我把手上一个小工具站接入大模型 API 后为了拉新给每个新注册用户赠送了 20 个免费 token。这个策略在头两天确实带来了注册量增长但第三天的账单让我清醒了API 调用成本涨了 8 倍后台显示新增注册 3 万多人可真正调用过模型、产生有效对话的账号不到 2%。更让人无语的是我在公开渠道看到有人以远低于官方价格的方式兜售“免费 token 额度”下单后对方发来一串 API Key正是我们平台生成的。这不是一个孤立事件。过去几年只要一个 AI 产品提供免费额度就必然出现“免费 token 交易”“假注册套额度”的影子。表面看是注册拿福利背后其实是一条非常有组织的资源套利链条。今天的文章想聊清楚一件事为什么 AI 平台的 fake signups 会如此猖獗以及作为平台方、开发者我们应该从哪些层面把这道口子堵上。1. 免费 token 为什么会成为黑市里的硬通货1.1 免费 token 不是“福利”是一种可即时兑现的数字资产大多数做 AI 应用的人第一时间只会把免费 token 看成获客成本用来换取用户试用体验。但从攻击者的视角看token 不是优惠券而是硬通货。一个 token 背后绑定的是模型推理算力。它可以调用 GPT 级别的模型生成内容也可以调用绘图模型生成图片甚至可以导出成 API Key被其他人接入自己的工具。免费 token 一旦发出去就意味着平台已经为它支付了真实的算力成本。攻击者并不需要理解这些技术细节他们只需要知道注册一个邮箱拿免费额度把它用掉或者卖掉就能产生收益。这个循环能不能成立取决于三件事。第一token 的价值是否稳定。大模型 API 的计费模式非常标准化按 token 数、按图片张数、按时长价格公开透明。攻击者不需要费力定价直接用官方价格的 1 折到 5 折出售就能吸引想省钱的买家。第二token 是否能够快速兑现。绝大多数 AI 平台允许用户在注册后立即获得额度并允许通过 API 调用。这意味着从注册到变现可能只需要几分钟。第三身份门槛是否足够高。如果平台只要求邮箱验证甚至邮箱都不验证那注册一个账号的成本几乎为零。这三点叠加起来就构成了一个极容易被批量套利的场景低门槛注册 高价值资源 即时到账。这不是技术上的偶然而是产品设计里天然的漏洞。1.2 从“薅羊毛”到“规模化欺诈”产业链已经形成早期大家把这种问题叫做“薅羊毛”以为只是少量个人用户多注册几个账号占点小便宜。但现在的情况已经完全不是这样。假注册的链条通常包含多个角色。有人负责批量注册他们会用脚本生成大量账号资料配合虚拟手机号接收验证短信有人负责“领号”也就是把注册好的账号或激活后的 API Key 归集起来还有人负责分销通过社交平台、论坛、聊天群组等渠道把免费 token 倒卖给需要算力但不想付费的人。这个链条有典型的产业化特征分工明确、自动化程度高、收益可预期。攻击者会像一个真正的运营团队一样做 A/B 测试哪个平台的免费额度更容易拿到哪个平台的模型调用没有额外审核哪个平台的额度可以长期不过期都会直接影响他们的投入产出比。对平台方来说损失并不只是账单上的 API 成本。假账号还会污染用户数据、拉低留存指标、干扰算法推荐甚至被用来生成违规内容给平台带来政策和合规风险。所以 fake signups 的破坏力是复合的不能只把它当成服务器多耗了一点电。2. 假注册的完整生命周期从批量注册到 token 分销2.1 攻击链拆解要防御假注册不能只盯“注册”这个动作。真正的攻击链比我们想象的长通常可以拆成五个环节批量注册攻击者通过脚本或自动化工具用一套可复用的资料模板创建大量账号。这些资料可以来源于数据生成器也可以来源于历史泄露数据。注册时最费力的部分是验证码和手机验证攻击者会想尽办法降低成本。额度激活注册成功后账号需要在平台内完成领取动作。有些平台要求绑定支付方式攻击者就会临时绑定虚拟卡有些平台要求完成新手任务攻击者就会自动刷一堆假行为数据。资源归集攻击者把多个账号的额度集中到一个账号或一个 API Key 下方便统一出售。这个动作往往通过转发请求、复制密钥或批量导出完成。转卖分销通过各种渠道发布“低价代调用”“共享 API”等消息把资源卖给真实用户。销毁与轮回一旦平台封禁账号攻击者会评估成本继续换一批资料重新注册直到利润率降到不划算为止。理解这个生命周期最大的价值在于我们可以知道只封注册入口是不够的。攻击者在每一个环节都有替代方案。防御必须也形成链条而不是单独设卡。2.2 哪些数据会暴露假注册信号从防御视角看假注册并不是完全无迹可寻。重点不是立刻识别出每一个账号肯定有问题而是找出“行为模式”和“正常用户偏离比较大”的账号。比较典型的信号包括注册时间集中在凌晨两三点或每秒钟固定间隔内连续注册多个账号。设备指纹高度相似User-Agent 相同、浏览器版本陈旧、屏幕分辨率固定、没有鼠标移动轨迹。邮箱域名集中在少数几个临时邮箱服务商。注册后立即领取额度但激活后并没有符合真实用户习惯的路径——不去首页、不看文档、不配置个人信息直接调用 API。调用模式单一同一个 prompt 反复请求或者对某个高成本模型集中调用用完额度就弃号。这些信号单个看都不足以定罪但如果几个信号同时出现你大概率已经碰上了一轮攻击。实际工程里我会建议把所有信号汇总成一个风险分而不是用单条规则做非黑即白的判断。3. 第一道防线注册入口的可信度分层3.1 不要用“一刀切”验证码要做分层验证很多平台以为加了图形验证码就万事大吉。但现实情况是图形验证码对自动化脚本有一定成本却不可能完全阻断攻击。真正的思路不是把所有用户都当成可疑对象而是把用户分成不同风险等级执行不同强度的验证。我建议把注册请求分成三个层级低风险常规设备、常用邮箱、正常 IP直接通过给予基础额度。中风险设备信息不完整、IP 归属地异常、使用临时邮箱需要额外验证例如邮箱链接、短信验证码。高风险短时间频繁注册、设备指纹冲突、 IP 已进入黑名单直接拒绝或要求人工审核。这样可以让正常用户体验几乎不受影响同时把攻击者的注册成本抬高。核心原理是不要把防线做成栅栏而是做成一道带坡度的门。3.2 工程落地的几个关键配置在具体落地时我会从下面这五件事开始做。第一接入设备指纹服务。可以自建也可以使用第三方。主要采集浏览器指纹、Canvas 指纹、WebGL 信息、字体列表、屏幕参数等。注意不要过度采集必须在隐私政策里明确告知用户并且遵循数据最小化原则。第二建立 IP 风险评分。对注册来源 IP 做信誉评估观察是否来自数据中心、云服务器、异常跳转节点。如果一个 IP 在短时间内注册了大量账号直接进入观察名单。第三维护临时邮箱和虚拟号码库。公开的临时邮箱域名库可以定期更新虚拟号码段也可以做黑名单。这一步不需要百分之百准确只要能增加攻击者获取邮箱和号码的成本。第四做注册频率限制。用 Redis 或类似的缓存服务对 IP、设备指纹、手机号三个维度做计数{ rule_name: register_frequency_limit, dimension: ip, window_seconds: 60, max_actions: 5, action: block }第五把风控规则做成可配置的。不要把规则写死在代码里最好是风控后台可以动态调整阈值。因为攻击者会不断调整策略固定规则很容易被绕过。注意设备指纹和 IP 风险评分只适合作为风险信号不适合作为直接判罚依据。误杀一个真实用户比放走十个假账号更让人头疼。4. 第二道防线资源下发时把账算清楚4.1 把免费额度从“立即到账”改成“阶梯释放”很多产品设计者会默认免费额度必须注册后马上到账否则用户体验不好。但其实对大多数需要调用模型才能完成核心任务的产品来说这个假设并不成立。更稳妥的做法是把免费额度拆成多个阶段释放。比如注册成功先给 3 个 token完成个人资料或首次任务后再给 5 个绑定支付方式后再给 12 个。这样做有三个好处攻击者需要做更多动作才能拿到全部额度单账号的获取成本提高。平台可以在用户完成动作的过程中继续收集行为信号判断是否属于真实意图。即使账号被攻破损失也被限制在一个小额范围内。阶梯释放不是刻意刁难用户而是让用户和平台建立一个“逐步信任”的关系。真正想试用产品的用户不介意多点一次按钮批量注册的脚本却会因此卡住。4.2 给模型和功能分级降低单次攻击收益另一个非常有效的策略是新用户默认只能调用低成本的模型或基础功能高成本模型需要达到一定使用门槛后才开放。例如新用户注册后可以用基础模型做文本生成但如果想调用图像生成模型需要先完成邮箱验证、手机号绑定甚至需要累积一定调用时长。攻击者为了获得免费的高成本模型调用权需要付出更多“真实行为”这会直接降低他们单账号的预期收益。同样的逻辑也适用于 API Key 的使用新生成的 API Key 默认有速率限制例如每分钟最多调用 10 次每天最多调用 200 次。之后再根据账户等级自动放开。{ model: gpt-4o, default_user_rate_limit: 10, default_user_daily_limit: 200, verified_user_rate_limit: 100, verified_user_daily_limit: 2000 }这样做的原理是把资源的获取成本从“注册一次”提高到“完成一系列可信动作”。对正常用户来说这是非常轻的负担但对批量攻击者来说每增加一个步骤都是在削减他们的利润空间。4.3 用配额和预算上限锁定整体损失即使做了前两步还是可能出现极端情况攻击者用一批高质量账号集中调用短时间内把高成本模型打爆。所以必须有配额和预算上限。我建议在三个层级分别设置单用户级日配额、月配额、并发数上限。账号关联级同一个设备指纹、同一个手机号、同一个支付账号下的所有账号共享额度防止一人多号套额度。项目级整个应用设置每日总预算达到预算后自动触发熔断停止发放免费额度或临时降级模型。项目级预算上限是最后的兜底。平时可能用不上一旦攻击者集中发力它能保证即使风控没有及时识别账单也不会失控。5. 第三道防线用监测和止损机制发现异常5.1 建立注册到消耗的漏斗监控攻击者会不断变化注册手法所以风控规则不能只靠静态配置。必须监控从“注册”到“真实消费”的整个漏斗并把异常指标作为警报触发源。我会重点关注这几个指标新注册用户数短期内是否激增。注册到激活的转化率是否是突然升高且接近 100%。激活到首次调用的时间是否集中在注册后 1 分钟内。单用户平均调用量分布是否大量账号集中在同一模型、同一 prompt。新用户次周留存是否趋近于 0。如果一个新批次账号的注册量很大、激活率很高但次周留存为 0并且历史调用模式高度雷同那基本可以确认是 fake signup。这个监控不需要很复杂用现有日志或简单的大屏就能完成。关键是建立基线先观察正常用户的漏斗数据是什么样再设置偏离基线一定倍数时报警。否则你很难区分偶发活动与系统攻击。5.2 黑市与转卖信号监控如果你提供的是一款有一定知名度的 AI 产品那么很有必要做“外部信号监控”。不要以为攻击都发生在自己平台内部很多损失是从转卖渠道扩散的。一种做法是在公开渠道定期监测与产品相关的关键词例如“免费 token”“低价 API”“共享额度”等内容。一旦发现线索可以尝试获取被出售的凭证样本然后回查属于哪个批次、哪个账号。更有针对性的是设置“蜜罐 token”。在正常发放的额度中故意生成一批带有唯一标识、但绑定到风控监控账号的 API Key。它们不会被正常用户看到但如果有人在使用说明这些 Key 已经在黑市流出。通过蜜罐 Key 的调用记录你可以追踪到使用者的 IP、请求参数、使用时间这比被动等待报警高效得多。蜜罐 Key 不是为了钓鱼普通用户而是为了在资源泄露发生第一时间定位链条。使用时要特别注意不要把它发给正常用户避免造成真实安全风险。5.3 止损操作路径当异常警报触发后不要直接对所有账号“一刀切”封禁。要先确认范围再分步处理。一个相对稳妥的止损顺序是冻结批量注册特征明显的账号阻止继续消耗资源。对可疑账号先降级降低并发、取消免费额度、限制调用高成本模型。要求高风险用户完成额外验证例如绑定真实手机号或支付方式。确认是攻击行为后封禁相关 API Key并将对应设备指纹和 IP 加入黑名单。保留攻击样本用于更新规则和后续追踪。这个顺序的核心是先止血再确诊最后做长期免疫。如果你一上来就大规模封号很容易把真实用户一起误伤尤其在用户增长期这会变成一场公关事故。6. 反欺诈的本质如何把门槛抬高到“利润消失”6.1 攻击者算的是利润账我们也要算成本账假注册的本质不是技术问题而是一个利润问题。攻击者之所以不断尝试是因为在某个时间窗口内注册一个账号的成本低于它能带来的收益。反欺诈工作本质上就是把这个收益成本比压低到 1 以下。怎么做两条路一是增加攻击者的成本。设备、IP、手机号、邮箱、时间每一个环节都要收钱或收时间。哪怕一项只增加几毛钱批量注册一万个账号的总成本也会变得不可接受。二是降低攻击者的收益。把免费额度变小、拆散、延后发放给高成本模型设置门槛限制 API Key 的调用能力让一个账号即使注册成功也拿不到足够有价值的资源。当这两件事同时做到攻击者会发现投入同样的精力去攻击其他平台可能收益更高。于是他们就会自动离开。这就是反欺诈最重要的目标不是把所有攻击者抓干净而是让你的平台变成一个“不划算的目标”。6.2 适合与不适合的边界这套三层防线的方法并不是所有场景都适用。我实际做过的项目里有的效果好有的效果一般。关键要看是否适合当前业务。如果你的产品是 AI API 平台、开放大模型能力、提供免费额度给开发者那这套体系非常值得搭建。因为这里 token 的兑现路径非常直接攻击者一天就能把免费额度变成收益。如果你的产品是一个纯内容型社区免费 token 只是内部积分不能用来调用高成本模型那就不需要上太复杂的设备指纹和黑市监控。做好注册频率限制和异常行为检测就够了过度风控反而影响转化。如果是小团队、刚起步的产品我建议先做最小集合邮箱校验、注册频率限制、配额阶梯释放、账单单日熔断。这四个就足够挡住大部分脚本攻击。设备指纹和蜜罐可以等用户规模上来以后再逐步加。6.3 真正的长期价值建立一套可以迭代的信任模型最后想分享一个更长视角的经验。反滥用不是一劳永逸的配置而是一种动态对抗。攻击者会观察你的规则然后调整策略所以风控系统必须能持续迭代。迭代的关键在于数据闭环。每一次攻击、每一次误杀、每一条外部情报都应该反向进入风险评分和规则库。你可以记录这些数据哪些规则命中后确认是攻击哪些规则误伤了好用户哪些账号在申诉成功后又恢复了正常行为。当你把这些历史数据沉淀下来你拥有的不再是一堆静态规则而是一个不断成长的信任模型。在这个模型里新用户并不是默认可信或默认可疑而是通过行为逐步获得资源和权限。这也正是“安全防护”和“产品体验”真正能统一起来的地方——你不再跟用户较劲而是在引导用户成为一个可信的参与者。免费 token 本身不是坏东西它是 AI 产品增长的重要杠杆。真正的风险来自“免费资源 弱验证 即时兑现”这三个条件的叠加。把其中一个条件打破攻击者的链条就会出现断裂把三个条件都控制住你才能让增长和风控同时成立。