用别人的API服务器有风险吗

哈喽哈喽，今天跟大家聊一下这个 ai 中转站。网上都说 hpi 中转站是今年最闷声发财的一个买卖， 所以网上也出现了一大堆教你怎么去搭建自己 api 中转站的。但是我可以明确告诉你，这是割韭菜的就别碰， 因为很早之前我自己是真的是去做过一次的，都不用别人讲，我自己结结实实是交过一波智商税的。 所以今天不是教你怎么用这个去赚钱，正好相反，我想用这个几个被封的号跟大家说句实话，就是说这生意其实他不太适合我们普通人。先讲一下中转站是啥吧，就要讲中转站得先提一句 api， 就 也不说他具体是啥吧，就是说他是干嘛用的。就是我们平常去用 ai 的 时候，我们用豆包，用 deepstack， 其实都是在他的网页上去聊天嘛。 但实际上我们如果真的想把 ai 接到我们的自己业务里，或者说像想在 coco 的 或者说别的 a 镜头里面去掉国产的模型来干活，这个时候你就得填一个 api key， 让程序去自动地调 ai。 也就是说在真正的生产环境里，在企业里真正去跑业务，搞开发的，用的还是 api。 那 中转站这个东西是怎么冒出来的？其实因为最能打的那几个模型，比如 crowd、 gpt、 gmail， 它都是在海外又贵，然后又难搞，还不稳定， 所以说有痛点，有需求，有就有市场，就有中间商去赚差价。于是中间他就支起了一个柜台，就你不用直接找官方，你把这个请求发到这个柜台，然后这个柜台帮你打到那个海外的一个模型， 中间由于多了这么一个人帮你去转移到啊，那这就是中转站他的一个模式，这柜台他其实肯定不是做慈善，他是一个收费站，就你到中转站再到海外的 ai， 就是这么一个事情。 ok， 聊完了这个，我们再聊一下，为什么他这么暴力？为什么这么赚钱？凭什么被称为暴力生意？ 看个真人真事，就是在前段时间几个月前吧，去年的事情呢，就 coco 有 一位榜一大哥叫刘小排，他用的是两百美元一个月的套餐， 结果他平时一天就能造掉一千多美元的额度，然后忙起来的时候可能一天三千，就你品品一个两百美金的一个月卡，他能够榨出几千上万美元的官方价值。 那中转站干的就是这个，就他低价把这种 ai 的 这种用户的这种订阅搞过来，然后拆成 api 卖给你，就吃个中间商的这个差价。 然后更妙的是，其实客户都是先充钱后用吗？所以钱就这么躺在他的账上，所以账面上他也是比较好看的， 有人说他毛利率可能百分之九十二，这个可能是成立的， ok， 于是我就想着自己搭一个，用开元项目去搭个盾站，这不就是程序员的老本行吗？然后我当时手里正好有支付渠道，然后想法也很朴素，就是我开一批海外的这种订阅账号，然后用这个开元项目把 呃额度转成 api， 然后再卖出去。我甚至网站都还没开始搭呢，我就先拉了个群，然后我发了条朋友圈招人，就当天就招来不少的人。其实这也证明一点就是你需求，如果是真需求，那其实 building 这个阶段反而是最不难的，开美项目一搭就好，难的是后头 ok 哦，我们后头难点就在于他会封号，就是我开一个是封一个，然后我还有点头铁，我不信邪，然后我就换网络上纯净 ip， 什么静态 ip 都封，然后买海外服务器，模拟真实环境也没有用，也要封。最后我就直接在新加坡，在我 朋友家里放了一台 mac mini， 我 心想就是这是纯正的海外真人，基本上就等于肉身出海了，结果照样缝，然后几天下来其实 十十多个号全军覆没我。然后我就想明白一件事情，就 coro 的 那边，他不只是按 ip 去缝的，他那边应该有一套检测你非正常用量的这种风控机制，他不管你是不是中国人，你人在海外还是 ip 再干净，只要你用的不像一个真人，像一个假人，对吧？他一眼就能盯上你，然后折腾这一圈之后，然后其实总结就是就稳定供货这道坎其实普通人都迈不过去，那你肯定会纳闷，就是疯的这么狠，那中转站怎么还遍地都是，还 便宜的离谱。其实活下来的我后面发现其实主要就两波，就第一波他压根就不是走过的那条路，就人家靠着大客户的身份直接从 a w s o z o r 还有 google 这些云厂商批量进货，就量大有折扣，便宜还稳定，这是正经生意。 第二波才有意思，就是跟我一样也是拿着订阅号去转 api， 可人家就是就是能 一直稳定的存活，后面才我才明白，就是差距可能就这么几点吧。第一点就是人家是有自动的注册机，就号可以批量的开封了，再补一查接一查。 第二点就是人家手里攥着一批稳定的真人游侠，就这东西本身就是渠道优势，注册成功率非常高，而且还比较耐封。第三点也是最离谱的，就是他们会去专门去薅一些新产品的免费额度，比如说之前的 keyor， 还有 google 的 antigravity， 刚出的那一阵，它的额度是免费送的，量大管饱，还不咋封号，赶上这么一个窗口期，成本期成本几乎是零。其实说白了，同样是转 api， 我 摘了，人家没摘，不是我不够拼，是这几样东西是真有门槛，真有壁垒。还有最后最离谱的一点， 最坑的一点就是它可能这种转代码其实都会经过它的服务器，它 可以转头打包卖给 ai 公司去做训练，做蒸馏，相当于你花钱用它，它还要再把你再卖一遍， ok， 说了半年上游落到咱们自己身上，你如果只是想简单的买一个便宜的 ai 用一用，那可能有几个坑，你得注意一下 啊。第一个就是掺水，你买到的东西可能会被掺水，这基本上是开源圈半公开的秘密，因为很简单，就是这些站长，他的上游也可能不稳， 他可能自己开的号也老被封，但是他又得保证他不断供，那他可能就会在后台去配一个模型印刷。就你以为你买的是 crot 的 模型，但实际上他背后可能会给你印刷成 gpt 模型，给你印刷成字谱模型，或者说其他国产模型，你只会觉得 你的 crot 的 老师今天怎么有点笨笨的，但是你也不知道为啥。第二个就是计费率，就是你可能看到有些中转站他的 很便宜，但是实际上人家在后台可以去调这个倍率，你看着单价便宜，但实际上你征用下来可能比官方还贵。第三点就是跑路，就是当一个站长他自己的上游不稳的时候，他的号老封的时候，站长他虽然能收到那个 官方的退款，但他可能不想做了，他就直接跑路了。跑路这个行为呢，就是有的站长良心点，他还把钱退给你，有的没良心的就直接卷款跑路了。对于你来说呢，你今天还能用，明天号就没了。 第四个的话，可能就是数据问题，不过这个对于个人可能还好，就你的代码，你的商业计划，他全在一个陌生人的服务器上躺着，而且还面临还可能有被倒卖的一个风险。所以说这门生意其实拆开就两头，就上游的话，其实他拼的就是个稳， 谁能搞到又便宜又不封的货，下游的话就是拼另一个字就客，谁能找到肯掏钱的人。其实中间所有的这个便宜和套路都是这两头挤出来的。其实他 他这个模式也不是什么骗局，这是一个真生意真痛点，但并没有那些视频吹的那么轻松，什么搭站一件就行，但难的是稳定的工供货和风控，偏偏这俩其实普通人 是最难搞的，反正我那十个号已经替你试过水了。嗯，最后两句话吧，想想做这个东西的人，先掂量掂量自己扛不扛得住这个封号和售后想买来用的，记住上面的那些坑吧，别稀里糊涂当了韭菜。好，今天的分享就到这里，谢谢大家。

如果你还在苦恼 deepstack 的 改变，从现在开始用 api 吧啊，上期视频我虽然提到了，但是很多人说太复杂了，更多人说不知道怎么用，那这期视频我们就来一期手把手的教程啊，不会很复杂，而且相信我，这有可能是你实现 ai 认知跃级的一大步。 你现在用的 deepsafe， 不 管是网页版还是手机 app， 它的背后其实是一堆服务器在跑。给大家看一看我们的老师在服务器里最原始的样子，一个黑底的界面，先加载各种乱七八糟的东西，加载完之后就会出现一个箭头，你打字进去，他会一行一行的给你回应， 看起来就很原始哈，能用吗？是能，但是只有技术人员能用，这时候他就在想，我怎么能把这个服务器共享给别人呢？毕竟这设备钱跟电费都烧着，如果我能共享出去，还能够按量付费去收点钱回血，对吧？那么就会有第一个问题，怎么能让别人知道你这台服务器在哪呢？ 答案也很简单，给大家一个统一的调用网址，然后大喊所有人连接这里，保持 wifi 稳定。 第二个问题，我怎么知道谁来用了，用了多少呢？也很简单，给大家一堆密钥，按照密钥来统计个数就行，其实这块就挺像账号密码的，它就是两行参数。然后会有第三个问题，因为 deepsea 它也不止一个模型，那你到底要调用哪一个？需要你指定它的模型名称， 只要你手上具备了这三个东西，你就可以在任何地方去调用。迪老师， 比如你来到了一个酒馆，跟 d 老师扮演的几位男士女士非人类聊聊天。又比如你打开了一本全是日语的材料，辛勤的 d 老师一句一句的把它们翻译成了中文，然后你脑子突然冒出了一个想法，想搞一个创业的网页 代码，当然都是由 d 老师亲自来写，当然你也可以什么都不想，就在一个简单的聊天框里面，跟老 d 老师好好的聊聊天， 你之前应该也遇到过的老师说到一半，然后紧急撤回，又或者是服务器繁忙，请稍后再试，那在这里就都不复存在了，而且尺度无限大啊。如果你听兴奋了，那我们就快速去过一遍，流程就很很简单， 然后我再去跟大家分享一些更多我对于 ai 的 一些想法操作，一共就两步，那我们先来解决后端，也就是拿到我们开头讲的那三个东西， 用电脑或者手机都行。打开 deepsea 的 官网，左边这个网页版就是我们熟悉的老路，我们这次走右边 注册一个账号，然后就开始充值，最低一元起充，具体充多少呢？我就给大家一个参考。我上个月总共花了两块三，最多的一天花了四毛，而这一天我大概跟 ai 聊了十二万字，说白了， d 老师真的很便宜，就是充十块钱，应该能够聊到你历劫了。 充完值，找到左边的 api case 点创建这个名字，你随便起，这串密钥要保存好，因为它只会出现这一次，相当于我们也拿到了我们的一个身份码。所以后台呢，其实就是充值跟创建密钥这两步。我们再去看一眼它写的接口文档， 对老师的请求地址就是这个 api 点 deepsafe 点 com api k 就是 你刚刚创建的那个。然后模型名称你有两个选择，分别对应着 v 三点二版本的非思考模式和思考模式。如果你好奇的话，可以看一眼左边的价格标准，输入两块，输出三块，每一百万， 这个比起国外的大模型真的是白菜价了。好了，至此，我们后端的这三个东西就齐了，接下来呢，我们来选前端。前端的软件是非常多的 啊，我现在给大家报个菜名，网页版有 open web ui， next， chat labor， chat， 桌面端有 chat studio， deepchat， chatwise， 手机端有 chatbox， replay， hub， cleveland 多的是。但是你要记住，就这些软件，它们所有的软件除了功能上有些细致的差别以外，其实都一致，它们就是一个壳，来为你提供一个对话的聊天界面。我们这一次呢，以 chatbox 为例啊，因为它的 ios 跟安卓都是免费的， 虽然界面会有点简陋，但其实还挺好用的，当你第一次打开它的时候，里面是空的，但如果你配置好了，它是可以什么模型都有的。 首先我们一进来全部插掉，在这个菜单里面找到设置模型，选择提供方，找到 deepsea 这里，因为 deepsea 实在太有名了，所以大家都用那个地址还有模型的名称，所以它呢，简化了，都给你填好了， 这里你就只需要填入你的密钥就可以用了，填完呢也可以检查一下，一般是没有什么问题。现在呢，再一路返回，你就可以在下面选择 d 老师了。前后段的教程就到这里结束啊，应该讲的还挺细的，如果你还有什么疑问，都可以发在评论区，我是会看的。 这里你细想一下，其实 deepsafe 的 官方 app， 它不也是这么一个壳吗？只不过官方帮你把这些地址、密钥、模型全都接好了，再给你免除了 api 的 费用，大家就这么习以为常着用着了，对吧？ 到这你可能会想啊，就为它这个模型升级，然后我为了找回老模型，就费了这么大劲，值吗？说实话，如果你只是把这个 api 接入到一个聊天软件里，那体验上确实跟之前聊天没什么区别，而且你现在还开始花钱了。 但是呢， api 这个东西，一旦你学会了领悟了它的用法，那它打开的就绝不是一个聊天窗口这么简单了。 其实我看到了一个比较主流的 ai 的 理论，它会把使用 ai 的 人分为了四层，第一层跟 ai 聊天，用网页端或者手机版的 app 去帮你查查资料，写个周报，你个新年贺词，或者帮你处理一些感情问题啊，也不是说有错，只是说这样其实没有发挥到 ai 所有的能力。 第二层，其实就是我们这次讲的用 api 的 方式把 ai 拉出来，放到各种不同的软件里面，那区别在哪呢？比如说，我这里有五个需要翻译的文件，用网页的方式一次复制不完，我就得把它们分段去粘贴， 不仅麻烦，而且这个流程是很不规范的。但凡 ai 出现一次幻觉，那字幕的格式就会错，非常容易出现各种各样的问题。 但有了 a p i 之后，我们就可以利用现成的翻译工具，只让我们的老师去做这个翻译的部分，而且整个过程都是批量的，处理完之后自动合并成一整个文件，准确而且优雅。如果你用好了 a p i， 其实你工作的效率会有很大的提升。 第三层其实就是现在爆火的 ai 编程，刚才我们翻译是有现成的工具的，但有些小众需求，比如说我想要自动抓取一些 ai 热点，然后主动推送给我， 市面上没有这样的程序，那就自己造。有一种很特别的程序，专门为 ai 编程而优化，同样它需要 api 的 方式接进去，然后你跟它自然语言描述你想要的东西，它就能帮你一点点做出来，而在这一层，无论你的需求有多小众，它都可以解决。 最近呢，我是用 ai 来搭建了整个写作的工作流，虽然文章还是我自己写，但是有一些选题的想法，或者是发布之后的数据总结，我就都交给 ai 去做了。昨天晚上我去跟 ai 复盘总结，也说了很多的想法，然后我觉得有点累了，就跟他说，不然今天就到这里， 然后他就说好了，今天就先到这大概讲了什么东西？合上电脑，我突然有点恍惚，就过去的一个小时，我是完全没有看手机，没有呃，刷短视频，完全就是种心灵模式，而这个心灵模式竟然是我在跟一个 机器在协同工作，这种感觉真的还挺奇妙的。至于第四层，其实很多人都还在观望，应该也是一个今年的趋势啊。一个 ai 是 已经可以帮你很好的完成任务了，但是更加复杂的，更大的任务可能他还是做不了的。那么一群 ai 如何去协同合作？ 这个事情还是比较难的，就目前还是一片混乱。就是你让一个总领导的一个人去安排几个不同的小 ai 去做事情， 他就会着急的说那 ai 还没做完呢，他就自己上手去做了。总之现在的视觉效果是远大于实际的效果的啊，还不是很好用，跟大家发散的会演多了，只是想让大家去了解一下现在的 ai 进行到什么程度了。 呃，这一次的小事故，如果能够让你有机会去接触到 api 的 用法，我觉得是一个非常好的机会。好了，这期视频呢，我们就讲到这里啊，应该都听懂了吧，如果，嗯，哎，反正后续我也会做各种各样的，一步一步的，这种 ai 的 内容也可以先关注一下我。 嗯，就讲到这吧，然后我是大黑，以纯人工的方式去帮你去去分享智能。好，我们就下次再见。拜拜。

这个时候只要资金金额下来了，那么对应的刑期也应该下来。钱包公司为赌博平台提供 a p f 有 什么样的法律风险，以及它们的流程是什么样的？就在这种类型的架构里面，分三个角色，一个就是普通的用户，就是玩家，还有一个平台就网赌的平台， 然后还有一个就是服务商，就是第三方的很多网赌平台，现在他不愿意自建系统，我就使用和调用别人的 a p r 就 ok 了。那么这种场景下，你就把它理解为我这样的一个网赌平台，我把我的支付结算业务外包给了第三方， 那么其实变相的是说我把我的风险下沉了啊，它的流转呢？我们传统的方式是用户在平台直接去充值，这是传统的方式，然后我接 api 以后呢，就会变成我这个平台，嗯，大家把它理解为我们像点外卖，我这个平台就提供菜单，我有很多个菜单， 比如说你要点什么菜，那么用户就在平台这里去下单，比如说我要点这个 b 套餐下单以后，那么按理说就应该是用户去支付相应的费用。呃，现在不平台就会调用服务商的一个 api 接口， 那么这个时候服务商这边的钱包地址呈现给客户，客户就向这里来付钱，完成付款以后，那么服务商就会通知网赌平台说这边已经付款了，你可以送外卖了。好，这个时候平台才会说我向客户去交付， 那么这里我们就可以看到，其实平台它更多的就是一个记账功能，它并不实现资金的控制和流转，那么所有的资金都在第三方的这个服务商，这 当然在这里面如果上游被定开设赌场罪，那么中间的这个呃服务商他们的法律风险就非常的大，那么就是开设赌场的供犯或者是帮记。但在这里面我们知道啊，这种网络开设赌场他最重要的是什么？ 是这个赌资和流水的计算，那我服务商被定性为为赌博犯罪活动提供了支付结算服务，那这里很关键的就是我的资金流 就是这里面其实没有办法一一去对应的，因为我一个服务商，我可能服务于不同的平台，能否就能够印证说我最近的这个所有的流流向和流入就是属于这个网赌平台的呢？ 这里如果资金流都不能够一一对应，那就不应该被全部计入到这个网赌平台他所受的资金里面，所以这个时候只要资金金额下来了，那么对应的刑期也应该下来。

五月十一号，有人在吉他上提了一个安全报告，发现在 d c 的 新对话里面输入杠 t h i n k 就是 这个标签，不闭合模型就会返回一些跟你当前输入完全无关的文本碎片，看起来像是别人的一个对话内容。报告等级标的是紧急 说这是跨用户数据泄露，消息一出，小母猪等平台马上传开了，大量用户跑去测试。然后五月十九号， d c 回应了，结论是特殊制服干扰了模型解码逻辑，引发的是模型幻觉，生成的是随机错误内容，不涉及安全问题或隐私泄露。 说真的，从技术角度，我倾向于相信这个解释。 d c r e 训练时用杠 thing 标签标记推理过程，你输入这个字母，等于从外部干扰了这个模型的内部机制，它生成了一堆乱七八糟的东西，跟别人的对话长得像，但其实不是。 这个逻辑是通的，但我想聊的不是这个技术判断对不对？我想聊的是 dc 这一个回应回回避了什么？第一，你说是幻觉？行，那你到底存不存在用户对话？如果存存多久？用来训练吗？你的隐私政策里面写一句，特定条件下与政府或执行机构共享， 这个特定的条件是什么？用户有没有选择退出的权利？这个东西你的回应你一个字都没有提，你只说这不是泄露，但没说就算不泄露，你们对用户数据到底是怎么处理的？第二， bc 不是 第一次出现数据问题了，二零二五年安全团队 i 也就发现了 dc 的 内部数据库没有做身份验证，直接暴露在公网上，里面超过百万条自制，包含聊天记录和 api， 必要那一次是实打实的数据泄露，跟幻觉没关系。 所以当用户这次看到对话串线的时候，第一反应是恐慌，因为你之前真的出过事。第三，说一个对所有 ai 工具都适用的事情。不管是这次 dc 是 幻觉还是泄露，有一个原则，你应该记住， 不要在任何 ai 对 话框里面输入敏感信息， a、 b、 i 的 密、用户数据、商业机密、身份证号、银行账号，这些信息放进任何聊天框 都是在赌两个东西，赌平台不泄露，赌平台不用它训练。坦率的讲，这两个赌注都不太靠得住我自己。用 ai 工具的规矩很简单，敏感信息用本地部署的模型去处理， 实在没有的就先脱敏再输入。比如你要让 ai 帮你分析一段代码，你的 bug， 把 aapid 要替换成你的 k 再发过去，多这一步，省很多心。说到底， dc 这次的回应技术上可能没有问题，但沟通上有问题。 用户关心的不只是这次有没有泄露，而是你值不值得被信任。你把不是泄露说完就收了，没有正面回应大家更深层的担担忧你的数据怎么存的，怎么用的，出了事怎么负责。这种回应方式反而让人更不放心。 你在 dc 或者其他 ai 工具里有没有输入过敏感的信息，你现在会担心吗？评论区聊一聊，也可以把这个转给你身边的用 ai 的 朋友看一看，尤其是拿着 ai 处理工作内容的，该注意的还是得注意。

一根管子一头接着报税中介公司的服务器，另外一头接的是这个税务局的税务中心。管子里边流的不是水，它是成千上万纳税人的申报数据，姓名、身份证号码、收入金额、 专项扣除，每一条啊，都从这个管子里边灌进去，直接落进税务系统的数据库。但问题是，这根管子税务局的前门没有经过身份验证，也没有经过任何人的审核， 是报税中介公司自己怼上去的。一家报税中介服务公司，做企业财税代理的啊，帮中小企业记账报税，做会算清缴，业务量非常大，客户也很多，人工报税的话效率很低，他们就想了一个办法，开发了一套 自动报税的软件。原理是什么嘞？抓包分析，电子税务局的网页端通讯协议逆向工程啊，破解身份认证机制，然后让自己的这个财务软件直接调用 税务系统的内部 a p i 接口，就像税务系统自己的前端一样，把这个申报数据直接写进数据库，那么客户只需要在中介的财务软件里边填好数据点，一键报税，那么这个数据就通过这根管道暗管直接灌进了税务系统，没有跳转到税务局的官网， 也没有短信验证，没有扫码登录。就像你家的自来水管啊，水直接是从水厂接到了你的厨房，但是水厂他不知道多了这根管子，你可能会想啊，这个不就是自动化吗？ 行业里边都在做自动填表，自动提交之后帮客户省时间省人力，这个是好事啊。但是问题是啊，税务系统的 api 接口是开放给 公众调用的吗？电子税务局的这个网页啊，你登录进去填表提交，这个是正规的渠道，但是税务系统的后端 a p i 那 些处理申报、验证身份写入数据的内部接口，是面向公众开放的吗？ 那么报税中介说，我只是帮客户走了一遍报税流程，但是空房你没有走门，你是从这个窗户翻进去的，你用这根管子这么去灌数据， 到底有没有可能涉嫌刑事犯罪？我们来看一下啊，空方他是怎么顺着这根管子一节一节搭出来的？第一搭啊，就是搭协议。 报税中介的开发团队抓包分析了电子税务局的网页端和服务器之间的通讯数据， http 请求头、请求体、响应格式、参数顺序全部都记录下来， 然后在自己的软件里边仿造了一套完全相同的请求格式。那么税务系统的前端怎么说话，他的这个软件就怎么说话。从系统的视角来看啊，分辨不出来哪一个请求是真正来自前端，哪一个请求是来自这个报税中介的仿造客户端。 那么这一答啊，非法获取计算机信息系统数据，抓包获取了这个税务系统的内部通讯协议，是属于未经授权获取系统数据。第二答啊，就是答，身份税务系统的 api， 它不是随随便便谁都能够调用的， 需要身份认证。那么报税中介它通过逆向工程分析出了认证令牌的生成逻辑，时间戳、随机数，还有用户 id， 那 么按照固定的算法批 接，再用这个密钥签名，那么他们在自己的软件里边复现了这么一个算法，生成了看起来合法的一个认证的令牌，那么税务系统的健全模块收到这个令牌，叫验。通过，认为这个是一个合法的用户。这一答啊， 是伪造了身份认证信息，这个不是借用客户的账号登录，是仿造了一套认证机制，让系统误以为你是他的自己人。第三答啊，就是答，通道协议有了，身份有了，那么 通道要搭起来。报税中介的财务软件每天自动调用税务系统的内部 a p i， 那 么批量查询客户的税务信息，自动填写报表，直接提交申报数据，数据是直接从这个报税中介的服务器流进 税务系统的数据库的，那么中间没有任何的人工干预，没有任何的前端页面的安全，叫验。那么三搭，搭完一根完整的案管，就从报税中介的服务器直通税务系统的 核心数据库。这个是一整套空方的一个逻辑，但是空方在这个管子的尽头，他留了一个没有回答的问题，我们来看一下这根管子他是怎么接上去的。正常的这个报税流程啊，就是纳税人， 他打开电子税务局的前端网页，输入账号密码之后，通过短信或者是扫码二次验证，进入申报页面，手动填写数据，点击提交税务系统的前端校验数据格式，调用后端的 a p i， 切入数据库，返回申报成功的提示， 这个是一个正常的流程，那么报税中介的自动填报软件儿它干了什么嘞？第一步啊，就是抓包，用这个网络嗅探工具啊，捕获电子税务局网页和服务器之间的所有的 http 通信，请求头里的 user agent， cookie， 还有 session id 全部都记录在案，请求头里的这个接存格式还有字段名称，参数顺序全部拆解分析之后，税务系统的这个 api 的 端点地址，请求方法，响应格式全部都暴露无疑。第二步啊，就是逆向 把电子税务局的这个网页前端代码，用这个反翻译工具分析 java script 代码之后，找到生成认证令牌的函数，输入是什么算法是什么密要存在哪， 然后在自己的软件里边写一套完全相同的一个逻辑生成啊，能够以假乱真的认证令牌。第三步啊，就是直接调用软件，它生成认证令牌 后，构造 http 请求，直接向这个税务系统的内部 a p i 端点发送数据，那么请求头里的每一个字段，请求题里边的每一个参数都是和真正的前端发出来的一模一样。税务系统的这个赋税均衡服务器看到请求转发到这个健全模块叫验令牌，通过 之后转发到业务模块，写进数据库之后返回成功。从技术的角度来看啊，税务系统收到的就是一个合法的请求，他没有办法区分这个请求是来自真正的前端页面，还是来自报税中介的。访到客户端报税中介的服务器上， 他跑着一个定时的任务，每天凌晨申报截止之前自动触发软件，从数据库里边提取当天需要报税的客户清单，对每一个客户 生成一个仿造的认证令牌之后构造一个 http post 请求，请求体，里边装着客户的姓名，身份证号码，收入还有扣除项，然后直接发送给税务系统的内部 a p i 端点。那么税务系统的日历里边啊，它是记下了每一次的调用 时间，戳，来源 ip， 还有用户 id， 操作类型，返回的状态。看起来啊，一切正常，每一笔申报啊都有记录，每一个客户都有对应，每一次调用都返回了成功。但是税务系统的安全审计日制里边啊，它是没有记录登录行为，因为报税中介的软件 本不需要去登录，他跳过了这个登录的界面之后，跳过了一个二次的验证，跳过了所有前端的安全检验，那么直接走到了后台的 a p i 面前，那么安全审计系统他检测不到异常，因为请求格式完全合法，认证令牌也完全有效，返回的结果也完全正常。直到有一天， 税务系统的安全审计团队做了一次异常检测，把申报记录还有登录记录做了这个交叉比对，结果就发现某个 ip 地址每天提交上万笔申报，但是对应的登录记录是零 啊，没有登录的行为，却有申报的行为，上万笔的申报零次登录之后，顺着 ip 来追查，找到了 报税中介的服务器，提取到了全部的抓包记录，逆向分析的代码，仿造认证令牌的算法，以及每天自动调用税务系统 api 的 这个定时任务配置。空方答完了这三层 空方的逻辑，清楚了技术的原理，搞明白了之后，我们来比对一下，就是空方他答了三层的指控逻辑，但是有一个问题他答不上去，那么报税中介做的这件事，自动化的报税，它本身是不是违法行为？ 不是啊，因为帮客户报税，这个是合法的业务，客户授权了之后给了数据，给了税号，同意代理申报之后，报税中介他没有虚构数据，他也没有伪造税务信息，没有骗取退税，每一笔钱，每一个数字都是真实的。问题是数据送进税务系统的方式，那么空方说 这个是非法侵入计算机信息系统，但是报税中介我只是在替客户点击提交按钮，只不过这个点击是用代码实现的，不是用手指去实现的。那这个边界到底在哪？第一层啊，就是自动化的边界，行为里做这个自动填表， 自动提交的公司多了去了，那么帮客户自动填工商登记，自动交社保，自动报这个公积金，是吧？报税中介软件本质上它也是一个自动化，客户给了数据，软件自动完成申报流程，区别只是有的公司模拟鼠标和键盘操作网页，那么报税中介的软件 直接调用了 a p i， 一个是模拟人工操作这个前端的页面，一个是绕过前端直接走了后门。但两者的结果是一样的，就是数据 最终都是进了税务系统。那么为什么一个是合法，一个是犯罪嘞？这个问题是空方还有变方都要去解决的。第二层啊，就是客户知情与授权。报税中介他生成的这个认证令牌是基于客户的真实账号信息， 客户他是给了账号还有密码，同意了这个代理申报，这个和客户自己登录手动填写，点击提交。在授权关系上啊， 没有任何区别的。客户知情，客户同意，客户提供了凭证，这些要素啊，在刑法评价中是能够排除报税中介公司的违法性的。第三层就是目的与手段的分离，报税的目的是合法的，数据是真实的，客户是知情的，唯一争议的就是手段 用了未授权的技术方式访问了系统，但是刑法评价的是行为本身还是行为目的，如果目的合法的话，那么手段技术上违规，这个在司法实践中到底应该怎么去定性？这个也是空方还有变方都要去回答的一个问题。这一类的案子啊，给兄弟们两点建议啊。 第一就是做这个财税软件，做自动化的公司啊，你的软件有没有直接调用政府系统的内部？ a p i 有 没有抓包分析过政务系统的通信协议？你有没有在自己的代码里边复现过认证令牌的生效逻辑？今天查的是报税中介， 明天可能就是做工商自动登记，做社保自动申报，做公积金自动提取的。第二啊，就是用第三方财税软件的企业，你的报税数据是怎么进入到这个税务系统的数据库的？是通过税务局的官网正规渠道， 还是通过某一个一键报税功能的软件直接灌进去的？如果是后者的话，那么你的数据可能经过了一个你根本不知道的案管，那根管子还在啊，一头接着报税中介的服务器，一头 已经被拔掉了，但管子里边留过的数据，每一条的申报记录，每一个客户信息，每一次 a p i 调用的时间戳，都在证据固定的清单里边。管子拔了，但是清单上的每一笔对应着 极速意见书上的一个数字。你的案子，我的战场。关注姚律师，为自由辩护，为正义发声！

最近很多人都听说过，但是可能大部分人都没有完全搞明白的一个东西，就是 api 中转站，你可能听别人说他很便宜，也可能听别人说他很赚钱，甚至还有人说普通人也可以做这样一个生意。 但在决定你要不要买，要不要用，甚至要不要入局之前，得先把它搞明白，它到底是什么，它的钱从哪里来？风险到底在哪里。 ok， 大家好，我是 fred， 专注帮普通小白从零到一去学习 ai 和 bug 定，去提升自己的工作和生活效率。 我们先来聊就是 api 中转站为什么会火啊？其实它火的一个本质的原因是需求变大的，就因为现在像 cloud code 或者 codex 或者 open cloud 那 工具一旦真的帮你去写代码，改文件、跑任务， token 消耗会比普通聊天快非常多。 可官方的 a p i 对 于很多小白来说又会有门槛。如果你要自己去做呃订阅账号呢？他又不会不够顺手，包括有些代理网络的问题。所以说中转站抓的就是这样的一个空档，把充值接口包括模型的选择都打包成了一个更省事的入口。 嗯，这里面先要分清楚的一点啊，就是这三个的区别，订阅 api 和众转站。首先订阅是什么？就像会员，你可以买去 gpt 等这类的服务，有些官方工具也可以订，能够登录订阅账号来用它的一些呃 koine 的 一些 呃工具，但它通常有套餐，有额度，有时间的窗口，或者说一些频率的限制。而 a p i 的 话，是给到工具和程序去调用模型的接口，一般按照实际的用量去 k 扣费。 而中转站呢，这则是你和 a p i 中间又加了一层第三方，他给了你一个入口和一个余额的系统背后再帮你转到可能不同的上游。好处是省事儿，代价是你需要多信任一个中间的一个人。 而中转站转的也不是一些什么神秘的资源啊，而就是请求。你可以想象，你在工具里面去发任务请求先到中转站，中转站看到你的屁 余额模型选择，再转给上游的模型，模型生成结果之后，再通过中转站返回给你你的工具。所以说，多了这一层，不只是多了一个地址，而是多了账单、日制模型来源和整体的一个数据流向。 他中转站赚钱啊，就不只是赚 tiktok 的 差价，他可以拿，比如低价拿一些额度，然后再按量去卖，卖给用户。也可以让比如用户去呃预付款，然后形成现金流， 还可以去卖一些套餐，因为很多人可能买呢，但是不用就有点类似，比如说健身房这种感觉啊。更长期的做法可能是卖这种企业的服务，比如说统一的账单权限、审计稳定性和售后。 所以真正能够长期做的，往往不是单纯的去倒卖 api token， 而是把支付账单模型和服务都打包在一起。 但你要注意的就是特别夸张，这种暴利往往不是来源于最正规的那种部分啊。如果一个站又便宜又满血又不限量，又说不清楚来源，就不能够只理解成这是优惠， 他可能用的订阅号赠送额度或者低价的渠道，也可能是前台写的是这种 很强的模型，比如说四点七，但后台可能给你换了一个国产的模型，还有可能通过倍率上下文和输入输出的价格重新去包装，让你以为省钱。再往后其实就是一些 数据和日制的问题，就你的 prompt， 你 的代码，你的文件，有没有被这个中转站所保存，谁能够看到？说不清，我觉得就是风险。 现在很多人在教你，会告诉你说，哎，中转站很赚钱，你可以做代理啊，你可以卖系统啊，你也可以做代件啊。我想我建议大家一定一定要冷静啊，就是但凡真正稳定赚钱，风险又小的生意，还能够通过短视频完整的送到你面前吗？ 大家想一想对吧？如果到处都在讲这个机会，很可能说明他已经没有那么好赚钱了，或者是上游需要更多的下游代理和客户来消耗他的额度 啊。普通人进去之后往往接到的往往不是核心的利润，而是获客、客服退款、解释，甚至是背锅你，你想一想，上游封号用户找你， 比如模型不稳，用户骂你，对吧？余额退不了，售后也在你这里，所以说这个生意不是说不能做，而是绝对不能够买套系统，你就能够躺着就赚钱，对吧？ 我们再来聊一聊，就是我们普通用户到底能不能用，我觉得可以啊，就，但是要分场景，就如果你是一些低风险的试测试啊，你可以小额充值，包括你自己没用过，你去跑一些不敏感的任务， 尝试一下 ai 或者 webcoing 所带来的这种提效，我觉得完全可以去尝试，但是不要一上来就去大额充值，也不要把一些长期的工作流绑到一个小的呃，中转站上面， 你至少要问清楚说，哎，它的便宜到底从哪里来的对吧？这种模型到底能不能验证？哎？账单的倍率能不能看到问题啊？然后出了问题谁负责？余额到底能不能马上换走？ 另外呢，我觉得有几类场景，就不要随便去走一些不明的中转啊，比如说公司的代码，客户的资料， 对吧？合同的报价，包括这种私有的文件，还有能读文件或者跑命令的。这种 a 镜的工具啊，我觉得都要谨慎，因为这类工具不只是聊天，它可能真的会读取项目，修改文件，调用环境。包括说你自己的 api key 啊， 就能限额就限额，能能换就能换，能看用量就看用量，不要走这种不明的中转， ok， 最后记住一句话，就是 a p i 中转转不是单纯的便宜接口，它是支付账号模型 啊，包括账单和信任的。整一个生意，你的低风险你可以小额去试一试，但长期的工作也不要被低价去绑定。如果你想要做这门生意，也不要只看利润，你还要看售后退款稳定性和信用的问题。 ok， 我是 fred， 我 们下期继续给大家猜怎么把 ai 放到你实际的工作流，我们下期再见。

一些认知很低的小白还在那边说个人卖托克，就是我再给你们说一遍，就是你托克这东西是什么？就是你跟那种就是顶级模型聊天的那种，就是费用产生了一个算力的费用，然后美国的店里相当于打包给我们， 然后比如说你跟 gpt 聊一下，就是几块钱，然后那种中转账，就是把那种 token 给包装一下，然后把账号给做成一个号，使用逆向 js 技术，加上就是网络七层架构，把那个就是 api 给你调用过来，就差不多你拿个钥匙然后插别人家的房门了。 哎，主要是这玩意是没收违法所得，你自己看看值不值得吧。我说真的，就是我觉得这东西是没有什么收益的。

最近有个朋友遇到一件糟心的事，他是谷歌的付费用户，就是每个月都交钱的那种，因为用了一个开源工具，就是那个 opencloud 来调用 jimmy 的 a p i， 然后呢，他的账号被永久封禁了，没有警告，没有邮件，直接四零三打不 开了。零容忍政策，就是你花钱买了服务你自己的 a p i 的 key， 通过一个开源的用户端调用谷 谷歌，说你违反了服务条款，什么理由呢？就是你用了一个外部的服务器驱动，而不是谷歌自己的产品界面，这个是不被允许的。翻译成大家能听懂的话，就是你买了谷 的 a p i， 但是你没有用谷歌的官方界面，所以你违规了，我要把你封掉。这个就好比说咱们买了一张电影票，但是你没有坐在规定的座位号上看电影，电影院就把你拉黑了。有个在谷歌工作了十几年的老员工，他说他从来没见过谷歌这样对待自己的付费用户的。 更离谱的有人被封号以后，他想注册新的账号，新账号也被限制了。这个过程中，我这个朋友说他用谷歌用了十几年了，他的 youtube 会员，他的手机，他的云服务全家桶， 就因为试了一下 open call 全没了。那这个过程其实我们看到有其他的厂商也跟进了，同一天宣布只用订阅认证来接入第三方工具，但是 open ai 这个时候跳出来说，他们欢迎 open call 接入二十美元的 callix 计划，比其他品牌的两百美元的计划还要大方。你感受一下这个反差，一年以前啊，如果我跟你说这个事，不告诉你公司的名字，你肯定以为是 open ai 在 封杀用户， 对吧？大家一直都说 open ai 是 一个叫 open 的 公司，但它其实很封闭，那么你大概率认为说谷歌是开放的，掏钱抢市场，现在完全反过来了。 说说我的看法，我觉得问题的本质不是 google 好 还是坏，它是商业模式带来的矛盾。那么这种公司呢？补贴的价格卖 a p i 是 为了把用户放在自己的生态里，你不要走，你用它的官方工具，它们就能收集和使用你的数据，能推动 一些其他的付费功能，能建设一个护城河。但是你用了第三方的客户端，对谷歌来讲只有成本没有收益，封杀第三方是迟早的事情。 在我看来，不是谷歌一家这么做，是所有靠补贴获客的 a p i 最后都会这么做。对开发者和创业公司来讲，这件事是一个巨大的 警示，就是不要把核心的工作流建在任何一家的补贴服务上。今天他给了你便宜的应用，明天说封，就把你的工具链整个封了，那么你就面的活都白干了。 所以我们今天建议就是在 ai 领域创业的应用型的公司，你的工具链一定是要能够随时切换供应商的，这个不是个技术问题，这是生存的问题，这是企业创业中的发展问题。 那么 google 这么干了，是不是国内未来，比如说阿里字节，他们也会这么做的？我们现在还不知道。但是我会建议大家，如果说要在 ai 领域做应用创业，我的建议是一定是在一个框架内去搭建自己的智能体，那么这个部分最好是私有化部署的， 底下的模型能力我建议是可以随便切换和调用的。那今天如果你觉得谷歌很好，你可以用它。如果明天你想用 open ai， 或者想用自己跳动，都可以，不要今天把所有的鸡蛋放在一个篮子里，风险太大。

周一早上，一百一十个人打开电脑， cloud 全都登不上了。不是一个人，是所有人同一时间全部暂停，每个人邮箱里同一封模板的邮件检测到违规账号已暂停，连公司的管理员都没有提前收到一个字的通知。 这是一家美国公司，一百一十个人的业务，从写代码、跑模型，全靠 cloud 运转，一个人可能踩了线，平台怎么处理的呢？连做整个组织一刀切全封，更荒诞的是，人登不上去了。 api 还在继续的计费， 封号的第二天，续费发票准时的送达申诉呢，十二小时没有回，二十四小时也没有回，三十六个小时过去了，还是没有人理一百一十个人的。付费的企业客户跟免费客户一样，只有在那里填表单，然后就只有祈祷了。 你听了可能觉得国外的事跟我有什么关系，可是你想想看，你用 cloud 的 时候，是不是就像在别人家里做客呢？你大钱都不敢出你的对话，你的资料全在人家的服务器上，他一个封号，一夜归零。 你今天用着挺顺，心里也总悬着一根刺，明天还行不行？很多人就卡在这样一个认知上，以为只有国外的模型才够用，这个认知才是真正限制住你的。 国内模型现在足够用，关键是你怎么用，我就用国内模型，跑出了不输于国外模型的效果。更重要的是，你的资料存在你自己的电脑上，谁也拿不走，谁也封不了。 不要把安全感建在别人的服务器上，要把安全感建在啊，拿在自己的手里，这件事啊，比你想象的要重要的多。

最近做抖店的是不是都快被清退？店铺整麻了，动不动就关联违规，莫名的封店。我做抖店也好几年了，跟大家说一句掏心窝的话，从来没踩过关联违规的坑。今天我就如何规避关联违规，总结了几个东西，然后一次性分享给你们，认真听完，能让你彻底告别关联违规。第一， 新开店铺一定要去网吧开店，网吧用的是光纤，他比较安全一点，然后比较干净，千万别随便租服务器去开店，那种共享的服务器能租给你，也能租给别人，你根本不知道他之前用来做过什么，一旦有违规，绝对会关联你的店铺。我从二三年到现在全程 开新店，都是去网吧开的，开的时候全部把子账号全部弄好。第二，不想跑网吧的，就用自己手机热点注册店铺，独立网络， 直接隔绝关联风险，然后简单又稳妥。第三，后台操作全程用子账号，统一用谷歌浏览器，记住，一个浏览器只登录一个子账号，绝对不能混用，从源头规避关联检测。第四，每家店铺缴纳保证金的充值账户一定不能共用，全部分开，别图省事，到时候一锅给你端了。 第五，尤其是做无货源的，注意了，所有店铺的退货地址绝对不能一模一样，统一地址最容易被平台判定批量违规直接清退。第六，一个法人千万别开 很多店铺，防止你有个店铺出大额罚款，店铺不够扣而关联你其他的店铺，这个是最容易犯的一个错误。总而言之，想安稳做好抖店，不想莫名被清退的这几点，你赶紧收藏，照着做，能给你避开百分之九十九的关联违规的坑！最后祝大家爆单！

一个公司一个钥匙柜，柜子里边挂着几排钥匙，每一把上边都贴着标签，这一把开大门，这一把开财务室，这一把开服务器的机房。你拿自己的钥匙开自己的工位的抽屉，这个正常。你拿了自己的钥匙，开了别人的抽屉，这个就叫越界。 但还有一种情况啊，就是你的钥匙还在你的手里，可是有人拿着另一把钥匙从外边进来，把整个柜子都搬走了。 有一家网络科技公司的 cto 陈某就画了这么一张路线图，这家公司啊，是做这个本地商户 数字化转型的，帮这个小餐馆、小超市做一些线上的生意。 cto 就 想了一个办法，去拿这个国内某外卖平台公司的数据。怎么拿呢？两条路啊，同时走。第一条路叫外爬，技术负责人 张某带着团队写爬虫，突破这个平台的反爬 ip 频率限制，验证码识别，找网页的漏洞，大量爬取平台公司存储的店铺信息。第二条路啊，叫内爬，就是技术负责人 王某手里边有这个平台商户端的账号和密码，合法的真金白银注册的啊，开发了一个浏览器插件，违反商户端的协议，批量获取了订单的信息。外爬他是从外边配了一把钥匙，把门打开，内爬就是拿着自己的钥匙开了不该开的门。两条路夹击啊， 海量商户信息被非法获取，平台公司流量成本大大的增加，那么直接经济损失四万多块，控方认定的罪名啊，刑法二百八十五条非法获取计算机信息系统数据罪，一个罪名两条路，那么控方他是怎么把这两条路 封装到一个罪名里边的？控方的逻辑啊，也很简单，控方办案的时候啊，桌上是摊着两份材料的，一份写着外爬 ip 限制，突破了验证码，破解了 网页漏洞，利用了这些措施，是平台公司保护系统的防线，你绕过去突破，他就是非法侵入。另一份啊，写着内爬账号密码合法，但是商户端的协议写的清清楚楚，账号只能用于经营查看，不能批量的爬取。你用这个浏览器插件 自动跑，就是超越了这个授权访问，进了不该进的地方，那么空方把这两份材料拿起来对折，那么对折之后，外爬和内爬在一起叠合的这一部分啊， 就写着同一个结论，非法获取计算机信息系统数据 cto 陈某某，他是直使组织主办汤某某啊， 某某某，各大团队重犯，四万多块钱的损失，海量的数据被这个窃取。两份材料对折压平拍在桌子上。这个啊，看起来真的是严丝合缝，但是有一个问题，就是对折之后被夹在这个折痕里边，看不见。 突破反爬措施和这个超越授权访问，这两件事啊，在技术上他是同一件事吗？这个啊，空房是没有回答的，我们来看一下这个技术的细节。先说外爬啊， 汤某某的团队啊，他面对的是什么呢？就是平台的 right limiting， 请求频率限制，同一个 ip 一 秒钟掉几次 a p i， 超了就封。还有啊，就是验证码，判断发起请求的是人还是机器，他们做了什么呢？就是换 ip 池， 自动识别验证码，找网页上暴露的这个 a p i 端点。这个啊，叫反爬退抗，每家大厂其实都在打小黑盒啊，千万级别的这个调用量，大厂安全团队专门有人干这个。注意啊，他们并没有破解平台公司的服务器 啊，没有植入木马，没有拿到这个管理员的权限，没有碰过后台的这个入口访问，他们绕过的是院子门口的那个栅栏，不是保险柜的锁。 再来说这个内爬啊，这个更微妙，王某某这个团队，他手里边有这个商户端的账号和密码。注意啊，这个是合法 的，不是偷的，也不是黑市买的啊，也不是撞库撞出来的，是平台的商户自己注册的账号，他们用这个合法的凭证登录 之后，开发了一个浏览器的插件，模拟人工的操作，批量的来读这个订单的数据。这个啊，其实严格来说是月全访问，你有这张门禁卡，能够进大厅，但是档案室的权限系统没有给你授权，你没有撬锁，没有闸门啊，你只是进了 你不该进的那个房间。平台的请求日制时间戳，二零二二年三月十四号零一点四十七分二十三秒。一个商户账号啊，一秒钟掉了三百次的 a p i 掉的不 是该调的短点。来源， ip 网络科技公司的办公网段 user agent 的 签名，一个未注册的浏览器插件 token scope， 白纸黑字写着查询权限，无批量导出，但是调用记录显示全量返回，没有分页截断。 三百零一次，三百零二次，四百零七次。你早上打开电脑的时候啊，告警邮件啊，已经在里边躺了三个小时了，你的账号在非营业时段产生了异常的调用量，法院不会问啊，你 是睡着了还是在写下一行的代码？他问的是门里的东西到底去哪了。所以啊，问题还是要回到折痕的那道夹缝突破。反爬，他等于非法侵入吗？合法凭证越权，他等于非法获取吗？控方啊，没有回答这两个问题，那咱们就得拆开来看一看。第一层啊， 就是刑法第二百八十五条，他保护的是什么？是计算机信息，系统控制，还有系统审计，数据加密， 那么 ip 频率限制，还有验证码验证，这个叫什么？这个叫商业访问控制措施，目的它是控制流量成本，防止这个爬虫，它不是保护系统本身的安全。 那么司法实践的通俗观点啊，绕开反爬措施，它不等于是侵入计算机信息系统，你是绕过了门卫啊，但是不是撬开了保险柜。第二层啊，就是内爬， 用的是合法的凭证。刑法上的这个侵入，他核心要件是未经授权或者超越授权，但是这个里边的超越授权，他指的是技术层面的授权，他不是合同层面的。这个授权什么意思嘞？ 如果是商家，只是合同上说啊，你不能够批量的查，你用这个自动化工具去查，这个是违约，不是犯罪，你用的是系统给你的合法的接口，没有突破任何的这个技术防护， 你拿着钥匙开了门，门开了，但是合同上写着你不能进这个房间。违约啊，和犯罪之间，它差的不是一个浏览器的插件，它差的是你到底有没有打破那扇门。 第三层啊，四万元的直接经济损失，流量成本增加，这个损失和爬虫之间到底有没有刑法上的因果关系？那么平台正常的业务流量他又是多少？爬虫增加的这个流量占了多少？那么贷款的单价是怎么认定的？这些问题啊，不是法律问题，他是技术鉴定的问题，鉴定的意见说不清楚，那么证据的证明力 就打了折扣，入赘的这个数量门槛就有可能站不住脚。给兄弟们一点建议啊，如果你手里边有客户平台的这个账号和密码，今天晚上睡觉之前啊， 看一眼你的这个 token scope 哪些？ a p i 端点你能够调单次响应多少条数据啊？ right limit 这个域值是多少？白纸黑字截个图。如果你在公司写这个爬虫代码， 明天上班的第一件事啊，让法务书面确认一下你爬的数据的性质，是公开的还是半公开的，还是平台的衍生数据。一句话的书面确认啊，比你出事之后写十份辩护意见都管用，要是贵还在啊。但是法院他看的不一样，法院看的 不是你的钥匙，是谁给你的，法院看的是锁芯到底有没有被撬过。你的案子，我的战场！关注姚律师，为自由辩护，为正义发声！

为什么我不建议全有企业乱用低价的 api 中转站？如果你是个人玩 ai， 你 偶尔用一下低价的中转站，最多账号是不可用，余额没了，体验变差。如果你是企业，我不建议你乱用，因为你输入进去的可不是普通的聊天内容，而是客户的资料、合同代码、运营方案、财务数据、商业机密。 这些内容都会先经过中转站的服务器再转发给模型厂商。也就是说，你把企业的核心数据交给了一个你不了解的第三方， 更关键的是，你不知道他有没有保存你的 pro， 有 没有记住你的输出，有没有拿去训练或者转卖。所以，企业用 ai， 不 应该先问哪个最便宜，而应该先问五件事情， 来源是否正规、数据是否留存、计费是否透明、服务是否稳定、责任是否写进合同里面。便宜的透坑可以省小钱，但数据泄露真的是要赔大钱。

cloud code 存在以下已验证的安全隐患，需引起开发者高度重视。高危漏洞命令注入风险，攻击者可在配置文件如 c、 l、 u、 d、 e、 m、 d 或勾子脚本中注入恶意命令或反引号表达式诱导工具，执行任意系统指令， 静默开启摄像头，扫描本地密钥，植入后门程序，窃取环境变量或云服务凭证，导致云账户被接管。 根源对用户输入未充分过滤，且默认以高权限执行命令确认确认前数据泄露。 恶意仓库可通过环境变量将 api 请求重定向至攻击者服务器影响在用户点击信任项目前已泄露 api 密钥等敏感信息。长指令续列绕过安全检测，当指令超过五十条时，后续命令可能跳过深度安全分析，仅向用户请求执行授权 攻击场景。恶意仓库在合法命令后追加窃取凭证的指令。设计缺陷配置文件，即执行代码 hooks 等配置机制，允许项目目录中的脚本自动执行，且默认无需用户确认。风险克隆含恶意配置的开源项目，即触发攻击 权限。过度开放工具默认拥有文件读写、命令执行、网络访问等高危权限，一旦被恶意配置利用，可完全控制。系统。沙盒隔离不足，缺乏严格的执行环境隔离。漏洞可穿透至宿主机器。 其他风险源码泄露，放大攻击面。二零二六年三月因打包失误泄露五十一万行源码，暴露内部架构及未修复漏洞细节，攻击者可针对性挖掘漏洞，心理诱导绕过安全限制。第三方测试显示，通过奉承、好奇话术等非技术手段可诱使扣捞的生成违禁内容，暴露模型层心理漏洞。

为什么别人的收款码一天收个几百笔都没有事，你的一用就封控了？核心就在于交易场景是否合规。 最新的蚂蚁汇加白通道，它不是简单的收款接口，而是一整套完整的收款系统。我们给你搭建独立前端商城，自动 ip 跳转， 模拟真实线下交易，每一笔都有完整的订单凭证，还有资金凭证，就像你在淘宝买东西一样，风控根本找不到理由限制你款项，还是只连你的个人账户。

我用了很多期视频跟你们讲， ai 一定要用起来，用起来，像这种 api 中转站，你现在自己完完全全有能力搭一个一行代码都不需要写， 你都可以选择做别人的下游，你为什么不选择直接做别人的上游呢？我给你们看一下我是怎么做的，看完你再跟我讲，这东西真的难吗？我这个是用 codex 接的 kimi 的 模型，我就直接找了一个中转站的网址，跟他讲帮我做一个这样子的网站，要求有前端后端 部署在云服务器上，功能要跟这个网站一样，你先看网页，然后给我出开发文档，它的开发文档就已经开始出来了，用了六分钟的时间， 包括了你的 ai 对 话、 ai 绘画、 ai 视频、 ai 智能体，你的支付系统代理商、系统开放 api， 所有的东西全部都已经设计好了，而且在这个文档里面整个的费用估算都已经给到了，下一步要做什么也直接告诉你了。所以你只要跟着步骤在下面一步一步走，你就能够把这个网页搭出来，我给你们看一下搭出来的效果。 当然这个目前只是一个半成品，但是你会发现它已经给你把整体的框架，包括前端页面的效果都已经给你做好了，包括了你的登录下面我们可以直接进去进行对话了，我没有配备它的 a p i， 我 接入 a p i 以后我就可以在这里面给他对话了，再后续我就可以开发 ai 绘画功能、 ai 视频功能等等等等一系列的功能，我这个东西做完可以直接上线了。所以你看 ai 其实真的没有你想象当中的那么难，那无非就是开始去用起来，无非就是做错了怎么办？做错了就让它再改呗，一边用一边学，没有谁是一开始做的东西它就很求行的呀。