K12 教师空间再度出现安全事件。此次由 Bug Team 推出的最新版本，正好选在疯狂星期四上线。熟悉情况的用户或许已有所察觉——简而言之，K12 教师空间是 Bug Team 另一种业务模式的拓展，与普通空间类似，设有管理员与普通用户角色。

该空间同样具备邀请与被邀请机制。然而，令人震惊的是，OpenAI 的后端权限接口竟未启用鉴权——这意味着非受邀用户能够自行加入 K12 教师空间，并直接获得无需管理员审核的权限。这实在匪夷所思。唯一的前提条件是使用同一域名邮箱，这或许是他们仅剩的安全底线，毕竟学校通常都拥有规范域名。

近期，中转站能够维持极低倍率，主要得益于两个渠道。其一，已下架的低价 Pro 名额仍在流通，用户可刷取多个 5H 额度，甚至还有重置卡加持。其二，便是上文提及的 K12 空间漏洞。

然而，问题终究会暴露。此次事件源于有人直接购买了 K12 子号，导致内部信息泄露，引发了一系列连锁反应：

销售 K12 子号的渠道已陆续停止交易，因为这些空间一旦对外公开，空间 ID 便会泄露，迅速遭受各类 DDoS 攻击直至崩溃；
Outlook 邮箱一夜之间被抢购一空，原因在于大量 K12 空间均使用 Outlook 注册——这个常年处于封禁状态的邮箱大厂，其价格竟也被炒高；
Gmail 则是最为便捷的选择，因为它支持别名邮箱，一个账号可当多个使用。

行情有多疯狂？目前 GPT 中转渠道的价格已跌至 1 亿 token 仅需 0.2 元。

不过从当前态势看，这波热潮已接近尾声。公开渠道几乎无法找到该漏洞的系统性描述，核心情报仅在圈内传播。许多空间要么无法加入，要么看似成功却实际无法使用。新空间虽仍可操作，但预计周末之后将被全面封锁。仍有兴趣的用户只能自行挖掘那些尚未受到波及的教育 K12 workspace ID。

经此事件，OpenAI 官方必将全面收紧 K12 空间的安全策略。说实话，一时间也难以厘清责任归属。环顾四周，似乎各方都是受害者。OpenAI 使用 AI 编写代码，漏洞却接连不断，或许应重新审视审核流程，避免此类低级 Bug 再次出现。

奉劝各位也不必再为此费力折腾。能尝试的基本已经到极限了。

声明：本文仅旨在梳理 K12 Bug 事件的来龙去脉，观察相关产业动态，不涉及任何漏洞的传播。不提倡、不建议读者使用该方法。