 的魔改版）核心逻辑是：流量转发 + 配额管理。

如果你没有配置“钱包”或者“充值”功能，那最直接的经济损失（比如被恶意透支余额）基本可以排除。既然看了日志发现没有人发起调用，说明陌生人目前只是“注册了”，还没开始“薅羊毛”。但这并不代表可以高枕无忧，潜在的隐患主要在以下两点：

1. 探测与爆破风险：一旦有人发现这是一个公开的注册口子，他们可能会尝试通过脚本遍历你的 Token 或者探测试其他接口。如果不幸撞到了你未设防的管理员接口，那麻烦就大了。

2. 资源滥用（即使没调用）：虽然现在是静态的，但大量注册账号会占用数据库空间。如果你的服务器配置比较“乞丐”，查询用户列表变慢会影响你自己使用的体验。

二、 运维实操：怎么查？怎么防？

既然发现了问题，咱们不能就这么放着。以下是一套标准的“排查与加固”流程，建议照做。

1. 彻底的用户与日志审计

• 看时间线：检查这些陌生用户的注册时间。如果是在极短时间内批量涌入（比如一分钟内注册 10 个），那大概率是脚本扫到的，必须警惕。

运维实操：进行详细的用户与日志审计

• 查日志细节：不仅看有没有 API 调用，还要看看有没有 401（未授权）、403（禁止访问） 或者大量的 404 错误记录。如果有管理员后台路径的 404 扫描记录，说明有人在试图提权。

• 查来源 IP：如果你有条件（比如通过 Nginx 日志），看看这些人从哪里来的。如果是众所周知的数据中心 IP 或者某些代理节点，直接封禁 IP 段。

2. 关闭“后门”：权限收紧

这是最关键的一步。既然是给自己用的，何必对外开放注册呢？

• 关闭公开注册：去系统设置里，把“允许新用户注册”这个选项直接关掉。这是防止“薅羊毛”的第一道防线。

• 启用邀请码制：如果偶尔有真朋友要加入，不如开启“邀请码”功能。只有手里有码的人才能进，把“防君子不防小人”变成“防小人”的铁闸。

3. 清理门户

• 对于那十几个陌生的账号，如果没有充值也没有调用，直接在后台删除或“禁用”。如果系统有日志导出功能，建议把这几天的日志备份一下再删账号，以防后续需要追溯。

三、 这种“闲置资源”能不能利用起来？

如果你是一个心比较大的博主，或者觉得几十个陌生用户挂着也没事（毕竟没充值也调不了），其实可以把这个当成一个小型的“流量观察哨”。这属于进阶玩法了：

• 监控热门模型：哪怕他们没有调用额度，如果后续你开放了试用额度，你会发现他们最喜欢用哪个模型（GPT-4 还是 Claude 3），这其实是一种小小的市场需求调研。

• 搭建“蜜罐”：故意放一点漏洞，看黑客怎么玩，然后学习攻击手法（仅限技术党，娱乐心态）。

*不过，为了咱们的服务器安全和电量节省，对于普通玩家，我还是建议：直接封禁，落得清净。

总结

个人搭建的中转站被陌生人注册，只要没开启支付、没发现异常调用、没管理员扫描记录，问题就不大。

但亡羊补牢，为时未晚。现在的操作重点应该是：关注册、删用户、看日志。把好关，安心用，毕竟咱们折腾这些服务初衷是为了方便自己，不是为了给别人做公益测试站的。