30 个租户、6 家转售商，和一折的 Claude
海外媒体调查发现，北京一栋普通写字楼里约 30 个租户有 6 家在转售 Claude 的访问权；本篇拆开这门生意「一折」价格的三个来源，核对中美两侧各自的管制文本与执法先例，并说明为什么普通用户与蒸馏攻击走的是同一条管子。
北京时间 10 月 2 日晚 9 时，The Information 发出一篇独家：《中国的词元转售商如何造出一个 Anthropic 灰市》。1
导语给了一个具体到楼层的画面。在北京海淀——高校和科技公司扎堆的地方——一栋再普通不过的写字楼里，大约 30 个租户中有 6 家在做同一门生意，据楼里一位租户说：卖给中国客户 Anthropic 的 Claude 以及其他美国公司的模型。1
这件事本不该发生。出于国家安全考虑，Anthropic 不在中国提供服务；但中国对 Claude 词元的需求高得离谱。1
同一段导语还补了一句：在指控中国 AI 实验室窃取其模型能力这件事上，Anthropic 是同行里嗓门最大的一个，它把这类行为称为「工业规模的、隐蔽的行动」，靠伪造或盗用的账号、信用卡与身份运作。1
一栋写字楼里六家公司做同一个生意，这个细节比任何数字都更说明问题。1
本篇能读到的只有导语两段，正文在订阅墙后。1
下面要回答的问题，因此改用可点开的一手材料搭出来：当这门生意的报价单公开挂在网上、一栋写字楼里六家公司在做同一件事，封禁封住的到底是什么？
01 六家公司，一门写在租约里的生意
先看需求这一头的量级。
国家数据局的口径里，全国日均词元调用量 2025 年初还是万亿级，2025 年末到了 100 万亿，2026 年 3 月突破 140 万亿。2
需求不缺。缺的是一条被允许的通道。
Anthropic 的支持国家与地区列表里没有中国。3
它的官方价目表上，旗舰模型 Opus 5.5 每百万 token 输入 4 美元、输出 20 美元。4
而在中转站里，行情通常被说成「1 元人民币当 1 美元额度用」，也就是比官方价低 70% 到 90%。5
用的人远比「几个 AI 实验室」要杂。按牛津中国政策实验室研究员 Zilan Qian 今年 5 月那份研究的描述，从大学教授、学生、科技公司员工、独立开发者，到把接口嵌进自己产品的小公司，都在这个市场里；中转站本身也是公开挂出来的，GitHub、淘宝和 Telegram 上都能找到，社区还会按实时价格和在线率给它们排名。5
这种绕行有一个更直观的旁证。2026 年 4 月，新加坡的人均 Claude 使用量排到了全球第一——一个比纽约市人口还少的地方。中国开发者在社交平台上开玩笑说：「我们时不时都是新加坡人。」5
访问管制也很少真的拦住有心的人：它抬高的是访问成本，而省下来的这部分价差，最后会落到那些懂得把这个成本降下来的人手里。防火墙养出过 VPN 生意，实名验证养出过身份伪造生意——多一层封锁，就多一层绕行基础设施。5
「中转站」这个词不是外人的叫法。
Anthropic 自己 2026 年 9 月的威胁情报报告里就是这么写的：「这些实验室通常通过代理服务——也就是所谓『中转站』——路由请求来访问 Anthropic 的模型。」6
美国网络安全和基础设施安全局、国家安全局与联邦调查局 2026 年 9 月 8 日的联合公告写得更直接：中国实体「通过一个庞大的 API 代理——即『中转站』——灰市，同时绕开中国与美国的 AI 访问管控；这些中转站以官方价格的一小部分转售前沿模型的访问权」。7
两边的官方文本都用同一个词，说明这件事的形状已经不是一次攻击，而是一条渠道。
02 两道墙，砌墙的人想拦的不是同一件事
美国这一侧，一年里砌了四层，一层比一层往里。
第一层是地区封锁：不支持地区的用户不能使用其服务。3
第二层是注册门槛：海外手机号、境外信用卡，以及与账单匹配的地址信息。5
第三层出现在 2025 年 9 月 4 日，管的不再是注册地，而是控制权：凡是「由总部位于不支持地区的公司直接或间接持股超过 50%」的实体，无论在哪里经营，一并禁止。8
第四层出现在 2026 年：部分用户被要求出示政府签发的带照片证件实物，并用手机拍一张实时自拍；证件与自拍由第三方 Persona 保存，不进 Anthropic 的系统。9
第五层是 2026 年 7 月被逆向出来的，本不打算让人看见。开发者发现 Claude Code 会读取环境变量 ANTHROPIC_BASE_URL，检查设备时区是不是 Asia/Shanghai 或 Asia/Urumqi，再把代理域名与一份清单比对；这些判断被用肉眼难辨的 Unicode 字符编进发回服务器的系统提示词里。10
Claude Code 团队的工程师 Thariq Shihipar 随后在社交平台上回应，说这是 3 月上线的一个实验，目的是防止未授权转售商的账号滥用、防范蒸馏，团队「其实早就有意把它撤下」。10
中国这一侧，动作的性质完全不同。
国家安全部在 2026 年 4 月和 6 月两次发文提示风险。6 月 8 日那篇给「AI 中转站」下了定义：「介于用户和 AI 模型厂商官方服务之间的代理层。」11
同一篇点出四类风险：把用户提交的数据留存下来，有的中转站还私自截留、倒卖给其他大模型厂商；用低配模型冒充高端模型、关闭校验功能；暗藏后门，向用户设备植入恶意代码窃取账号密钥与云端凭证；以及未取得数据出境合规资质，擅自把用户输入传到境外服务器。11
更早一次是 2026 年 4 月 7 日，讲的是「词元」热本身：词元可能被跨站脚本攻击或公共 Wi-Fi 嗅探窃取，也可能被伪造篡改；用低价词元套餐、囤词元暴富做噱头的骗局层出不穷，其中「场外交易赚差价」被点名为涉嫌非法金融活动，还可能被境外间谍情报机关用于数据窃取与资金渗透。12
执法也动了。2026 年 9 月 15 日，国家网信办公布的执法典型案例里，第十起是一家江苏公司：它运营的两个网站以「API 中转站」方式调用多个大模型产品接口、提供对话问答服务，没有按规定开展安全评估；处理结果是责令改正、从严处理责任人、警告处罚。13
依据的条文是《生成式人工智能服务管理暂行办法》。这部办法第 22 条把「通过提供可编程接口等方式提供生成式人工智能服务」的组织与个人也划进了「服务提供者」；第 17 条则要求具有舆论属性或者社会动员能力的服务，按国家有关规定开展安全评估。14
中国监管的另一半抓手在数据出境。《促进和规范数据跨境流动规定》把门槛分成三档：当年累计向境外提供不满 10 万人个人信息的，免予申报；10 万人以上、不满 100 万人，或者不满 1 万人敏感个人信息的，应当订立标准合同或者通过保护认证；100 万人以上，或者 1 万人以上敏感个人信息的，必须申报安全评估。15
而无论是美国的封禁还是中国的备案要求，都只能落在具体的一个人或一家公司身上。问题在于，中转站本身就不是一家公司——它坐在一条分工很细的链上，参与者大多彼此不认识。
上游是资源方：批量注册账号的号商，提供海外手机号的接码平台，研究 Anthropic 客户端代码、找出认证捷径或检测变化的逆向者，以及处理境外支付的卡商与代理网络。5
身份验证这一层也被拆开来解决。伪造证件可以交给 AI 生成，绕开生物识别可以交给深度伪造；实在不行，还有人去低收入国家雇真人，在线下完成验证。研究者给出的先例是 Worldcoin 的虹膜数据黑市——从柬埔寨和肯尼亚收来的扫描件，一份卖不到 30 美元。5
对模型厂商来说难对付的正是这种分工：绝大多数参与者只做其中一两环，所以封掉一个运营方，上游的号池和下游的客户都还在，几小时内就能再搭一个。Anthropic 给这种结构起的名字是「九头蛇集群」——一个账号被封，新的立刻补位。16
美国这堵墙管的是「谁可以买」，中国这堵墙管的是「数据去了哪」；两边拦的不是同一件事，被夹住的却是同一批人。
03 一折是怎么算出来的
省下来的钱不会凭空出现。公开研究把它拆成三笔收入。
第一笔是采购套利。
批量注册账号，薅官方那 5 美元免费额度；转卖别人用不完的配额；吃企业版和教育版的折扣；还有一种被社区叫作「APImaxxing」的做法——把一份每月 200 美元的 Max 套餐，按每小时 token 配额切给多个用户。517
再往下还有更暗的一层：用被盗或者欺诈信用卡买来的账号，进入号池的成本趋近于零。这部分占多大比例，研究者自己也说无法确定。5
第二笔是换模型。
请求既然要经过代理，用户就没有办法验证自己买到的到底是哪一个模型。你选 Opus，代理可以悄无声息地路由到更便宜的 Sonnet 或 Haiku，最坏的情况下换成 GLM 或 Qwen，再把输出贴上原来的标签。5
这件事有学术证据。2026 年 3 月上传、已被 ACM CCS 2026 接收的论文《真钱，假模型》，审计了 17 个被 187 篇学术论文使用过的「影子 API」。在最能说明问题的医学基准 MedQA 上，Gemini-2.5-flash 经官方 API 的准确率是 83.82%，而这些代理接口的平均成绩掉到 36.95%；指纹校验中，45.83% 的接口没能通过身份验证。18
同一篇论文里还有一句很少有人注意到的话：到写作时，17 家提供方中已有 4 家停止运营。18
第三笔是数据。
每一个穿过代理的请求——完整的提示词、完整的回复、工具调用、多轮迭代——都留在了代理运营方的服务器上。对写代码的智能体来说，这些日志里包含长的推理链、真实的工程决策、代码库上下文，以及已经被人工验证过的正确答案。5
Hugging Face 上就能看到痕迹：一个由 Claude Opus 4.6 生成的推理数据集，自述「包含蒸馏出的推理轨迹」；另一个 8,706 条的数据集，作者写明这些额度是在一份 Claude Max 套餐上「烧掉」的。1920
还有一笔成本更隐蔽。号池要不停轮换账号，而账号一换，提示词缓存就断了；用户本来几乎不用为重复的上下文付钱，现在得按全价重新烧一遍。这属于结构性的损耗，还是运营方的有意为之，从外面分不出来。5
中国开发者社区里流传的一句话是：拉客是幌子，日志才是利润。5
而 Anthropic 自己的报告，把这条链的两头接上了。它在 2026 年 2 月的公告里写道，一个单一的代理网络曾同时管理超过 20,000 个欺诈账号，「把蒸馏流量与无关的客户请求混在一起，以增加检测难度」。16
被代理转走的请求，量级有多大，Anthropic 在同一份 9 月报告里逐个给了数字：阿里巴巴的操作在 2026 年 5 月到 7 月产生逾 1.51 亿次交互，峰值时每天近 300 万次，涉及 3,500 多个欺诈账号；月之暗面在同期逾 2,300 万次；DeepSeek 在 7 月的 14 天里逾 1,210 万次。6
其中最能说明这个市场形状的一例是 MiniMax。报告称它通过一家壳公司自建了代理网络服务，而这个服务只提供 Anthropic 与 OpenAI 的模型——不提供任何中国模型，包括 MiniMax 自家的。6
CISA 在 9 月的联合公告里，把这件事从商业问题升格成了国家安全问题，并补了一个 Anthropic 没写的细节：这些代理网络是跨供应商运作的。公告的原话是，行业披露记录显示，代理网络同时管理着数以万计的欺诈账号，把蒸馏与无关的客户请求混在一起、跨多家供应商进行。7
Anthropic 的公告和 CISA 的公告说的是同一件事：零售客户和蒸馏攻击走在同一条管子上；一个只想便宜用 Claude 的开发者，交出去的不只是钱。
04 代价落在哪一层
先看使用者。
国家安全部 6 月那篇文章列出的四类风险，几乎每一条都由使用者承担：数据被留存和倒卖、模型被换成低配、设备被植入后门、输入被传到境外。11
再看经营者。
网上流传的一份署名他的关停声明称自己「肯定会被判刑」，已经退赔退赃。21
这份声明的成色需要说清楚：现存文本最早只能追溯到聊天记录截图，没有本人可核验的发布页；而且它自述的是「行政拘留 37 天」，行政拘留的合并执行上限是 20 日，与 37 天对不上，媒体统一使用的说法则是刑事拘留。21
到 10 月 2 日为止，这件事没有官方通报，也没有起诉或判决的公开记录，公开可见的状态停在强制措施与侦查。22
经营这一行的门槛也在变。据《中国经营报》的报道，到 2026 年 7 月，上游渠道商开始对想成为下游代理的申请者做资质审查，没有 ICP 备案就不下放权限。22
美国那一侧的处置则够不到人。出口管制条文管的是物项和它的出境动作，账号、订阅和一次 API 调用都不是物项；能落地的动作是封号、加验证，以及把证据交给政策制定者——Anthropic 2026 年 6 月就曾致信美国参议院银行委员会，称阿里巴巴在 4 月 22 日至 6 月 5 日之间通过近 25,000 个欺诈账号产生了逾 2,880 万次交互——这个窗口与 9 月报告里的 5 月至 7 月部分重叠，两处的账号口径也不同。23
美国行政分支给出的规模估计写在另一份文件里。白宫科技政策办公室 2026 年 4 月 23 日的备忘录称：主要位于中国的外国实体正在对美国前沿 AI 系统开展「蓄意的、工业规模的」蒸馏行动，「利用数以万计的代理账号逃避检测」。24
这条线也不只在中国。
俄罗斯的交易平台上，Claude 的订阅与词元被公开挂出来卖，分「带登录」和「不带登录」两种卖法。25
Anthropic 自己的报告里就有一个俄语与乌克兰语的团伙，代号 GTG-50021：他们经营「廉价 Claude 访问」的欺诈转售，结果「既不便宜，也并非真的是 Claude」——流量被静默转走，注册者的凭据被窃取再转卖。6
这门生意里没有被保护的一方：买家拿到的是无法验证的东西，卖家的名字写不进任何一份合规文件。
05 这条新闻真正的含义
回到那栋写字楼。
六家公司挤在同一栋楼里，说明「有没有号」已经不是区分他们的东西——上游的号池是共用的；他们比的是价格、是稳定，是谁更不容易被封。1
这个判断能从两边得到印证。
把两边放在一起，能看到一条很朴素的规律：封锁不会消灭需求，只会给中间商定价。价差有多大，这一层人就有多厚。
还有一层后果与中美都无关。请求经过代理时，模型厂商看到的是代理的账号和 IP，不是真正在提问的那个人。Anthropic 有一套叫 Clio 的系统，靠跨账号、跨对话的行为模式识别有组织的滥用；当流量被打散到许多代理账号、每一次子请求单看都很平常时，这种识别就失效了。5
换句话说，一个被地理封锁的开发者和一个想让自己的行为不被追溯的人，走的是同一条路。5
把三条路并排放，差别是能说清楚的。走官方渠道，是拿价格换确定性——服务条款、发票、数据流向都有据可查；走像 OpenRouter 那样按标准价、按企业协议转售的聚合平台，是拿价格换一层透明的转售关系；走中转站，是拿确定性换价格，而换出去的那部分确定性，写在提示词和代码里。511
管住「谁能买」不会改变「谁在用」；只要价差还在，那一层人就还会在，至多是换一个门牌号。
还有几处是本文没能补上的。
海淀那栋楼里六家公司的名字、它们各自的规模与做法，都无法核对。1
经过代理的流量占 Claude 全部 API 流量的多大比例，公开材料里没有数字；被收集的日志最终卖给了谁，研究者的结论也是「尚未证实」。5
References
- 1
- 2新华社：我国日均词元调用量超140万亿
news.cn
- 3Anthropic：Supported countries and regions
anthropic.com
- 4Anthropic：Pricing
anthropic.com
- 5Zilan Qian／ChinaTalk：How to Buy Cheap Claude Tokens in China
chinatalk.media
- 6
- 7
- 8
- 9Anthropic 支持页：Identity verification on Claude
support.claude.com
- 10
- 11国家安全部：「AI中转站」，风险要防范
news.cn
- 12国家安全部：「词元」这么火，该注意点啥？
secrss.com
- 13
- 14《生成式人工智能服务管理暂行办法》
cac.gov.cn
- 15《促进和规范数据跨境流动规定》
cac.gov.cn
- 16
- 17Anthropic 支持页：What is the Max plan?
support.claude.com
- 18
- 19Hugging Face：TeichAI/Claude-Opus-4.6-Reasoning-887x
huggingface.co
- 20
- 21中国新闻周刊：AI中转站，面临整治「风暴」（中新网转载）
chinanews.com.cn
- 22
- 23Anthropic 致美国参议院银行委员会信函（2026-06-10）
d1e00ek4ebabms.cloudfront.net
- 24
- 25FunPay：Claude 订阅与词元转售专区
funpay.com
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.