被盗 AI API 密钥正为黑客扫描买单：如何锁定 OpenAI、Anthropic 与 Gemini 密钥

文章称 Bitsight 威胁情报团队在 2026 年 10 月描述了在犯罪论坛出售的 MONST3R-AI 工具，可利用盗取的 OpenAI、Anthropic、Google API 密钥执行自主渗透测试扫描，账单由密钥所有者承担。文中给出密钥泄露途径、滥用检测思路及各厂商现有控制措施，并建议按项目隔离密钥、设置月度消费上限、限制调用来源、设置过期与轮换、避免密钥进入客户端代码和仓库、启用秘密扫描。

AI推荐理由 文章引述 Bitsight 威胁情报团队对 MONST3R-AI 的描述：该工具在犯罪论坛出售，利用盗取的 OpenAI、Anthropic、Google API 密钥运行自主渗透扫描，费用由密钥所有者承担。这提供了具体的滥用模式和防护清单（项目隔离、消费上限、调用来源限制、轮换密钥、秘密扫描）。局限：属二手转述，未给出原始报告链接或技术细节，且正文含 Apidog 推广；MONST3R-AI 的实际能力仅有摘要级描述。