Perplexity API 密钥“白嫖”风波：官方回应称费用其实属于用户本人

近日，一名网友在测试 Perplexity Computer 云电脑环境时，意外在系统配置文件 .npmrc 中发现了用于调用 AI 模型的 API 地址和令牌（API Key）。该令牌随后被提取并配置到其他软件中，成功调用模型且短时间内未出现计费记录，引发“可无限白嫖模型”的讨论。

这一发现很快在社交平台传播，甚至有人发布文章称“破解了 Perplexity Computer 并获得无限额度的 Claude Code”。

沙箱环境中发现 API 令牌

Perplexity Computer 是 AI 搜索公司 Perplexity 推出的云电脑服务，系统中预装了包括 Claude Code 在内的开发工具，用于帮助用户构建和运行 AI 项目。

在测试过程中，该网友通过沙箱环境发现 .npmrc 文件中存在模型调用地址和 API Key。
理论上，这些信息不仅可以在 Perplexity Computer 内使用，也可以被复制到其他应用程序中直接调用 AI 接口。

由于调用后账单中并未立即显示费用，一度让人误以为可以长期免费使用模型资源。

Perplexity：令牌属于用户本人

事情迅速在 X（Twitter）上传播后，Perplexity 很快 撤销了公开的 API 令牌。不过官方解释称，这并不是因为系统漏洞导致资源被“白嫖”。

根据 Perplexity 的说明：

• 每个用户会话都会生成独立的 API 令牌
• 令牌的费用 归属于对应用户账户
• 会话结束后令牌会自动失效

也就是说，网友提取到的 API Key 实际上是 属于他自己的调用凭证，即便在其他软件中使用，费用依然会计入该用户的账单。

异步计费导致误解

之所以没有立刻看到费用变化，是因为 Perplexity 使用 异步计费系统。
模型调用产生的费用可能需要 数小时甚至超过 18 小时 才会显示在账单中。

因此，从表面上看似乎没有产生费用，但实际上相关调用仍然会被记录并计费。

Perplexity 表示，主动撤销该令牌主要是为了避免令牌被更多人滥用，否则最终产生的大量调用费用仍将由该用户承担。

安全设计仍引发争议

尽管官方解释了机制，但这一事件也引发了一些安全讨论。
研究者指出，由于令牌可以在沙箱环境中被读取，如果通过 提示词注入或其他方式泄露令牌，攻击者可能利用该密钥进行大量调用，从而给用户带来高额费用风险。

因此，部分开发者认为，将可计费令牌直接暴露在运行环境中仍然存在安全隐患，未来可能需要更严格的 权限隔离或密钥保护机制。

这起事件也再次提醒开发者：在 AI 平台和云开发环境中，API Key 的管理与隔离仍然是重要的安全问题。