近來「龍蝦」OpenClaw AI 代理大熱，吸引了不少用家和機構嘗試部署，從個人助理到企業自動化皆有。既然有 AI 代理，就要有 LLM（大型語言模型）配合操作。但近日就有國外開發者的 Google Gemini API Key 被盜，引發了 LLM 應用的極大安全疑慮。
在 LLM 層面上，雖然 OpenAI 等服務可透過 OAuth 認證連結訂閱帳號，但因用量具上限，用完後便需等待重置才能繼續用。不少人為確保「龍蝦」等用途能夠 24×7 穩定運作，便轉用 API Key 授權方式，通常採先使用後付費（Pay-as-you-go）。雖然 API 設定簡單靈活，但潛在風險卻遠高於預期，一旦 API Key 外洩，黑客或能無上限地調用資源，產生權限濫用及用量超支等問題。
國外 Reddit 討論區開發者 RatonVaquero，早前揭露其 Google Gemini AI 服務帳戶遭盜用的事件。原本其每月僅約 180 美元（約港幣 $1,404）的開支，竟在短短 48 小時內瘋狂飆升至 $82,314.44 美元（約港元 $642,052），據報原因是其 Gemini API Key 疑似在 GitHub 或前端程式碼中洩露，被黑客用於大規模生成請求。而在發現事件後，RatonVaquero 亦立即行動，刪除被盜的 API Key、停用 Gemini API、重設憑證、開啟雙重驗證（2FA）、調整身分與存取管理權限（Identity and Access Management, IAM）等。
RatonVaquero 表示，若 Google 拒絕免除這筆巨額費用，其 3 人小公司或將面臨破產倒閉。然而，Google 代表初步回覆令 RatonVaquero 心碎，他們傾向引用雲端服務中所謂「共同責任模型」（Shared Responsibility Model）理據。簡單而言，Google 只負責基礎設施安全，而客戶有責任妥善保護自己的 API Key 及網絡安全，言下之意似乎不會因此豁免用戶這種「無妄之災」的費用。
RatonVaquero 則指 Google 竟沒有為這種「災難性異常用量」設置人手審核，也沒有針對每組 API 設自動消費上限，適當維護客戶利益。據悉 RatonVaquero 將再次與 Google 商討，並已向 FBI 舉報網絡罪行。目前 RatonVaquero 希望 Google 能讓其公司以「善意信用額」（goodwill credits）原則提供減免或豁免。但事件具一定警惕性，未來其他用戶使用 LLM 等雲端服務時，也要特別留意安全問題。
