我测了两个API中转站，一个直接翻车了...

上周在V2EX刷到一个帖子，有人说自己用的中转站被曝出"掺水"——花钱买的Claude API，后端实际跑的是不知道哪来的野鸡模型。我当时第一反应是：不至于吧，我用的那个挺稳的啊。

但又觉得不踏实。正好前两天看到有人开源了个审计工具，就顺手拿来跑了一下。

结果：两个站，一个直接翻车。

先说结论：一个站爆了高危，工具调用被改写过；另一个站是中风险，prompt里被注了点东西。看到结果的时候我愣了几秒——这两个站我都用了小半年了。

下面细说过程。

这玩意儿到底是怎么坑人的

其实原理很简单。

你正常调官方API：你的请求 → OpenAI/Anthropic服务器 → 返回结果。

走中转站：你的请求 → 中转站服务器（可以动手脚） → OpenAI/Anthropic服务器 → 中转站拦截 → 返回给你。

多出来的那一步，就是所有猫腻的源头。

常见