01
事情经过
Cloud Native
OneAPI 是在开源代码托管平台 GitHub 上拥有 2万 Star 的 AI 网关工具，该工具的用户发现安装最新版本镜像后，会固定消耗一定比例的 CPU[1]。
最终定位是 DockerHub 的镜像被投毒，向镜像植入了 XMR 门罗币挖矿脚本，导致 CPU 跑高：
目前可以确认是 DockerHub 的推送密钥泄漏，导致黑客向多个镜像版本植入了挖矿脚本： 
因为加密货币行情的火热，近年来挖矿脚本相关的安全事件也呈不断上升趋势，黑客会找一些流行开源项目的 DockerHub 仓库进行攻破。Palo Alto Network 的安全研究员 Aviv Sasson 曾发现了 30 个被植入挖矿木马的 Docker 镜像，这些镜像一共被下载了 2000万次。估计帮助黑客挖掘了价值 20 万美元的加密货币。
Docker 镜像被注入挖矿脚本并不是个别现象，而是一个需要引起重视的安全问题。
02
一些背景知识
Cloud Native
2.1 DockerHubDockerHub 是世界上最大的容器镜像托管服务，有来自软件供应商、开源项目的超过十万个容器镜像。容器镜像是一个软件及其运行环境的完整包。在安装时，可以省去复杂的配置过程。容器镜像托管服务是一个在线平台，用于存储和分享软件的容器镜像。可以把它看作应用程序的“大商店”，里面有各种软件的包装。
因为 DockerHub 提供免费服务，很多开源软件项目选择在这里发布他们的容器镜像。这使得用户可以很方便地获取、安装和使用这些软件。
2.2 AI 网关被黑客植入木马的 OneAPI 是一款开源的 AI 网关工具。随着 AI 供应商越来越多，LLM 模型的能力也逐渐趋同。为了解决使用中的各种需求，出现了 AI 网关这一工具。AI 网关能统一接收用户的问题，然后转发给不同的 LLM 模型处理。使用 AI 网关有几个常见的使用场景：
- 提高整体服务的稳定性：当一个模型出问题时，可以切换到另一个模型。
- 降低成本：可以在适当的时候用便宜的模型替代昂贵的模型，例如使用 DeepSeek 替代 ChatGPT。
并且，这种切换对用户是无感知的，使用体验不会受到影响。通过 AI 网关，可以更灵活高效地利用各种模型资源。因此被 AI 应用开发者广泛采纳。
03
如何防范类似风险
Cloud Native
本文作者是另一款开源 AI 网关项目 Higress 的维护成员之一。在关注 OneAPI 时，看到了这个问题，所以向大家分享下 Higress 防范此类风险的相关经验。
Higress[2]是由阿里云开源的网关软件，与 OneAPI 这款仅支持 AI 网关的工具不同，Higress 是基于 API 网关的能力之上构建了 AI 网关能力，并且由阿里云 API 网关这款商业产品背后的研发团队共同维护，而非个人项目。Higress 一直使用阿里云容器镜像服务用于镜像存储，并有自己官方的 Helm 仓库（K8s 环境的安装包管理）。使用阿里云容器镜像服务至少有两个好处：
- 不受 DockerHub 网络封禁影响，对国内用户更友好，镜像拉取速度也更快。
- 可以进行镜像安全扫描，自动拦截有风险的镜像提交。
第二点，也是防范开源镜像投毒的核心，如下截图所示：
基于阿里云容器镜像服务的云原生交付链功能，可以在镜像推送之后，立即进行恶意脚本扫描，如若发现风险可以立即删除镜像。此外，每次新版本发布，不依赖人，而是由程序自动完成也很重要。Higress 社区在每次版本 release 发布后，会通过 GitHub Action 自动制作容器镜像以及安装包，镜像仓库密钥基于 GitHub Secret 存储。发布版本的权限可以给到社区里其他合作者，但无需提供给合作者镜像仓库的密码。
04
Higress 和 OneAPI 的对比
Cloud Native
下面的表格从多个维度对比了 OneAPI 和 Higress 之间的差异：
| 差异项 | OneAPI | Higress |
| 核心功能 | AI 网关 | 具有 AI 网关功能的 API 网关。 |
| 维护方式 | 由个人维护的项目 | 由阿里云 API 网关团队维护的项目。 |
| 系统安全 | 易受安全漏洞影响，如 DockerHub 镜像被注入加密挖矿脚本 | 商业版由阿里云托管，无此风险；开源版本集成了阿里云容器镜像服务以存储镜像，提供安全扫描和自动阻止风险镜像的功能。 |
| 内容安全 | 无 | 通过集成阿里云内容安全实现实时内容过滤，同时支持数据脱敏等功能。 |
| 模型管理 | 只有模型和 API Key 配置管理 | 支持 API Key 管理（多密钥轮询、屏蔽不可用密钥）、消费者管理（API Key 二级分发、访问控制）、兜底模型以及模型灰度发布。 |
| 可观测性 | 无 | 提供监控仪表板用于查看模型及消费者令牌消耗和调用延迟。提供全面的可观测性，包括内容安全、速率限制和缓存的监控。 |
| 可扩展性 | 无 | 插件市场提供了现成插件（提示词模板、AI缓存、数据脱敏、内容安全），支持自定义插件开发及热加载。 |
| 云集成 | 无 | 可以和阿里云上的各类云产品集成，例如借助 SLS 实现 AI 数据分析能力。 |
05
快速体验 Higress AI 网关
Cloud Native
Higress AI 网关支持一行命令安装：
curl -sS https://higress.cn/ai-gateway/install.sh | bash
执行完命令后可以通过命令行初始化配置，可以看到，Higress 的 AI 网关能力支持对接国内外所有主流 LLM 模型供应商：
也可以选择跳过这个步骤，到 Higress 的控制台进行配置对应供应商的 API Key： 
配置后，就可以直接使用了，例如使用 OpenAI 的 SDK 对接 DeepSeek：
import jsonfrom openai import OpenAI client = OpenAI( api_key=xxxxx, # 👉 可以通过Higress生成消费者Key实现API key的二次分租 base_url="http://127.0.0.1:8080/v1") completion = client.chat.completions.create( # model="qwen-max", # model="gemini-1.5-pro", model="deepseek-chat", # 👉 可以填写任意模型名称，Higress根据模型名称路由到对应供应商 messages=[ {"role": "user", "content": "你好"} ], stream=True) for chunk in completion: print(chunk.choices[0].delta)
可以在监控面板看到每个模型，以及每个消费者的 token 消耗情况以及调用延时：
此外，相比 OneAPI，Higress 提供了更多实用的功能，例如：
- API Key 治理：支持配置 API Key 池实现多 Key 均衡，API Key 被限流等不可用情况会自动屏蔽，并在可用时自动恢复。
- 消费者管理：可以通过创建消费者，实现 API Key 的二次分租，无需将真正的供应商 API Key 暴露给调用方，并且可以精细化管理不同消费者的调用权限和调用额度。
- 兜底模型：支持配置兜底模型，例如当请求 DeepSeek 模型失败时，自动降级到 OpenAI 模型。
- 模型灰度：支持模型平滑按比例灰度，可以参考《DeepSeek-R1来了，如何从OpenAI平滑迁移到DeepSeek》。
Higress 的插件市场里还有很多开箱即用的插件，例如提示词模版，AI 缓存，数据脱敏，内容安全等等： 
插件代码也都是开源的，并且支持自己开发插件，支持在网关上热装载，对流量完全无损。这对于 RealTime API 等实时会话的场景十分友好，不会断开长连接。如果您的业务部署已经部署在阿里云，推荐使用 Higress 的商业版服务 - 云原生 API 网关，在性能、稳定性、云产品间集成、大模型对接的体验上更好。
