Zilan Qian 是牛津中国政策实验室研究助理，拥有牛津大学互联网社会科学硕士学位。
2026 年 4 月 23 日，白宫发布一份备忘录，警告称中国实体正在针对美国前沿 AI 模型开展“工业规模”的蒸馏行动，并利用“数万个代理账号”规避检测。2026 年 2 月，Anthropic 也曾报告称，中国实验室通过“由单一代理网络管理的 2 万多个欺诈账号”发起了协调性的蒸馏攻击。两份文件都把“代理”——模型用户与模型提供商之间的中间人——视为少数中国前沿实验室有意设计出来、用于系统性抽取美国 AI 模型能力的工具。
无论中国实验室是否真的依赖蒸馏来“追赶”，这两份文件都误读了它们正在描述的代理经济。在少数实验室之下，存在一个大得多的市场，并且它一直公开运行在 GitHub、淘宝、Twitter 和 Telegram 上。这是一个 API 代理灰色经济，在中文语境里通常被称为“中转站”：它让中国开发者能够以低至官方价格 10% 的成本访问 Anthropic 的模型。参与者远不止少数经验丰富的 AI 研究人员，动机也远不只是构建前沿模型来追赶。任何想使用更先进 AI 模型或工具的人——大学教授和学生、科技从业者、独立开发者、爱好者——都会使用 API 代理。1 他们生成的日志可能已经变成一种商品，被交易用于从模型训练到定向诈骗等各种目的。
与此同时，美国前沿 AI 公司增加的每一层控制——地理封锁、手机验证、信用卡要求，如今还有实时生物识别 KYC——都催生出对应的一层规避基础设施。这些新的短信农场和生物信息采集业务，其影响已经超出地缘政治，延伸到前沿 AI 安全框架应如何设计的问题。
在我 2025 年发表于 ChinaTalk 的文章基础上，这次更新将焦点放在中转站经济本身：它如何组织、如何变现，以及它揭示了把访问封锁和账号监控作为 AI 治理工具的局限。和 2025 年的灰色市场不同，2026 年的故事并不止于中国用户与美国 AI 模型提供商之间的边界。中转站经济暴露出 AI 安全框架的盲区：这些框架本意是防止超越中美竞争的伤害，例如恶意行为者滥用、模型提供商可追踪性的削弱；与此同时，它还滋养了剥削普通人的犯罪市场，而这些普通人中许多人本就处于弱势，却被卷入供应链。
为了说明中转站如何运作，我们以 Anthropic 为例。它拥有最严格的地理封锁机制，同时其模型在中国开发者中也非常受欢迎。
地理封锁与了解你的客户（KYC）
在 Anthropic 支持国家的地图上，中国明显缺席；从技术上说，在中文互联网里 Anthropic 也同样缺席。但现实中，无论是 Anthropic 的封锁，还是中国的防火长城，都没有阻止中国用户访问 Claude 和 Claude Code。自 2025 年以来，尽管存在平台和政府层面的审查，Claude 模型仍在淘宝等电商应用上蓬勃发展；而人口少于纽约市的新加坡，在 2026 年 4 月“令人意外地”位居 Anthropic Claude 全球人均使用量第一。
如今，中国政府并没有特别强的动机去限制中国开发者访问先进的美国模型。相反，Anthropic 对此非常认真，设置了多层机制来阻止中国大陆用户。最基础的一层，是账号注册需要手机号、海外信用卡以及匹配的账单地址。2025 年 9 月 5 日，Anthropic 进一步禁止任何由总部位于中国等不支持地区的公司直接或间接持股超过 50% 的实体访问其服务，无论该实体实际在哪里运营。这堵上了一个子公司漏洞：此前，有中国背景的公司可以通过境外子公司继续保留 API 访问权限。
最近的一项措施发生在 2026 年 4 月。Anthropic 开始要求部分用户使用政府签发的带照片身份证件和实时自拍来验证身份，使 Claude 成为第一个实施这种级别身份检查的主流消费级 AI 平台。该措施是选择性推出的，会由特定使用场景或平台完整性风险信号触发。对于通过 VPN 或其他中介访问 Claude 的中国用户来说，新的 KYC 政策理论上会显著提高访问难度——即使中国用户可以伪造手机号和地址，他们理论上也很难伪造一张能与实体政府证件匹配的实时自拍。
但现实是，中国用户不仅能访问 Claude 和相关工具，大多数时候还可以用原价 10% 的价格购买 Token。魔法就在“中转站”里。
什么是“中转站”？
中转站是中国开发者生态对 API 代理的称呼：一台位于海外的服务器，夹在开发者与 Anthropic 基础设施之间。它接收 API 请求，以看起来来自中转站所在地的方式转发给 Anthropic，再把响应传回来。2 用户把自己的软件指向代理服务器，而不是 Anthropic 的服务器，并通过微信或支付宝用人民币向 API 代理付费。3 这样既绕过了直接访问所需的 VPN，也绕过了海外信用卡。知名中转站会被收录进社区仓库，并在榜单上按实时价格和可用性排名。在这些头部项目之下，还有一条更长的小型项目和个人项目长尾，不断出现又消失。
从功能上看，这套机制似乎与 OpenRouter 之类合法的西方 API 聚合商完全相同，但中转站运行在完全不同的法律与信任宇宙里。合法聚合商的存在，是为了简化开发者工作流，并基于透明的企业协议按标准费率收费。相反，中转站被明确构建用于规避限制，通过不受问责的中间人路由数据。
就像提供 VPN 服务或在淘宝上售卖 Claude 一样，中转站在中国严格来说并不被允许。根据中国 AI 服务备案制度，未经备案和安全评估提供 AI 服务属于违法。但正如一些小企业可以不做 AI 备案而不受惩罚，大多数中转站也一样。不过，生意越大，运营风险也越高。
中转站的供应链
中转站并不是一个单一实体。它位于一条分层供应链的中间，而其中大多数参与者彼此之间从不直接接触。
上游是资源提供者：批量注册或获取 Anthropic 账号的账号商；提供通过注册检查所需外国手机号的短信验证平台；以及在更技术化的一端，分析 Anthropic 客户端代码、寻找认证捷径或侦测检测逻辑变化的逆向工程人员。由卡商和代理网络组成的支付基础设施，也让中国境内的海外账单支付成为可能。
上游还会处理更复杂的 KYC 机制——可能用 AI，也可能用真人。AI 服务已经展示出生成高度逼真假身份证件的能力，足以绕过主流平台的身份验证；而深度伪造工具如今也允许犯罪分子创建数字克隆，远程通过生物识别验证。 即使防守方能够成功识别 AI 冒充真人，仍然存在一种更依赖人力的方法：代理人前往非洲或拉丁美洲的低收入国家，招募真实个人完成现场验证。4 Worldcoin 黑市已经提供了一个有记录的先例：从柬埔寨和肯尼亚的 KYC 商人那里采集虹膜扫描数据，并以低于 30 美元的价格出售。
位于中间的是中转站本身：一个接收用户请求的软件接口，会把这些请求转发给 Anthropic，看起来就像来自一个合法账号；一个支付集成（通常是支付宝或微信）；以及维持其运转的那些不那么光鲜的运营层工作——在账号被标记前轮换账号，在账号池之间做负载均衡，并持续适配 Anthropic 滥用检测机制的更新。
下游是客户：使用 Codex 或 Claude Code 的个人开发者；把内部工作流通过代理路由的企业；把 API 嵌入自己产品的应用开发者；以及从上游批发访问权限、再重新包装后在淘宝上卖给个人客户的二级经销商——正如我去年记录的那样。
几乎没有人运营完整链条。大多数参与者只掌握一两个环节，并把这些环节变现得很好，由此形成了一个有韧性、模块化的系统。AI 模型提供商可以封禁单个运营者，但上游账号池和下游客户基础仍然完好。只要仍有开发者想访问 Claude，也仍有身份黑市愿意提供凭据——而这两者都具有持久性——替代者就能很快搭起来。
一鱼三吃：如何把 Token 做便宜
最令人好奇的并不是如何在中国获得 Claude 或 Claude Code 的访问权限，而是如何以离谱的低价获得它——通常以“1 元人民币购买 1 美元 Token”的价格出售，比官方价格低 70% 到 90%。根据公开讨论，中转站至少有三种方式做到这一点，并且常被描述为“一鱼三吃”。
第一吃：访问权限加价。 这之所以可行，是因为上游资源提供者可以通过至少五种相对“无害”的策略叠加代理资源：
批量注册 API 账号，薅 Anthropic 的 5 美元免费额度
转售他人账号中未使用的额度
公司/教育折扣套利
“APImaxxing”——把一个 200 美元的 Max 方案按每小时 Token 配额拆给多个用户使用，利用 Anthropic 固定订阅价格与等价按量 API 访问成本之间的巨大差距
除此之外，还有一种更黑暗的上游输入：使用被盗或欺诈信用卡购买的账号。这类账号进入代理池时，对运营者来说成本几乎为零。相比上述四种“无害”策略，这一部分占比多大很难验证，但两个市场很可能共享部分基础设施和人员。
第二吃：偷换模型与夸大 Token。 由于用户的输入和模型输出都通过代理中转，用户无法验证自己的请求实际被路由到了哪个模型。用户选择 Opus 4.7，但代理可以悄悄路由到 Sonnet、Haiku，甚至在最糟糕的情况下路由到 GLM 或 Qwen，再欺诈性地重新贴上标签。德国 CISPA 亥姆霍兹信息安全中心最近的一篇论文（其中引用了我去年关于灰色市场的文章！）审计了 17 个 API 代理，发现模型偷换现象广泛存在：通过 API 代理访问“Gemini-2.5”时，在一个医学基准上的成绩只有 37.00%，而官方 API 的表现高达 83.82%，差距惊人。对用户来说，只有在复杂任务中，输出感觉不对劲时才会露出端倪——中文社区常称之为“降智”——但没有干净的方法可以证明这一点。大量公开记录都强调了对某些 API 代理模型性能明显受损的担忧。这些代理被怀疑通过用低阶模型替换高端前沿模型来“掺水”。
除了偷换模型，过度消耗 Token 也能让每 Token 单价显得更便宜，代价是总成本上升。其中一部分是结构性的：频繁轮换账号的代理会破坏缓存连续性，迫使用户为本来几乎免费的上下文支付全价 Token。另一部分则可能是代理提供商为了榨取更多用量而有意为之。从外部很难划清二者边界。
第三吃：日志才是产品。 这或许是最重要的一部分，因为它与数据隐私和蒸馏相交。每一个经过代理的请求——完整提示词、完整响应、工具调用、迭代过程——都停留在代理运营者的服务器上。对于 AI 编程 Agent 来说，这些日志包含长推理链、真实工程决策、代码仓库上下文，以及由人类验证过的正确输出。这使它们成为非常理想的后训练数据集：可以用于真实工程任务的监督微调；在捕获完整推理轨迹时，也可以用来把 Claude 的推理模式蒸馏到更小的模型中。中国开发者社区声称这至少在一些案例中正在发生，但代理运营者是否在系统性收集和出售这些日志、以及出售给谁，仍未得到证实。不过，下游蒸馏数据确实已经存在于公开网络上。HuggingFace 上流通着多个Claude Opus 4.6 推理输出数据集，其输出来源并不清晰。理论上，人们可以清洗并出售类似的蒸馏数据集给中国的其他模型开发者。
前两吃有助于提供比 Anthropic 官方价格更低的便宜 Token，但如果真要把价格压到离谱程度——官方价格的 10%，甚至 5%——就必须吃第三吃。而中国有句话说，天下没有免费的午餐。几位中国开发者透露，加价业务只是获客，日志收割才是真正利润。用户同时是付费客户和无偿数据生产者，用自己的私人数据换取低价，把数据卖给代理运营者。也有人警告，代理泄露用户数据后，可能被用于推广、诈骗，甚至勒索。为了避免隐私风险，一些中国开发者也搭建了自己的 Claude Code API 代理，并开源了相关指南。
“了解你的客户”不了解什么
AI 使用正在逐步从聊天机器人转向工具调用。随着 Agent 和 Token 经济兴起，使用美国模型的问题不再只是能否访问，也延伸到成本效率。这是因为中国 AI 生态无论是前沿实验室、大学研究团队、独立开发者还是爱好者，都面临资本稀缺。与此同时，用户通过中转站生成的数据显然已经进入下游市场，被不同程度地用于模型训练、数据中介或诈骗。只要蒸馏是这个经济的一部分，问题就远远超出了美国政府或 AI 公司所设想的少数前沿行为者。
历史告诉我们，访问封锁很少能阻止有决心的用户。它们提高访问成本，而这反过来为任何有能力降低成本的人创造了有利可图的市场。防火长城让 VPN 服务在中国变成繁荣的小产业。KYC 要求催生了身份造假经济，从国内身份证转售商，到东南亚或非洲的生物信息采集业务。前沿 AI 公司一层又一层的控制——地理封锁、手机验证、信用卡要求，如今还有实时生物识别检查——产生了同样的效果。
不过，这个故事超出了“Anthropic/美国 对 中国”的框架。它指向一个关于访问控制的令人不安的事实，无论这种控制是地缘政治边界，还是其他边界。一个被地理封锁的开发者绕过控制的方式，在结构上与恐怖分子访问前沿 AI 模型、并在不被追踪的情况下制造毁灭性生物武器所可能采用的方法相同。访问问题既是独特的地缘政治考量，也是共同的安全关切。
今天，AI安全研究把系统级访问控制——尤其是针对公开可访问闭源模型的检测、监控和账号封禁——视为重要防护措施。在监控方面，开发者控制推理基础设施，包括实时标记有害输入和输出。KYC 等检测要求假设提供商可以将行为归因到可识别的行为者；账号封禁同样假设，封禁一个账号能够有效拒绝访问。然而，对通过中转站路由的中国用户来说，美国模型提供商并不控制推理——代理运营者才控制。当一个有害请求到达时，AI 模型提供商看到的不是真实用户的 IP，而是代理的 IP。当一个账号被封禁，上游供应链也可以在数小时内轻易搭建新的代理。
对于更复杂的监控工具来说，问题还会叠加。Anthropic 的 Clio 系统部分用于检测在单个对话层面不可见的协调性滥用，它通过识别跨账号和跨对话的模式工作。例如，它曾识别出一个自动化账号网络，这些账号使用相似提示结构生成搜索引擎垃圾内容，并随后将其封禁。但由于请求通过代理路由，封禁并不能真正阻止底层行为。对于经过刻意分段的攻击——例如把一个有害询问拆成多个阶段和多个代理账号，每个请求单独看都无害——跨账号模式比协调垃圾内容更难看见，后者的信号本来就更明显。
最后，中转站并不只体现传统的攻防范式——无论这种攻防发生在美国 AI 公司与中国用户之间，还是 AI 防护措施与恶意行为者之间。黑市有自己的供应链，也有自己的剥削逻辑，它产生的伤害远远超出最初的访问问题。今天为了绕过 Anthropic 系统而被采集用于代理 KYC 验证的人脸，明天可以被转售用于开设欺诈性金融账户、伪造就业记录或生成深度伪造内容，而最初提供人脸的全球南方个体则要承担法律和声誉后果。路由 Claude 请求的同一套基础设施，也可以通过模型替换欺诈用户，基于泄露的提示词数据进行定向诈骗或勒索。维持代理池库存的账号农场——批量短信验证、欺诈注册、盗刷账号——也会滋养更广泛的犯罪市场，包括骚扰电话、钓鱼短信、欺诈贷款申请和信用卡诈骗。许多伤害与 AI 或地缘政治都没有关系。
但现在，灰色市场的每一种副产品——从恐怖分子可能利用 AI 合成下一场大流行的潜在危险，到现实生活中的剥削与犯罪——都已经连成一体。无论防火长城或 AI 地理封锁多么想按照国家边界划分谁能访问前沿技术，灰色市场都揭示出：伤害并不能被这样分割。
致谢：
Zilan 感谢 Alan Chan、Gabriel Wagner、Karuna Nandkumar 和 Kayla Blomquist 提供的有益反馈。
作者承认在初步案头研究、技术概念澄清和文字编辑中使用了 LLM；事实上，她也非常感谢自己仍然可以在中国大陆通过新加坡节点使用 VPN 访问 Claude，而没有触发 KYC 流程。
ChinaTalk 是一份由读者支持的出版物。若想接收新文章并支持我们的工作，欢迎成为免费或付费订阅者。
订阅
画像来自非正式交流。
应用程序编程接口（API）是让开发者将自己的软件直接接入 AI 模型的通道——通过程序向 Anthropic 的服务器发送请求并接收响应，而不是通过浏览器交互。
具体来说，是把 ANTHROPIC_BASE_URL 环境变量替换为代理地址。
来自非正式交流和案头研究。