中转站安全警示：521 弹窗事件复盘与 AI API 中转防投毒指南

1. 事件复盘

2026 年 5 月 21 日，多名开发者报告：通过某 AI API 中转站调用模型时，客户端界面弹出了与该站点无关的广告窗口。排查后确认，弹窗来源是中转层向模型响应流中注入了前端代码。这不是上游模型的输出，而是中转站自己加的"私货"。

社区讨论迅速聚焦到三个层面：技术上，中转层对经过它的请求与响应拥有完整读写能力；商业上，弹窗意味着有站点开始把"控制用户界面"当成变现手段；信任上，开发者此前默认的"中转站只赚差价"假设被打破。

2. 三个安全启示

• 中转层是全知全能的中间人：你的 Prompt、模型输出、tool call 参数都会经过中转服务器。它能改内容、能加内容、能记录内容——弹窗只是最显眼的一种改动。
• "看起来正常"不等于"没有改动"：注入广告被发现是因为弹窗太显眼。更隐蔽的改动（改写系统提示词、注入知识库、静默降级）见提示词注入检测一文，通常不会被用户察觉。
• 信任需要可验证的机制：事件后社区形成共识——正常的中转站没有理由屏蔽用户的防御性探针。欢迎自验、日志透明、响应不改写，应成为选站的底线标准。

3. 中转层的六类风险面

前两类是"明毒"，521 事件后多数站点已收敛；后四类是"暗病"，需要模型鉴别特征清单与账单核对长期监控。

4. 五步安全选站清单

1. 查响应改写承诺：站点的服务条款或 FAQ 是否明确"不注入、不改写响应内容"？模棱两可的措辞直接跳过。
2. 查日志政策：隐私政策是否说明 Prompt 与输出的存储策略？"零日志"要看具体口径，合理的是"不持久化存储请求正文，仅保留计费元数据"。
3. 跑探针实测：注册最小额度，跑一遍本文系列（弹窗观察 + 注入探针 + 特征清单），结果留档。
4. 查计费明细：输入/输出/缓存读写是否拆分可查？token 计数是否与官方口径偏差在可解释范围。
5. 查运营历史：社区口碑、运营时长、突发事件处理记录。新站建议小额起步。

完整对比框架见2026 中转站选择避坑指南。

5. 企业防护要点

• 分级使用：高敏链路（含客户数据、安全审查、密钥相关）走官方或自建通道；中转站用于开发测试与非敏感批处理。
• 发送前脱敏：客户端侧对 Prompt 做正则脱敏（手机号、密钥、内网地址），即使站点数据回流也拿不到敏感信息。
• 保留原始日志：客户端保存请求原文与响应原文，异常时可直接比对链路改动。
• 巡检自动化：把注入探针与特征清单加入 CI 回归，每周自动执行并对比基线。

island AI Coding 的立场：不持久化存储 API 请求正文，转发链路不注入、不改写模型输出，计费与用量元数据按隐私政策处理。安全不是承诺出来的，是测出来的——欢迎用本文方法验证。

6. 把安全判断变成可复核记录

“安全”不能只看宣传语，应该留下客户端可复核的证据。对同一短提示分别保存请求原文、响应原文、响应头和时间戳，并用官方或自建通道做一次对照。

1. 检查响应正文是否出现未请求的 HTML、脚本、广告或额外链接。
2. 检查 SSE 事件顺序、模型字段和用量字段是否被改写。
3. 用脱敏探针验证系统提示词、上下文和工具调用是否保持预期。
4. 核对账单中的输入、输出、缓存和请求 ID 能否与客户端日志对应。

发现差异时先停止发送敏感数据，保留最小复现和时间范围，再依据隐私政策和服务支持渠道提交证据。

7. 常见问题