标签
OpenLLM 是一款开发者工具，让你把订阅、API 密钥和本地模型接入 Codex、任意编码代理，甚至 Mac 上的 ChatGPT 应用，突破限额后可无缝继续，并支持从任何地方启动编码会话。
一场关于是否应该为每个 AI 智能体分配独立身份和短期有效、权限范围受限的凭证，而不是共享同一个 API 密钥的讨论，其中也探讨了 MCP 服务器如何融入这一模式。作者邀请大家分享实际部署方案和经验教训，探讨在什么情况下为每个智能体分配独立身份会显得过度设计。
黑客入侵了OpenCode Console的一个旧系统，泄露了1.4%用户的API密钥，并盗刷了未经授权的AI使用费用，促使Anthropic、Google和OpenAI作出响应，同时也凸显了防御AI驱动攻击的难度。
Anomaly Innovations 披露，攻击者入侵了 OpenCode Console，从约 1.4% 的用户处窃取了存储的 Anthropic、OpenAI 和 Google 模型 API 密钥，并执行大量查询——该公司称之为一次"大规模蒸馏攻击"，导致用户余额被消耗达数百美元。
一篇观点文章，主张 AI 智能体不应持有提供商的原始 API 密钥，而应获得预付费、有上限的凭证，具备每小时、每日、每个工具的限额、工具白名单、价格检查以及每次调用的收据。作者以 Agentik 的配置为参考，并询问读者更倾向于原始密钥加监控、硬性限额，还是介于两者之间的方案。
讨论是否应该给 AI 智能体分配独立的支出预算，例如为调用付费专业 API 设置每月支出上限，而不是在代码中写死对特定供应商的访问权限。向从业者征询实际经验以及可能出现的故障模式。
Otter Vault 是一款免费的 Chrome 扩展，能够在 API 密钥出现的第一时间检测到它们，并在你的设备上进行本地加密。该项目已在 Product Hunt 上发布，归入 Chrome 扩展和安全软件分类。
文章强调了在沙盒代理中将API密钥作为环境变量传递的安全风险，并介绍了Gemini Managed Agents的Credentials API，该API通过仅对受信任的域注入秘密来确保安全。
用户正在寻求可靠的方法，为他们的AI模型（特别是使用Deepseek Harness）提供网页浏览和搜索功能，指出了付费API的问题以及像SearXNG这样的不可靠免费选项。
一个编码代理意外地使用了仓库中可用的 API 密钥，导致成本增加，这强调了在 AI 代理部署中凭证作用域的重要性，以防止未经授权的访问和成本超支。
LangSmith LLM Gateway 通过将 API 密钥限制为特定模型并自动阻止未授权调用来帮助组织管控模型访问，Opus 5 和 Sonnet 5 演示了此功能。
Binarly 对 DockerHub 的研究揭示了密钥和凭证的广泛暴露，这可能危及主要企业，并展示了如何使用经过微调的 LLM 进行成本效益高的自动分类。
Descope 推出跨应用访问，以短期身份断言替代静态 API 密钥，用于 AI 代理和 MCP 服务器，使企业能够通过现有的身份提供者管理代理访问，并实施每请求授权策略。
作者扫描了AI生成的代码项目，发现了重复出现的暴露API密钥模式，于是构建了NeuralScan，一个扫描代码中秘密和危险模式的工具，用简单的英文解释修复方法。
Patrick McKenzie认为，一旦对手能够利用相当于10,000名研究分析师的AI模型，许多形式的隐蔽式安全将面临巨大压力，他敦促用户从开放互联网上移除暴露的API密钥和凭据。
一条推文警告开发者，在AI模型发现并利用它们之前，从公共仓库中移除暴露的API密钥、钱包密钥和凭据。
本文讨论了AI编程工具的订阅定价模式，并介绍了CleanSlate的替代方案：使用自己的API密钥即可免费使用，另提供可选的托管计划。它探讨了开发者是更倾向于自带API密钥，还是支付固定的月费。
一位开发者指出，AI 代理的历史文件会存储粘贴到提示中的 API 密钥，并介绍了一款开源命令行工具，可在本地扫描并遮盖这些密钥。