读懂｜Railway 被盗密钥刷掉的 74 万美元该谁付？

Railway 被盗 AI 密钥刷出约 74 万美元。AWS、Google 已按欺诈政策退款，Anthropic 到 11 月 10 日仍在商谈，由 Railway 先垫。

Railway 用户的 AI 密钥被偷之后，盗刷出来的约 74 万美元，正按各家模型厂商自己的规矩分摊。到 11 月 10 日，Anthropic 还没给出退款方案。答案先放在这里：被攻破的 Railway 该为自己的漏洞付钱，Anthropic 不该向被偷的客户收这笔钱。

据 Railway Blog 11 月 10 日发布的事故报告，攻击者 10 月 20 日从构建系统逃逸，第二天解密了至多约 10 万个工作区的环境变量，查询时专挑 AI 厂商的密钥。Railway 称，这些密钥被转卖给中转站，用来做蒸馏。

六家厂商给出四种答复

Railway 在报告里逐家列出了退款进度。下表按它的原话整理：

同一场盗刷，客户能不能拿回钱，取决于密钥是哪家签发的。Railway 承诺，厂商不承担的那一份由它自己补。

据 The Hacker News 11 月 11 日的报道，Railway 在 10 月 26 日还对客户说，无法为被盗密钥产生的费用退款。报告没写 74 万美元怎么估出来、覆盖哪段时间，理赔也没设上限和期限。

Anthropic 商业服务条款第 D.5 条写明，客户对账户下的全部活动负责；第 H.1 条写明，客户对账户产生的费用负责。条款里没有为密钥被盗留出例外。

Claude Help Center 的密钥安全页说得更直白：API 密钥就像信用卡号，别人拿到并使用，就是代你产生费用。同一页还提醒，把密钥交给云平台或 CI/CD 平台，等于把账户访问权交给这家开发者。照这个说法，托管平台出事，算客户自己选错了人。

同一页列出的硬性消费上限，只对「定制速率限制」的组织开放；普通组织只能调自动充值的额度。挡住盗刷最直接的那道闸，Anthropic 只给了一部分客户。

Anthropic 2 月 23 日发文，指称三家实验室经转售访问的代理服务，用约 2.4 万个欺诈账户从 Claude 拿走 1,600 多万次对话。它称已建起识别蒸馏流量的分类器和行为指纹系统，并把这类行为定性为攻击。

Railway 描述的是同一类买家：被盗密钥流向中转站，用于蒸馏。Anthropic 有没有从这批密钥的调用里认出蒸馏流量，没有公开信息。分析推断，依据是上面这篇文章：它有工具、也有立场把这类调用当攻击处理，账单上却仍按客户的正常消费计。

有人会说，被攻破的是 Railway，漏洞出在它的构建隔离、OIDC 配置和放在机器上的解密凭据，让 Railway 担责才合理。

这一半我们接受，Railway 本就该赔，它也承诺了兜底。另一半我们不接受：AWS 和 Google 已经证明，用现成的欺诈政策退款并不难。

Railway 赔的是自己的漏洞，这笔账它认了。Anthropic 欠的是另一笔：它把蒸馏中转站称作攻击者，就不该向被这些人偷了密钥的客户收钱。

到 11 月 10 日仍由 Railway 替它垫付，是 Anthropic 在这场事故里最站不住的一处，该给受害客户退款方案的是 Anthropic 的客户团队，不是 Railway。