被盗账号刷出 8 万美元 AI 账单：主流厂商都不给硬性消费上限

MaverikSh · reddit · 2026-09-20

作者讲述一则案例：某人云账号被盗，攻击者新建项目绕开免费额度大规模跑图像生成，账单超过 8 万美元，厂商只「善意」减免一部分，用户仍需自付五位数。

作者的核心观点不是凭据被盗本身，而是：主流 AI 服务商几乎都不提供硬性消费上限。你只能设警报和软预算，一旦达到上限没有任何机制在请求层直接拦停——无论是恶意滥用还是自己的 agent 循环半夜失控（无退避的重试循环、40 轮 agent 链、重复批处理）都拦不住。「花费超阈值时提醒我」和「在请求发生前阻止它」是完全不同的保障，目前几乎所有厂商只提供前者。