一块钱当一千美元用
在国内的开发者社区里，你大概率见过这样的报价：官方价打三折，打五折，甚至打零点五折；有人晒出一张截图，425 元人民币买到的额度，按 Anthropic 官方价目表折算约等于 3333 美元，也就是一块三毛钱能换十美元的官方用量。这些提供报价的网站有一个统一的名字，叫 AI 中转站，海外的研究者把它翻译成 relay，或者更直白的 transfer station。
它的技术原理简单到几乎不需要解释。正常调用大模型时，你的程序把请求发往官方服务器，服务器凭 API Key 确认你的身份，扣掉相应额度，返回结果。中转站做的事，是在你和官方中间加一个传话筒：你换上中转站发给你的 key，把请求发到它的服务器，它再换上自己的 key 转发给官方，把结果原路带回。从代码上看，你只需要改一行 base URL，其余一切照旧。
需求是真实的。国内直连海外接口不稳定，官方只收海外信用卡，而当 AI 从聊天玩具变成日常生产工具之后，成本本身变成了最硬的那道门槛——一个把 Claude Code 或者 Codex 全天候跑起来的开发者，几百美元额度撑不过多久。全球大模型 API 市场 2024 年的规模已经是四百八十多亿美元，预计到 2030 年会膨胀到接近两千五百亿，在这么大的盘子里，有相当一部分人被官方渠道挡在门外，中转站替他们撕开了一条缝。
但真正值得问的问题不在这儿。转发这个动作本身不消耗算力，你的请求要处理的 token 一个没少，官方那边该收多少还是收多少。既然如此，一块三毛钱换十美元官方用量的差价，究竟是从哪里冒出来的？
便宜是怎么来的：三代套利
这门生意的历史比大多数人以为的要长，而它每一次的低价，都对应海外模型厂商定价体系里的一处具体缝隙。
第一代吃的是账期。早期 GPT 模型采用海外流行的后付费模式，注册账号绑定一个受认可的支付方式，不用充值就能开跑，月底出账单再一起结算。对中转站来说，这个时间差就是一顿霸王餐：月初拼命跑，月底要收钱了，账号一封了之，再注册新的循环往复。账号可以用开源的全自动注册程序批量生成，余额只有零点几美元的一次性虚拟卡也能从卡商手里成批买到。OpenAI 的反应并不慢，先是按账号历史消费划分使用量层级，逼你先真金白银付几个月账单才肯放开限额，最后干脆整体转向预付费，才把第一波羊毛军掐死。
第二代吃的是补贴。随着大模型热度上来，传统云厂商纷纷和模型公司签约，把模型部署在自己的平台上转售，而云厂商的获客套路是刻在骨子里的：注册送两百美元试用额度，首月免费，最关键的是它们又回到了后付费。与此同时，面向教师和学生的教育优惠也来了，只要通过校园身份认证，就能拿到几个月乃至一年的免费权益。普通人找亲戚朋友帮忙认证，狠一点的去买现成的教育邮箱，再狠的自己伪造学生证和成绩单，而真正的大手笔是从无到有凭空造一所学校出来——有域名，有官网，有证书，有各类证明材料，甚至正儿八经地公开招生，然后给”自己人”批量分配校园邮箱。二手市场上那些余额动辄几千上万美元的 API key，来路大多如此。面向初创公司和非营利组织的扶持计划同理，审核对熟手来说形同虚设。
第三代，也就是眼下这一代，吃的是订阅制本身。这是理解今天低价的关键，值得算一笔账。以 OpenAI 为例，买了 Plus 套餐之后，除了网页端的高级模型，还可以在开发者工具 Codex 里调用模型，而这类 coding plan 是包月不计量的。有人实测统计过，如果一个 Plus 用户把 Codex 每周的额度都拉满，按官方 API 的标准价格折算，一个月能跑出四百美元左右的用量——而 Plus 套餐本身一个月只要二十美元。
OpenAI 当然不傻。二十美元人人都得付，但能把额度跑满的用户极少，相当一部分订阅者甚至从没打开过 Codex；何况订阅给多少额度是厂商自己随时可以调的，真出现所有人约好一起拉满的情况，把上限调低就是了。可这套建立在”大部分人用不满”之上的机制，遇到专门冲着跑满来的人，就没有防线了。二十美元换四百美元，官方价的百分之五，也就是所谓的零点五折。接下来只要做一次逆向，把本该在 Codex 客户端里走的接口转接到中转服务器上，就可以对外零售。几十上百个账号组成一个号池，哪个号跑没了额度或者被封了，服务器自动切到下一个。如果账号是从低价区买的，成本还能再腰斩一半。
成本压缩到这一步仍未见底，因为号池里的账号可能压根就没给厂商交过一分钱。订阅制软件为了拉新总要搞首月免费，绑上支付方式即可开通；各种冷门支付渠道时不时会开出零成本的口子；也有人直接在虚拟环境里想办法白嫖移动端权益。极限情况下，一个能用的账号成本可以低到几毛钱。代价是寿命极短，这类账号在圈内被称作”日跑号”，平均只能活一天，但顶级的号池是全自动的，检测到额度不足就自己补货。甚至连免费套餐账号送的那几美元额度，靠自动化程序规模化地薅，也足够支撑几百人使用。
到这里，那个反常识的现象才真正说得通：为什么中转站敢在下午和晚上把价格打到骨折，鼓励用户使劲跑。因为这些号第二天多半就没了，账上剩余的额度不用掉才是纯浪费，边际成本近乎为零。也因此，一个经常被误解的判断需要纠正——超低价的中转不一定意味着背后接的是便宜的国产模型，真算下来，这种价格甚至能比国产模型打完折还低。
Claude 这一侧的故事略有不同，也更能说明问题。早年 Anthropic 封号是秒退全款的，对用户是伤害，对中转站却是致富经：买了套餐使劲跑，怎么容易封号怎么来，封完钱秒退，去掉汇损和开卡费用，成本无限趋近于零。但订阅越来越难买，退款越来越慢，开通前还要先过身份认证，这条路的成本就上去了。于是中转站把目光转向了 Kiro、Antigravity 这类内置大模型接口的 AI 开发工具，用前面提过的手段批量注册开发者账号，再把接口逆向出来对外供货。这类渠道有个绕不过去的毛病，我们下面会讲到。
四层供应链与一套开源面板
这些手法不是散兵游勇各自为战，它们背后是一条已经分工明确的供应链，海外研究者把它拆成四层。
最上游是卡商和号商，卖的是能通过欧美账单校验的虚拟信用卡，以及批量注册好的账号。中游是号池，一个号池聚合几十上百个上游账号，统一管理它们的鉴权令牌和速率限制，某个号被标记了就自动故障转移，对外只暴露一个接口。号池的库存不只有模型厂商的原生账号，也包括从应用层”扒”出来的——对号池来说，一个 token 来自实验室还是来自某个基于它构建的产品，并无分别，凡是转售或暴露模型的地方都是目标。下游才是面向消费者的中转站，把号池的接口包装成一个中文界面、能充值能开发票、有客服微信群的产品，然后彼此打价格战。最下面是终端用户：个人开发者、小团队、中小 SaaS 公司，以及一部分用这套基础设施做模型蒸馏的商业买家。实际运转中这四层是模糊的，很多人同时经营号池和中转站，社区里”池子”和”中转”这两个词经常混用。
支撑这一切的软件出人意料地统一。几乎所有中转站都跑在两个开源项目之一上：one-api 或者它更活跃的分支 new-api。两者都是兼容 OpenAI 接口的网关，运营者部署好面板，添加若干”渠道”，每个渠道对应一家供应商加一批 key；面板对外暴露一个与官方一致的接口，买家把 SDK 指过来就行。每来一个请求，面板从池子里取一把 key 转发上游，把结果带回，再按用量乘以一个”倍率”扣掉额度，同时管好用户、令牌、价格档位、日志和账单。在被追踪的中转站里，one-api 出现的频率大约是 new-api 的四倍，尽管后者才是为了做生意而生的那个。
需要说清楚的是，这两个项目本身完全中立，不少公司自建它们来把自家账号统一收口，做团队配额和支出追踪。一个网关变成灰色中转，是在它的渠道里装满了偷来的、泄露的或者拼凑来的 key，并且违反供应商条款把这些访问转售出去的那一刻。
这条链子也养出了一整套黑话，值得一并解释。”刀”指的是站内额度单位，通常一元人民币兑一”刀”，与真实汇率无关；”分组”是渠道的分类，不同分组对应不同上游和价格；”倍率”是扣费系数，把官方单价乘以它得到你实际被扣的额度；”等效额度”是把站内额度换算回官方价目表的说法，开头那个 425 元换 3333 美元就是这么算出来的。而这个市场的成熟度，可能比”黑话”两个字给人的印象要高得多：它有比价网站，有推广返佣，有网关产品，被追踪的十家头部中转月访问量合计约三百六十万次。有一个中转导航站甚至每天抽奖送出五十把面值一百美元的 key，抽奖用比特币区块哈希作随机种子、用洗牌算法产生结果、开奖前公示全部参与快照，是加密赌场那套”可验证公平”的完整实现——一门生意需要向用户证明自己抽奖不作弊的时候，它已经足够正规，也足够反常。
掺水：差价的另一半
前三章讲的是成本怎么压下去的，接下来这一章讲的是另一半差价——它不从上游省，而是从你身上取。
最常见的是模型掉包。你付的是旗舰模型的钱，后台悄悄换成次旗舰甚至轻量版；接口格式完全兼容，返回结构一模一样，除非任务复杂到一定程度让你察觉”效果不对”，否则你不会知道，就算察觉了也无从举证。第二种是 token 计数作弊，你实际用了一千，面板给你记一千五，差额进了运营者的口袋，而普通用户没有能力独立核算自己的消耗。第三种是偷偷缩短上下文窗口，官方支持二十万上下文，中转给你砍到三万二甚至更短，表现出来就是长文档处理到一半断掉，或者模型突然”忘了”前面说过的话——上下文越短，中转站付给上游的钱越少。第四种是在你的系统提示词前面注入隐藏指令，比如要求模型尽量简短作答，你以为模型变懒了，其实是有人在替你省 token。第五种是功能阉割，联网搜索、图片识别、文件上传、函数调用这些官方能力被直接砍掉，你调的是同一个模型名，拿到的是残血版。第六种是高峰期动态降级，白天给你好的，晚上人多了偷偷切成便宜的。
掺水的分布并不均匀，它高度集中在 Claude 这一侧，原因在第二章其实已经埋好了：OpenAI 系的号池成本可以被压到比自部署开源小模型还低，而 Claude 系号池的成本和售价是前者的十倍以上。当低价承诺遇上降不下来的成本，以次充好就成了唯一的出路——用次旗舰冒充旗舰，用编辑器逆向渠道冒充官方渠道，大多发生在这里。
而逆向渠道还有一层更隐蔽的质量损耗，与恶意无关，纯粹是技术使然。Kiro、Antigravity 这类 AI 开发工具内置了大量无法绕过的系统提示词，模型虽然还是那个模型，但它被写死了”你是一个写代码的智能体”。你如果拿它做调研、写文章，效果自然不会好；就算你就是拿它写代码，也可能出问题——你的客户端告诉模型该用某个编辑函数，而开发工具内置的提示词写的是另一个补丁函数，两套指令一打架，再强的模型也会表现得智商暴跌。有的中转站会老老实实把上游渠道标注出来，让有经验的用户自行选择；也有不少直接把参差不齐的上游混进同一个分组，对外号称官方满血号池，这就是货真价实的掺水了。
关于掺水的规模，中文社区里流传最广的一个数字是”将近百分之五十的中转站存在模型替换”，这个说法需要订正。它的来源是 2026 年 3 月的一篇论文《Real Money, Fake Models: Deceptive Model Claims in Shadow APIs》，作者审计了十七个所谓 shadow API，发现指纹测试中有 45.83% 未能通过模型身份验证，性能偏离最高达到 47.21%，安全行为高度不可预测。但这篇论文的样本是被学术界实际使用过的那类第三方接口——它们出现在 187 篇论文的方法部分，其中最流行的一个到 2025 年底已累计近六千次引用、五万八千多个 GitHub star——而不是中文语境下面向个人开发者的消费级中转站。把 45.83% 直接读成”中转站里有一半掺假”，是换了样本口径，不成立。
从掺水到投毒
如果说掺水让你多花钱，那么下一类风险的量级完全不同，而它恰好有一份可以查证的一手研究。
2026 年 4 月，一个来自加州大学圣塔芭芭拉分校、加州大学圣地亚哥分校等机构的团队发表了《Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain》。他们的出发点是一个此前被忽视的结构性问题：这类路由服务是运行在应用层的代理，对每一个流经的明文 JSON 载荷拥有完全访问权限，而客户端与上游模型之间没有任何一方强制施加密码学完整性校验——换句话说，这是一场用户自愿把流量交出去的中间人攻击，攻击者不需要劫持网络，因为你主动把车开进了他家院子。
研究团队从淘宝、闲鱼和一些独立店铺购买了 28 个付费路由，又从公开社区收集了 400 个免费路由，逐一实测。结果是：9 个路由主动在返回的工具调用中注入恶意代码，其中 1 个来自付费样本、8 个来自免费样本，另有 2 个部署了自适应规避手段，会针对依赖项定向下手或按条件才投递恶意载荷；17 个路由触碰了研究团队故意埋进请求里的 AWS 蜜罐凭据；还有 1 个直接从研究人员布设的私钥中把 ETH 转走了。
这里要特意订正一个已经在中文圈流传开的数字。有影响力很大的文章写成”暗访四百多个中转站，当场抓获 26 个在偷偷搞恶意代码注入”，26 这个数是把”注入恶意代码的 9 个”和”窃取凭据的 17 个”加在一起得来的，两类行为被合并成了一类。真实的数字是 9 和 17，它们描述的是两件不同的事。
比路由本身更值得警惕的，是同一篇论文里的另一组投毒实验。研究者故意在中文论坛、微信群和 Telegram 群里泄露了一把受控的 OpenAI key，很快就被人跑出约一亿 GPT-5.4 token 和七次以上的 Codex 会话；而当他们布设配置薄弱的诱饵环境时，收获是 20 亿计费 token、99 组凭据、440 次 Codex 会话——其中 401 次已经运行在完全自主的模式下。这组数字的含义是：在这条链子上游动的，早已不只是想省点钱的开发者。
论文之外，最近的一起个案让这类风险变得具体。2026 年 8 月，有用户在论坛发帖称，自己在某个 AI 公益站点上开启完整权限后，AI 生成的一段命令包含明显的环境信息收集与凭据读取行为：读取 SSH 私钥、AWS 环境变量、Kubernetes 与 Docker 配置、GitHub 与包管理器的登录信息，收集容器、进程、端口、系统服务和 shell 历史，最后通过一个 POST 请求把结果打包发往外部地址；而这段命令在拥有完整权限的客户端上被执行了。
这起事件必须连同它的证据边界一起讲。仅凭最终出现的这段命令，无法证明它一定来自站点后台——它也可能由模型自身生成、由用户的提示词诱导产生、来自某个插件或自定义模块，或者被上下文里的其他内容触发；同样，目前也无法确认命令是否完整执行、执行环境是什么、上传请求是否成功。转述这件事的编辑自己把这四条不确定性列了出来，我们没有理由略过它们。但即便把这起个案完全悬置，前面那篇论文里的九个注入样本和四百零一次自主会话，已经足够说明这类攻击不是假想。
还有一类风险朴素得多，也最常发生：中转站不是支付平台，没有任何资金托管机制，充值就是无抵押地借钱给一个你不知道是谁的人。社区里流传过某站携款约六十万跑路的说法。有些站从上线第一天就是奔着这个结局去的，前期亏本补贴，纯粹是为了把资金池做大。
天花板正在下降
这个市场并非静止。它赖以生存的每一处缝隙，最近一年都在收窄。
首先是风控，而它的加码速度可能超出多数人的感知。Anthropic 在 2026 年 1 月更新的透明度报告披露，仅 2025 年下半年就封禁了约 145 万个账号，同期收到约 5.2 万份申诉，最终被推翻的只有 1700 件，成功率约 3.3%。而在其透明度页面最新一期的数据里，2026 年上半年的封禁量是 1140 万个账号，申诉 39.8 万份，推翻 4.2 万件——半年之内，封禁规模扩大到接近八倍。这个力度既砸中了中转站，也误伤了大量正常开发者，用官方工具做高频代码审查而被判定为脚本化滥用的案例并不少见；申诉推翻率从 3.3% 升到约 10.6%，某种程度上正是误伤扩大的旁证。与此同时，开通订阅前的身份认证成为常态，封号退款的通道也在变慢，第二章里那条”封号秒退全款”的致富经基本走到了尽头。厂商还在收紧接口本身：Anthropic 一度明确禁止在第三方工具中调用其订阅额度，并要求相关开源项目移除支持。不过这类限制对中转站的效果有限，因为它们通过逆向和改写请求参数，可以把来自任何地方的调用伪装成官方客户端的请求——顺带着也把厂商”一人一号”的订阅模式，改造成了共享单车。
其次是替代品。国产模型这一年的进展改变了成本曲线的形状：中国开源权重模型在 OpenRouter 上的 token 份额，从 2024 年末的不足 1.2%，一路升到 2026 年 4 月的约 51%；被广泛引用的”61%”是 2026 年 2 月 24 日当周前十模型中的占比，不是全平台份额，这个限定经常在传播中被丢掉。单看厂商，DeepSeek 一家已经占到全平台约 16.3%，超过任何其他供应商。价格上，主流国产开源模型普遍比头部海外模型便宜六成到九成，国内厂商的 coding plan 一度需要写脚本才抢得到。
最后是需求侧的分化。有一部分用户使用中转，目的压根不是省钱，而是图省事——各家模型的接口形态和请求参数各不相同，而通过一个统一面板，一套代码就能调用所有模型。这部分需求不会随着价差消失而消失，它会流向合规的聚合网关。
如果你一定要用
写到这里，可以说说立场了。
第一，中转站的存在有其合理性，但”便宜”从来不是它的卖点，而是它的账单结构。这条链上的每一分差价都有人在付：一部分由模型厂商承担，以订阅超售、试用滥用和退款套利的形式；另一部分由你自己承担，以质量、稳定性、数据和安全的形式。把这两笔账摊开看清楚，比争论这门生意道德与否有用得多。
第二，也是本文唯一一条不留余地的建议：不要把中转站的 key 填进任何拥有本地执行权限的 agent 工具。中转站作为纯粹的对话或补全接口，最坏结果是你多花钱、拿到降质的回答；而当它的返回值可以直接在你机器上执行，最坏结果就变成了凭据外泄、代码库污染和钱包清零。前一章那四百零一次跑在自主模式下的会话，就是这条建议的全部理由。
其余的经验，大多是社区用真金白银换来的，可以按熟练度分成两层。对新手来说，最要紧的三条是：不要用免费中转——愿意贴钱做公益的赛博菩萨确实存在，但绝大多数免费服务必然要从别处赚钱，而你能提供的东西只有数据；优先选择在分组里把上游渠道写明白的站点，标注了编辑器逆向来源的分组说明它质量会打折，标注了官方套餐转出的说明它更接近原味，虽然写出来不代表就是真的，但明码标价总比不标强；以及最重要的一条，永远少充勤充，再稳的站也可能因为上游策略突变而一夜失效，充值额度是你唯一能主动控制的损失上限。
对愿意折腾的人，还有几个更实的办法。留意报错信息里的请求标识符，正常情况下应该只有一个，如果你在一次报错里看到一串，说明你买到的是中转套中转，每多一层就多一道加价和一次掺水机会——社区里见过套了八层的极端案例。定期做一次最小请求验证：只发一句”你好”，看面板记录的输入 token 数，如果显示几百上千，那多半是有人在你的提示词前面塞了东西。有条件的话同时准备几家不同的中转换着用，别指望在一家上长期稳定；更彻底的做法是自己部署一个网关面板，把买来的几家都接进去，按价格或偏好排好优先级并打开失败重试，相当于给自己搭一个只服务一个人的微型中转，首选站点出故障时无感切换。
第三，也是最后一点：这不是一个会长期存在的行业。它是价差的函数，不是需求的函数。它的低价来自海外订阅制定价与实际用量之间的错配，来自云厂商的获客预算，来自风控暂时的宽松——这三样东西每一样都在变，而且都在朝同一个方向变。等到国产模型的性能再上一个台阶，等到官方接口的价格比中转百亿补贴之后还便宜，等到最后一处漏洞被堵上，这场狂欢就该落幕了。把中转站当成基础设施来依赖的人，迟早要为它的消失付一次账。
但那一天到来之前，这些游走在监管边缘的站点，仍然是很多普通人窥探全球前沿模型的一扇窗——廉价、粗糙，暂时无可替代。看清它的代价再决定用不用，比赞美它或者一棍子打死它，都更接近一个使用者该有的态度。
参考来源
学术研究
Hanzhi Liu, Chaofan Shou, Hongbo Wen, Yanju Chen, Ryan Jingyang Fang, Yu Feng.《Your Agent Is Mine: Measuring Malicious Intermediary Attacks on the LLM Supply Chain》. arXiv:2604.08407, 2026-04-09. https://arxiv.org/abs/2604.08407
—— 第五章全部实测数据（28 个付费 + 400 个免费路由；注入 9、触碰 AWS 蜜罐 17、转走 ETH 1）及投毒实验数据（20 亿计费 token、99 组凭据、440 次 Codex 会话、401 次自主模式）出自此文。Yage Zhang, Yukun Jiang, Zeyuan Chen, Michael Backes, Xinyue Shen, Yang Zhang.《Real Money, Fake Models: Deceptive Model Claims in Shadow APIs》. arXiv:2603.01919, 2026-03-02. https://arxiv.org/abs/2603.01919
—— 第四章 45.83% 指纹身份验证失败率、47.21% 性能偏离，及其样本口径（17 个被 187 篇论文使用过的 shadow API）出自此文。
行业调查与一手社区材料
Matt Lenhard.《An Inside Look at the Relay Market Powering Token Resellers and Fraud》. Vectoral, 2026-06-27. https://vectoral.com/blog/token-relay-market
—— 第三章四层供应链划分、one-api 与 new-api 的部署占比、头部十家月访问量约 360 万、导航站每日抽奖机制出自此文。作者为 AI 网关反滥用从业者，有商业立场。另注：该文将”0.13 元人民币兑 1 美元官方额度”英译为 “$0.13 of usage per $1 spent”，方向有误，本文按下条的原始推算采用。V2EX 帖《AI 中转站黑话大全整理，带你一次性了解中转站逻辑》，2026-03-05 起，约 190 回复。https://www.v2ex.com/t/1196011
—— 供应链结构、行业黑话、425 元兑等效 3333 美元官方额度的推算（见 #50 楼）出自该帖及其回复。发帖人本人经营中转站，帖子兼具推广性质。视频《大模型中转站，凭啥这么便宜？》https://www.youtube.com/watch?v=P6UWIA_bvt8
—— 第二章三代套利机制、逆向渠道系统提示词冲突、请求标识符嵌套判断、自建网关等实操经验出自该期实测。Appinn《有用户发现：AI 中转站除了掺水，还会投毒》，2026-08-11. https://www.appinn.com/ai-agent-full-access-security-risk/
原帖：V2EX https://www.v2ex.com/t/1233104
—— 第五章 Full Access 个案及其四条证据边界出自此文。
官方与平台数据
Anthropic’s Transparency Hub — System Trust Reporting. https://www.anthropic.com/transparency/system-trust-reporting
—— 2026 年上半年封禁 1140 万账号、申诉 39.8 万份、推翻 4.2 万件，为该页面直接披露；2025 年下半年的 145 万 / 5.2 万 / 1700 件为该页所链往期报告数据，本文经中文报道交叉核对后采用（如 36 氪 https://36kr.com/p/3763806573277959）。OpenRouter 公开排名数据，2024-10 至 2026-06. https://openrouter.ai/rankings
—— 第六章中国开源权重模型份额变化。需注意”61%”为 2026-02-24 当周前十模型内的 token 占比，非全平台份额。
被本文订正的传播来源
- @ai_xiaomu《API 中转站，比贩毒还赚》，X，2026-05-03. https://x.com/ai_xiaomu/status/2051099012288356592
—— 该文将来源 1 中”注入恶意代码 9 个”与”窃取凭据 17 个”两类行为加总，写作”抓获 26 个恶意代码注入”；并将来源 2 的 45.83% 转述为”将近 50% 的中转站存在模型替换”，实为换用样本口径。两处均在本文第四、五章订正。其对盈利模式的分类框架仍有参考价值。