账号与 API 尽调

采用 AI 服务前，应确认团队可以合法、稳定地使用并控制账户，而不是只验证一次调用能否成功。

服务检查

• 提供方是否披露主体、服务地区、上游、计费与支持渠道；
• 目标用途是否被允许，是否存在转售、共享账号或代充风险；
• 日志、输入输出和文件如何使用，能否设置保留与删除；
• 中断、限流、余额争议或封禁时是否有正式申诉与导出路径。

账户控制

账号所有权应归属组织，团队权限、MFA、密钥轮换和离职交接可执行。生产密钥不进入 Git、普通日志或客户端；权限和调用范围保持最小。

禁止做法

不采购来源不明的共享账号、身份材料、余额或密钥，不通过虚假地区、身份或交易绕过限制。

通用供应商比较见供应商选择，对接口声称的模型与能力有疑问时进入模型鉴别。