中国灰色市场低价售卖Claude代币产业链调查

中国开发者正在绕过 Anthropic 严格的访问限制，通过所谓的"中转站"以大约官方价格十分之一的代价购买 AI 模型 Claude 的 token。

这些 API 代理通过境外服务器路由请求。运营商通过利用免费额度以及暗中将昂贵的模型替换为更便宜的替代品来压低价格。

据牛津中国政策实验室研究员钱子兰（Zilan Qian）的分析，这个模块化的供应链不仅破坏了地理封锁，还削弱了 Anthropic 监控滥用的能力，并可能为身份和支付欺诈相关的犯罪市场提供燃料。

尽管有地理封锁、信用卡检查，甚至对某些用户还有生物特征验证，Anthropic 的 AI 模型在中国仍有一个繁荣的灰色市场。所谓的"中转站"正在破坏访问限制以及对 AI 安全的基本假设。

Anthropic 在中国方面运行着可能是所有主要 AI 提供商中最严格的访问控制。该公司会检查电话号码、外国信用卡和账单地址。它禁止由位于中国等不支持地区的实体直接或间接持有超过 50% 股份的公司。对于特定用户，它甚至要求用实时自拍进行身份验证。然而，据牛津中国政策实验室研究员钱子兰发表的详细分析（通过 ChinaTalk 发布），中国开发者仍然可以以大约官方价格 10% 的代价购买 Claude token。

"中转站"给开发者提供了后门

诀窍在于中国开发者社区所说的"中转站"，即托管在境外服务器上的 API 代理。它们接收 API 请求，伪装成来自合法地点转发出去，并将响应中继回来。用户通过微信或支付宝用人民币支付。无需 VPN，无需外国信用卡。热门中转站在社区目录中有列出，并按价格和可用性排名。

据钱所述，客户可能包括希望蒸馏西方模型的中国 AI 实验室——即通过学习更强模型的输出来更快地提升自己较弱模型。

但用户群远不止于此。学生、研究人员、开发者、科技从业者、公司、应用开发者和业余爱好者都在使用这些服务。钱认为，这些主要在美国被当作安全问题讨论的代理网络，实际上是中国 Claude 访问市场一个更广泛商业市场的一部分。

难以关闭的模块化供应链

钱的分析将中转站描述为模块化供应链中间的其中一个参与者。在上游，账户经纪人批量注册 Anthropic 账户，短信验证平台提供外国电话号码逆向工程师研究 Anthropic 的检测方法。在下游，开发者、公司和转售商在淘宝等中国电商平台上营销访问服务。

大多数参与者只运行供应链中的一到两个环节，这让系统具有韧性。当一个提供商被封禁时，上游账户池和下游客户保持完整。几个小时之内就能启动一个替代者。

据钱所述，即使 Anthropic 较新的 KYC 风格身份检查（要求特定用户用身份证和实时自拍验证身份）也已经有变通方案和专用基础设施。AI 服务可以生成逼真的假身份证，而深度伪造技术正被用于击败生物特征检查。在这些不足的地方，低收入国家的真人有时会被招募来参与这些 KYC 市场的验证工作。她指出，这些说法部分基于非正式对话和公开来源。作为先例，她指向 Worldcoin 的黑市——其身份系统通过虹膜扫描验证用户。据钱所述，柬埔寨和肯尼亚的扫描结果以低于 30 美元的价格交易。

卖家如何将价格压到比标价低 70% 到 90%

运营商通过多种方法压低价格。他们薅 Anthropic 的 5 美元免费额度，利用企业和教育折扣，或者通过 token 配额将单个 200 美元的 Max 计划分拆给多个用户。用被盗或欺诈使用的信用卡资助的账户也可能流入这些池子，尽管分析无法确定它们占比多大。

模型替换增加了另一层。由于代理位于用户和 Anthropic 之间，它可以悄悄地将本来发给 Opus 4.7 的请求重新路由到更便宜的 Sonnet，甚至是中国模型如 Qwen。据钱所述，德国 CISPA 信息安全亥姆霍兹中心的研究人员检查了 17 个 API 代理，发现了广泛的模型替换。一个所谓的"Gemini-2.5"端点在医学基准测试中仅得分 37%，而官方成绩是 83.82%。中国社区称这种做法为"掺水"。

据钱所述，最大的杠杆可能是将使用数据变现。每一个通过代理的请求，其运营商都可能看到，包括提示词、响应、工具调用和迭代。编码代理可以暴露更多来自代码库和工作流的上下文。这些日志可能包含有价值的训练或蒸馏数据。

带有 Claude Opus 4.6 推理输出且来源不明的数据集已在 HuggingFace 上流通。据该分析，中国开发者警告说，token 业务只是获客手段，真正的利润在日志里。钱强调，目前没有证据表明中转站运营商在系统性地收集和出售这些数据，或买家是谁。她的论点是，极低的价格可能通过日志的额外变现变得可行。在那种情况下，用户既是付费客户同时又是无偿的数据生产者。

访问限制创造了它们本应阻止的市场

钱的结论是，影响远超出美中科技竞争。一个地理封锁的开发者用来获取访问的方法与不良行为者用来在不被追踪的情况下访问前沿模型的方法在结构上是相同的。当请求通过代理时，Anthropic 最初看到的是代理的账户和 IP 地址，而不是实际最终用户。这也可能削弱 Clio 等监控系统——这些系统旨在检测跨账户和对话的协调滥用模式，尤其是在活动分散在许多代理账户中并被拆分为单独看起来不起眼的子请求时。

该分析认为，这种规避基础设施也为 AI 以外的犯罪市场提供了燃料。为 KYC 变通方案收集的生物特征数据可以转售用于金融欺诈或深度伪造。账户养殖业务支持垃圾邮件、网络钓鱼和信用卡欺诈。钱指出，访问限制历来会创造有利可图的规避市场，从防火墙到今天的中转站。

Anthropic、OpenAI 和 Google 已就蒸馏问题斗争数月

这个灰色市场基础设施损害了 Anthropic 的业务，因为它已被中国 AI 公司用于大规模蒸馏攻击。Anthropic、OpenAI 和 Google 最近开始合作打击中国竞争对手的未经授权模型复制。

Anthropic 此前已发现 Deepseek、Moonshot 和 MiniMax 的大规模蒸馏攻击，其中超过 24,000 个假账户产生了超过 1,600 万次请求。该公司切断了向中国控制公司的服务并关闭了子公司漏洞。阿里巴巴在发现隐藏代码可以识别中国用户后，禁止其员工使用 Claude Code。

但业界对蒸馏是否真的是问题存在分歧。整个行业的声音已开始将其定性为正常的商业行为，背后的推动力是加强开源模型的利益。马克·扎克伯格称，从任何可观察的东西学习——包括蒸馏竞争模型——是一项值得保护的原则。2026 年 7 月底，包括 Nvidia、Microsoft 和 Meta 在内的 25 家公司警告不要对蒸馏进行过早限制。

这种反弹使得美国政府不太可能仅因蒸馏问题进行监管，尽管它可能出于网络安全原因或只是为了拖慢中国而采取行动。目前，AI 实验室只能依靠自己并执行自己的服务条款。但正如钱的报告所示，它们的安全措施还不够好，可以通过确实违法但仍能交付蒸馏数据的方法被击败。

---