研究通过蜜罐追踪AI密钥盗窃35天：揭示自动化探测与转售行为

研究者构建了两个模拟LLM网关的蜜罐，通过在GitHub项目中故意暴露API密钥，追踪35天内超过300万次请求，发现多数为探测攻击，部分用于转售或代理服务。攻击者使用多种工具（如Sub2API、keypool）和基础设施（如PLAY2GO、Xorek），部分请求来自受制裁网络。研究记录了攻击模式、请求频率、模型测试行为及Telegram等渠道的流量特征，揭示了密钥泄露后的实际利用路径。