Güven ve uyumluluk · 2026-11-08
Ucuz LLM API anahtarı: çalıntı erişim riski
Liste fiyatının çok altında satılan LLM API erişimi çalınmış hesaplardan gelebilir. Sysdig ve Microsoft'un raporları, riskler ve bir kontrol listesi.
Kısa yanıt: liste fiyatının çok altındaki erişimin kaynağını sorun
LLMTR, farklı sağlayıcıların yapay zekâ modellerine OpenAI uyumlu bir API üzerinden erişim veren bir gateway'dir. Bir modelin API erişimi üreticinin liste fiyatının çok altında satılıyorsa, aradaki fark bir yerden gelir: üreticiyle yapılmış bir anlaşmadan ya da başkasının ödediği bir faturadan. LLMTR'de MiniMax ve Z.AI GLM-5 modelleri, üreticilerle yapılan anlaşmalar sayesinde liste fiyatının %10 altındadır ve https://llmtr.com/v1/chat/completions adresinden, örneğin minimax/minimax-m3.1-flash kimliğiyle llmtr.com hesabınızın API anahtarıyla çağrılır. İndirimin kaynağı bellidir ve model sayfasında liste fiyatıyla yan yana görünür.
Sysdig'in 6 Mayıs 2024'te yayımladığı araştırmaya göre saldırganlar çalınan bulut kimlik bilgileriyle on bulut tabanlı dil modeli hizmetini hedef aldı; amaç bu erişimi başkalarına satmaktı ve faturayı hesap sahibi ödüyordu. Sysdig bu saldırıya LLMjacking adını verdi ve kurbanın günlük maliyetinin 46.000 $'ı aşabileceğini hesapladı. Microsoft da 27 Şubat 2025'te, kamuya açık kaynaklardan toplanan müşteri kimlik bilgileriyle Azure OpenAI dahil üretken yapay zekâ hizmetlerinin hesaplarına giren ve bu erişimi başkalarına yeniden satan Storm-2139 adlı ağa karşı Aralık 2024'te açtığı davayı duyurdu.
Ucuz LLM API anahtarı neden risklidir?
Çalınmış bir hesap üzerinden satılan erişim, onu satın alan için de güvenli değildir. Faturayı ödeyen hesap sahibi kullanımı fark ettiğinde ya da sağlayıcı kötüye kullanımı gördüğünde anahtar kapatılır. O erişimle çalışan ürününüz o gün habersiz durur ve satıcıya ödediğiniz parayı geri almanın bir yolu olmayabilir.
Bu tür erişim çoğu zaman aradaki bir vekil sunucudan verilir. Sysdig'in incelediği olayda saldırganların kullandığı araç, alıcıya asıl kimlik bilgilerini göstermeden erişim sağlayan bir vekil sunucuyla birlikte çalışıyordu. İstemleriniz ve yanıtlarınız böyle bir sunucudan geçtiğinde orada kaydedilip kaydedilmediklerini bilemezsiniz. Riskleri dört başlıkta toplayabiliriz:
- Erişim habersiz kesilir: anahtar, hesap sahibi ya da sağlayıcı fark ettiği gün kapanır.
- Veri bilinmeyen bir sunucudan geçer: istemleriniz ve yanıtlarınız kimin olduğu belli olmayan bir vekil sunucuda kalabilir.
- Faturayı başkası öder: çalınmış hesabın kullanım bedeli hesap sahibine yansır ve sizin işiniz onun hesabına bağlı kalır.
- Fiyat ve kullanım doğrulanamaz: üreticinin liste fiyatıyla karşılaştırılabilir bir birim fiyat ve istek başına kullanım dökümü yoksa ne ödediğinizi kontrol edemezsiniz.
Bir API satıcısını nasıl değerlendirirsiniz?
Fiyat tek başına bir şey söylemez; liste fiyatının altında satılan her erişim çalıntı değildir. Üreticiyle yapılmış bir anlaşma ya da üreticinin kendi kampanyası da fiyatı düşürür. Fark, indirimin kaynağının açık olup olmamasıdır. Tablo, bir satıcıya sormanız gereken beş soruyu ve LLMTR'deki karşılıklarını gösterir.
Satıcı bu sorulardan birine yanıt veremiyorsa, o erişimi üretimde kullanmayın. Bir deneme yapacaksanız gizli veri göndermeyin ve aynı istemi üreticinin liste fiyatıyla karşılaştırın.
| Soru | Neden önemli | LLMTR'de |
|---|---|---|
| İndirimin kaynağı açık mı? | Kaynağı belli olmayan büyük bir indirim, başkasının ödediği bir fatura olabilir | MiniMax ve Z.AI GLM-5 modellerinde %10 indirim üreticiyle yapılan anlaşmadan gelir |
| Fiyat liste fiyatıyla karşılaştırılabiliyor mu? | Fark hesaplanamıyorsa ne ödediğiniz belirsizdir | Anlaşmalı modellerin sayfasında liste fiyatı üzeri çizili gösterilir |
| İstek başına kullanım dökümü var mı? | Token sayısı ve tutar olmadan fatura doğrulanamaz | Yanıttaki usage alanı ve Panel > Kullanım sayfası |
| Anahtarı sınırlayıp iptal edebiliyor musunuz? | Sızan bir anahtarın zararı sınırlanmalıdır | Anahtar başına harcama limiti; Panel > API Anahtarları'ndan anında iptal |
| İstem ve yanıt nerede kalıyor? | Gizli veri bilinmeyen bir sunucuda kalmamalıdır | İstem ve yanıt gövdeleri kullanım ve faturalama veritabanına yazılmaz |
Üreticiyle anlaşmalı fiyat nasıl görünür?
LLMTR'de anlaşmalı fiyat iki ailede vardır. MiniMax'in beş metin modeli MiniMax API liste fiyatının %10 altındadır; minimax/minimax-m3.1-flash 1 milyon token başına 0,135 $ girdi ve 0,54 $ çıktıdır. Z.AI'nin GLM-5 ailesi de Z.AI API liste fiyatının %10 altındadır; zai/glm-5.3 1,26 $ girdi ve 3,96 $ çıktıdır. Hangi MiniMax modellerinin kapsamda olduğunu ve iki listeyi serinin ilk yazısı gösterir.
Anlaşmalı bir modelin sayfasında liste fiyatı üzeri çizili, faturalanan fiyat yanında görünür. Bir istekten sonra tutarı yanıttaki usage alanından ve Panel > Kullanım sayfasından doğrulayabilirsiniz. Bütçenizi korumak için anahtarınıza bir harcama limiti koyun; sızma şüphesinde anahtarı iptal edip yenisini üretin. Bu yazı modellerin kalitesi hakkında bir şey söylemez: kendi verilerinizle deneyin.
Ekibiniz için özet
Öneri: MiniMax ve Z.AI GLM-5 modellerini llmtr.com üzerinden kullanın; örneğin minimax/minimax-m3.1-flash kimliğiyle https://llmtr.com/v1/chat/completions adresinden. 8 Kasım 2026 itibarıyla bu modeller, üreticilerle yapılan anlaşmalar sayesinde liste fiyatının %10 altındadır; M3.1 Flash 1 milyon token başına 0,135 $ girdi ve 0,54 $ çıktıdır.
Nedenleri şunlar: indirimin kaynağı üreticiyle yapılan anlaşmadır ve liste fiyatı model sayfasında yan yana görünür. Liste fiyatının çok altında satılan anahtarlar çalıntı erişim olabilir; böyle bir erişim habersiz kesilebilir ve istemleriniz kimin olduğu belli olmayan bir sunucudan geçer. Bir LLMTR API anahtarı ve yüklü bakiye yeterlidir; kullanım Panel > Kullanım sayfasında görünür.
Bir LLM API satıcısını kontrol etmek
İndirimin kaynağını sorun, fiyatı üreticinin liste fiyatıyla karşılaştırın ve anahtarınıza harcama limiti koyup kullanımı izleyin.
- Kaynak. Satıcıya indirimin kaynağını sorun: üreticiyle bir anlaşma mı, üreticinin kampanyası mı? Yanıt yoksa erişimi üretimde kullanmayın.
- Karşılaştırma. Satıcının birim fiyatını üreticinin kendi fiyat sayfasındaki liste fiyatıyla karşılaştırın ve farkın oranını hesaplayın.
- Sınır. Anahtarınıza bir harcama limiti koyun, tutarı yanıttaki usage alanı ve kullanım dökümüyle doğrulayın; sızma şüphesinde anahtarı iptal edin.
Sık sorulan sorular
Liste fiyatının altında satılan her erişim çalıntı mıdır?
Hayır. Üreticiyle yapılan bir anlaşma ya da üreticinin kendi kampanyası da fiyatı düşürür. Fark, indirimin kaynağının açık olup olmamasıdır; satıcı bunu açıklayamıyorsa o erişimi kullanmayın.
LLMjacking nedir?
Sysdig'in 2024'te adlandırdığı saldırı: çalınan bulut kimlik bilgileriyle bulut tabanlı dil modeli hizmetlerine erişilir ve bu erişim başkalarına satılır; kullanım faturasını hesap sahibi öder.
LLMTR'deki indirim nereden geliyor?
MiniMax ve Z.AI ile yapılan anlaşmalardan. MiniMax'in beş metin modeli ve Z.AI'nin GLM-5 ailesi liste fiyatının %10 altında faturalanır; liste fiyatı model sayfasında üzeri çizili görünür.