事件经过
VulnCheck于2026-10-18发布，LobsterAI使用硬编码的“lobsterai-APP”密钥加密导出的提供商API密钥，使任何拥有导出文件的人都能派生密钥并解密所有存储的AI提供商API密钥。CVSS 5.5（v3.1） / 6.8（v4.0），CWE-321。
影响分析
获得导出配置的本地查看者可以恢复用于计费AI提供商使用量的原始API密钥，从而实现账户接管和受害者LLM账户的成本滥用。
攻击途径
提供商API密钥使用常量“lobsterai-APP”密码加密。攻击者获得提供商导出文件后，通过PBKDF2使用嵌入的盐（CWE-321硬编码密码）派生AES-GCM密钥，并恢复所有存储的第三方AI提供商API密钥。
受影响系统
netease-youdao LobsterAI 在 2026.10.16 之前
缓解措施
升级至LobsterAI 2026.10.16（修复提交1eb28c40d7e42d6cbade07874e6f6c068b6a9a64）并轮换任何导出的提供商密钥。