如果你是中国的开发者，想正经用上 Claude，面前是一道叠一道的关卡：境外手机号、外国信用卡、账单地址核验，公司股权里中资超过 50% 直接拒之门外，部分用户还被要求上传证件、拍活体自拍。Anthropic 大概是所有大模型厂商里对华管制最严的一家。

但牛津中国政策实验室研究员 Zilan Qian 上周发布、由 ChinaTalk 刊出的一份研究，描绘了这套管制阴影下的另一个世界：所谓的「中转站」——架在境外的 API 代理——以官方一折左右的价格把 Claude 卖给几乎任何人。微信、支付宝、人民币结算，不用翻墙，不用外币卡。社区甚至维护着中转站目录，按价格和可用性排名。

这条新闻乍看是灰产八卦，细看是一份经济解剖报告。它真正的问题不是「为什么能便宜到一折」，而是「一折之后，这门生意靠什么活下去」。答案指向一个容易被忽略的资产：流经代理的每一行日志。

一条模块化的供应链

先看这个市场有多「工业化」。

中转站只是链条的中游。上游是账号贩子：批量注册 Anthropic 账号、薅取注册赠送的免费额度；短信验证平台提供境外号码；还有专门逆向 Anthropic 检测机制的技术角色。下游是分销：淘宝店铺、Telegram 群、面向个人开发者和企业客户的各级转售商。

整条链路高度模块化，多数参与者只做其中一两环。这带来一个对 Anthropic 极不利的性质：封掉一个中转站，上游账号池和下游客户原封不动，新的中转站几个小时内就能重建。这是一种「去中心化抗打击」的产业结构。

最能说明问题的细节是 KYC 的绕过。Anthropic 对部分用户要求证件加活体自拍的生物识别验证，这几乎是最强的身份门槛。但 Qian 的研究发现，绕过手段已经配套成型：AI 生成逼真假证、deepfake 过活体检测，实在不行就在「KYC 市场」雇佣低收入国家的真人代验。她引用的先例是 Worldcoin 虹膜验证黑市——柬埔寨和肯尼亚的虹膜扫描被卖到 30 美元以下。

身份验证这道墙，在专业化的绕过产业面前，高度堪忧。

一折怎么来的：三本明账都不够

低价的来源可以算三本「明账」：

第一本，免费额度。 Anthropic 给新账号赠送 5 美元额度，批量注册的账号池把这点额度聚沙成塔。

第二本，订阅拆分。 把一个 200 美元的 Max 订阅按 token 配额切给多个用户分摊，赚批零差价。

第三本，掺水。 代理横在用户和 Anthropic 中间，完全可以把发给 Opus 的请求悄悄改路由到便宜的 Sonnet，甚至换成 Qwen。德国 CISPA（亥姆霍兹信息安全中心）检测了 17 个 API 代理，发现换模型是普遍操作——一个标称 Gemini-2.5 的端点，在医学基准上只得了 37 分，官方模型是 83.82 分。中文社区管这叫「掺水」，这个词选得很传神。

但这三本明账有个共同问题：都不够。免费额度会被薅干，订阅拆分有硬成本上限，掺水则是在透支信誉——被识破一次，客户就流失。它们解释不了「持续稳定的一折」。

于是有了第四本账，也是 Qian 认为最大的杠杆：日志。

第四本账：流经代理的一切

代理的架构位置决定了它看得见一切：用户的 prompt、模型的响应、工具调用的参数和结果、多轮迭代的完整轨迹。如果是编码 Agent，暴露面还要大得多——Agent 为了完成任务，会把代码库结构、文件内容、命名习惯、内部文档整段带进上下文。

这些日志的性质，恰好是当下 AI 产业里最稀缺的资源：真实的、带完整工作流上下文的高质量推理轨迹。HuggingFace 上已经出现了来源不明的 Claude Opus 4.6 推理输出数据集——没人说得清它们从哪来，但它们在流通。

中文开发者社区里流传的警告，把这笔账算得最直白：token 生意只是获客，真正的利润在日志。

需要说明，Qian 在报告里很克制：目前没有证据证明中转站系统性收集和出售这些日志，更不知道买家是谁。她提出的只是一个商业可行性假设——如果日志可以变现，那么一折的价格就从「不可能的低价」变成「可持续的获客成本」。

但这个假设的可怕之处在于它的逻辑闭环：一旦成立，用户就在同时扮演两个角色——付钱的客户，和无薪的数据生产者。

「你就是产品」的 AI 版重演

互联网时代有一句老话：如果你不知道产品是什么，那你就是产品。Facebook 的用户以为自己是在用免费的社交网络，实际上是卖给广告主的商品。

灰产中转站把这个逻辑推向了一个更扭曲的形态：用户不是「免费使用」——他们付了钱，是真金白银的客户；但他们的每一次请求，都在为一个看不见的数据工厂提供原料。付费与被收割第一次同时成立。

而且 AI 时代的「收割」质量远超网页时代。网页时代平台拿到的只是点击和停留；中转站拿到的，是你最有价值的智力工作的完整轨迹——你的代码怎么写、你的思路怎么组织、你的业务逻辑长什么样。对个人开发者，这是编程习惯和技术底牌；对企业用户，这是核心业务的完整剖面。

把这个风险放到本周另一条新闻的背景下，量级会看得更清楚：OpenRouter 的数据显示，Agent 的 token 消耗半年涨了 14 倍，2026 年 2 月之后人类直接消耗的 token 可能已永久性低于 Agent。Agent 时代，日志的暴露面不是线性扩大，是指数扩大。 每一个长程运行的编码 Agent，都在把整个代码库和工作流源源不断地推过一个不受审计的第三方。

最严封锁，催生最难监控的市场

Qian 报告里最锋利的一层结论是：访问限制创造了它本想阻止的市场。

这不是新规律——Great Firewall 催生了梯子产业，禁酒令催生了私酒贩子。当封锁制造的套利空间足够大，绕过就会产业化。但 AI 版本有一个更麻烦的附加后果：监控盲区。

请求经代理转发后，Anthropic 看到的是代理的账号和 IP，不是真实终端用户。它引以为傲的滥用检测系统（比如跨账号、跨对话发现协同异常的 Clio），在这种结构下被系统性稀释：把一个大规模蒸馏任务拆成无数「看起来人畜无害」的碎片，散布在大量代理账号上，每个碎片都不足以触发警报。

对照历史案例会看到讽刺之处：Anthropic 之前指控 DeepSeek、Moonshot、MiniMax 的蒸馏攻击——2.4 万个假账号、1600 万次请求——之所以能被发现，恰恰因为那些流量走的是官方通道，留下了完整指纹。而经由中转站的蒸馏，连「被发现」的入口都不存在。

换句话说：最严格的封锁，把最守规矩的用户留在了官方系统里，却把最难监控的动机和能力，推向了视野之外。墙越高，梯子越贵——但梯子产业也越繁荣，而墙外发生的事，筑墙的人再也看不见了。

蒸馏战争没有裁判

这个灰产的存在，还嵌在一个更大的行业僵局里。

一边，Anthropic、OpenAI、Google 已经联手对付「未经授权的模型复制」——蒸馏第一次成为巨头间的共同利益。另一边，行业另一半在往反方向走：纳德拉公开讽刺「一边用全网数据训练模型、一边禁止别人蒸馏」的虚伪；扎克伯格把「从可观察的事物中学习」称为值得保护的原则；7 月底，包括英伟达、微软、Meta 在内的 25 家公司联名反对过早限制蒸馏。

这场争论不会有政府裁判——蒸馏太技术、太灰色，立法跟不上，而反对方里坐着微软和 Meta。结果就是 Qian 报告呈现的现状：实验室进入「私法时代」——服务条款自己定、违规自己查、处罚自己执行。中转站灰产就是这个时代的必然产物：执法者的臂展止步于官方 API，而需求不会。

写给开发者：风险是不对称的

回到个人层面，这笔账其实不难算，只是很多人不愿意算。

省下的钱是线性的：账单打一折。暴露的东西是指数的：代码库、业务逻辑、prompt 里的商业机密、Agent 的完整工作流。你省下的每一块钱，对应的可能是某个数据库里多出的一行你的推理轨迹。

更实际的问题是，你连「买到的货是不是真的」都无法验证——掺水检测需要基准测试能力，个人用户不具备。CISPA 测的 17 个代理普遍掺水，这个比例足以默认「你用的中转站也在掺」。

对企业开发者，结论应该更硬：经由中转站发出的每一个请求，都应视为已经泄露。

结语：墙的经济学

这份牛津研究最大的价值，不是揭黑，而是把它揭成了一道经济学题。

我的判断有三条。其一，日志经济学假设一旦被坐实——比如某个大规模蒸馏数据集被溯源到中转站——会引发一次 API 供应链级的信任危机，可信网关、本地推理、私有化部署的价值将系统性上升。其二，Anthropic 迟早会意识到纯封堵的边际收益递减，转向定价策略：区域定价、教育优惠官方化、合规渠道扩容，把需求从灰色拉回白色——同一天 Mistral 把区域推理转正式 GA、上架第三方开源模型，说明「用合规渠道满足被封锁的需求」是一条已经有人走通的路。其三，蒸馏与反蒸馏会成为「爬虫与反爬」式的长期低烈度战争：没有终局，只有双方成本曲线的无限拉锯。

墙越高，梯子越贵。但当墙内的人找不到体面的官方选择时，梯子产业就永远有客户，而墙外的世界对筑墙者越来越不透明。真正的解法也许不是把墙再加高三米，而是让墙内有值得留下的理由——这大概是这份研究最不方便说出口、却最诚实的言外之意。

参考：Oxford China Policy Lab / ChinaTalk、The Decoder、CISPA API 代理检测研究（arXiv:2603.01919）