余额增加，不一定意味着钱已到账
维护者 4 月的公告将 v0.12.10 之前的版本列为受影响版本，将 v0.12.10 列为修复版本。公告描述了支付回调校验缺陷：未付款也可能获得额度，而上游模型调用成本由运营者承担。
买了搭建服务，维护责任仍要说清
项目安全政策只支持最新版本，并提供私下报告漏洞的渠道。由此得到的运营建议是：销售预付余额前，先约定由谁跟进更新、核对支付与余额、处理异常。这是根据公开风险提出的检查项，不是对某个卖家的指控。
科技与工具机制拆解
AI 代充站一键开好后，谁来守住充值和账单
New API 的公开安全公告记录了未付款却能增加额度的风险。网站搭好之后，支付安全和持续维护才刚开始。
AI 辅助资料整理。结合背景阅读，也可以沿着下方原始来源继续探索。
- 内容范围
- New API 公告 GHSA-xff3-5c9p-2mr4；自建 AI API 中转与额度销售站
- 时间背景
- 公告发布于 2026-04-22；安全政策核对于 2026-10-21
- 资料核对
这是已披露的软件漏洞，不证明某家店实际被黑、偷钱或跑路。这里的修复版本只对应该公告，不表示旧版本在今天仍然安全。
沿着来源，了解更多
以下是本文使用的原始资料。同一机构的多个链接不等于独立交叉验证；资料可能在核对日期后更新。
01GHSA-xff3-5c9p-2mr4: Stripe Webhook Signature Bypass via Empty Secret Enables Unlimited Quota Fraudgithub.com维护者公开的漏洞范围、影响及当时的修复版本。
来源日期 · 2026-04-2202Security Policygithub.com项目的版本支持和私下报告漏洞政策。
来源日期 · Living policy · checked 2026-10-21背景与利益关系披露
No Secrets 使用 AI 辅助检索、撰写和翻译，依据下列公开资料整理。本文是资料摘要，不是亲历报道或经过独立审计的调查；文中未使用联盟推广链接。
上方日期记录本次资料核对，不表示所有事件发生于当天。中英文内容均由 AI 辅助整理；若与原文有差异，以所链接原始资料为准。