立即禁用泄露的API Key，登录控制台进入「API Key 管理」页面点击「禁用」并手动输入【确认禁用】，1–2分钟内失效；推荐直接删除已失控密钥，或先禁用后核查调用明细再决定；新建密钥须遵循最小权限原则、启用IP白名单、命名规范并存入环境变量。
☞☞☞AI 智能聊天, 问答助手, AI 智能搜索, 多模态理解力帮你轻松跨越从0到1的创作门槛☜☜☜
火山引擎API Key一旦泄露，攻击者可能立即调用你的模型服务、消耗配额、产生费用，甚至窃取敏感数据或执行越权操作。这不是预警，而是正在发生的损失。
立刻禁用泄露的API Key
登录火山引擎控制台 → 进入「API Key 管理」页面 → 找到对应名称的API Key → 点击操作列中的「禁用」按钮。
系统会弹出确认框，要求你手动输入【确认禁用】四个字——这是强制性的二次确认，跳过这一步无法提交禁用请求。
禁用操作提交后，1–2分钟内该API Key将彻底失效，所有依赖它的接口调用会返回401错误。
删除还是保留？两种处理路径
方法一：直接删除（推荐用于已确认完全失控的密钥）
在API Key列表页点击「删除」→ 输入【确认删除】→ 提交。删除不可逆，且1–2分钟内从系统中彻底清除，包括历史调用日志关联记录。
方法二：先禁用再观察（适用于不确定是否已被滥用的场景）
禁用后，立即前往「配额与用量」→ 「API调用明细」页面，筛选该API Key在最近24小时的调用记录。如果发现异常高频调用、陌生IP地址、非预期模型ID，说明已被利用，应立刻转为删除操作。
补救与重建信任链
第一步：检查密钥创建时的项目空间和权限范围。
若该API Key绑定的是主账号且未设IP白名单或模型ID限制，它默认可访问当前项目下全部资源——这意味着泄露影响面极大，必须同步排查其他密钥是否也存在同样宽松配置。
第二步：创建新API Key时，严格遵循最小权限原则：
① 切换到专用项目空间再创建；
② 在权限设置中只勾选本次业务必需的模型ID或接入点；
③ 启用IP白名单（如仅允许CI/CD服务器或生产环境出口IP）；
④ 命名规则体现用途与责任人，例如web-search-prod-202608-zhangsan。
第三步：将新API Key值写入环境变量，绝不在代码中硬编码。Linux/macOS用户编辑~/.bashrc或~/.zshrc，追加export VOLC_API_KEY="your_new_key_here"；Windows用户使用系统属性→高级→环境变量→系统变量新增。
