一场低价Token狂欢背后，AI安全该敲响警钟

近期ChatGPT K12教师空间爆出接口无鉴权漏洞，催生了圈内一场畸形低价生意：有人利用漏洞批量创建教育空间倒卖子号，一度把Token价格压至1亿token仅两毛钱。这场看似薅平台羊毛的狂欢，褪去热闹外衣，藏着AI行业亟待深思的三重困境。

漏洞根源，是大厂产品设计的傲慢与疏漏。OpenAI推出面向师生的免费教育服务，默认依靠域名邮箱划分权限，却省略核心接口鉴权校验，允许陌生人强行加入他人教师空间。设计者想当然判定教育场景封闭安全，简化权限流程，最终留下致命后门。依靠AI生成代码、轻视底层安全校验，再成熟的技术产品也会埋下隐患。教育场景承载师生隐私、教学数据，安全防线失守，伤害远不止平台经济损失。

漏洞催生的灰色中转市场，折射行业规则空白。漏洞流出后，Outlook、Gmail邮箱被批量扫货倒卖，卖家一旦泄露空间ID，整个教育空间便会遭受DDoS攻击报废。低价Token吸引无数用户涌入，可货源建立在非法钻漏洞之上，随时会被官方封堵。用户贪图低价，却要承担账号失效、对话数据泄露的风险；倒卖者追逐短期暴利，一旦漏洞修复，生意瞬间崩塌，最终所有人都是受害者。

更值得反思的是整个行业的安全思维短板。如今各大厂商急于抢占AI教育、商用市场，一味扩充功能、降低使用门槛，却把权限校验、访问管控视作次要环节。很多产品默认信任用户，忽略最小权限原则，缺少多层校验机制。而灰色产业链的存在，也说明监管与平台风控存在滞后，漏洞流出后才被动封堵，未能提前建立风险预警。

这场漏洞闹剧终将落幕，OpenAI也会收紧K12空间管控。但这件事留给行业的启示不会消失：AI越是普及，安全底线越不能退让。技术便利不该以牺牲权限安全为代价，企业不能只追求产品迭代速度，忽视底层架构严谨性；使用者也应当摒弃投机薅羊毛心态，远离灰色中转渠道。技术向善，既要追求好用，更要守住安全与合规的底线。