L'economia sommersa dei token: il sintomo di un'infrastruttura spezzata

Per 425 RMB, circa 59 dollari, si compra un pacchetto di credito API che ufficialmente ne costa 3.333. Sconto: 97,8%. Non è un errore di fatturazione né un'offerta promozionale. È il prezzo di mercato, oggi, su una delle decine di relay station che vendono accesso a modelli linguistici come fosse una commodity qualsiasi: a listino, con programma fedeltà, coupon e assistenza via WeChat.

Il fenomeno è noto a chi scava in queste infrastrutture sommerse. Decine di gateway attivi, milioni di visite al mese, una filiera che va dai rivenditori di carte virtuali (servono ad aggirare i controlli sulla fatturazione) ai pool di account che gestiscono centinaia di identità con failover automatico, fino ai relay che confezionano il tutto in un prodotto accessibile a chiunque.

C'è chi usa questi token per risparmiare sull'inferenza. C'è chi li usa per fare distillation industriale di modelli, un'attività che da sola muove miliardi. C'è chi li usa per far funzionare bot e agenti senza mai pagare un centesimo ai vendor ufficiali.

Non è la prima volta che un asset digitale genera un mercato parallelo. Stavolta c'è qualcosa di strutturalmente diverso. Il mercato nero dei token AI non è un'anomalia criminale da arginare con i sistemi antifrode. È il sintomo di un'infrastruttura progettata per un ecosistema che non esiste più.

Il problema non sta nella falla di sicurezza. Sta nell'architettura. La chiave API è stata pensata come token di autenticazione: una stringa che dimostra che sei tu, e per estensione che pagherai tu. È diventata, di fatto, un numero di carta di credito programmabile: trasferibile, aggregabile, sfruttabile da chiunque abbia accesso al file .env giusto. Con una differenza fondamentale: una carta di credito ha un circuito di clearing, chargeback regolamentati, KYC obbligatorio. Una chiave API ha una stringa. Nient'altro.

Quando il compute diventa una commodity accessibile via stringa testuale, eredita tutte le patologie di qualsiasi commodity digitale: rivendita non autorizzata, arbitraggio, aggregazione fraudolenta. Il confine tra un API gateway aziendale legittimo e un relay abusivo non sta nel software (spesso è lo stesso, open source e ben documentato) ma nella provenienza delle chiavi che ci girano dentro. La differenza è solo chi paga il conto. E chi lo paga sta perdendo il controllo del proprio modello di business.

La chiave API è il numero di carta di credito di un'era che sta finendo.

La reazione istintiva del settore è stata più limiti di spesa, più rilevamento frodi, più controlli sulla fatturazione. Una risposta che tratta il sintomo, non la causa: il modello «chiave = identità + metodo di pagamento» è pensato per un ecosistema in cui ogni chiave corrisponde a uno sviluppatore umano, con una carta di credito verificata, che fa richieste prevedibili. Quel mondo sta scomparendo, e non per colpa dei relay cinesi.

La vera frattura deve ancora arrivare, e ha un nome: agenti autonomi. Quando un agente AI consuma token per conto proprio (prende decisioni sul numero di chiamate, sceglie quali modelli interrogare, itera senza supervisione umana) la chiave API smette di essere un proxy dell'identità di uno sviluppatore. Diventa un serbatoio di carburante attaccato a un motore che decide da solo quanto accelerare. Il modello «chiave = pagamento» collassa su sé stesso: un agente non ha un indirizzo di fatturazione, può essere clonato, le sue chiavi estratte, i suoi pattern di consumo resi invisibili all'umano che l'ha deployato. L'attacco denial of wallet, oggi un atto di vandalismo, diventerà una superficie di rischio strutturale per qualsiasi applicazione agentica esposta.

I mercati dei relay di oggi sono l'anteprima di un problema più profondo. Non sono solo sviluppatori che cercano di risparmiare: è l'intero ecosistema agentico che, per funzionare, ha bisogno di un modello di accesso al compute radicalmente diverso da quello attuale.

Il mercato si sta già adattando, in modi che non piaceranno a chi oggi vende API. I vendor stanno scoprendo che il prezzo di mercato dell'inferenza è molto più basso di quello di listino: se qualcuno rivende i tuoi token con il 97% di sconto e ha ancora margine, la tua strategia di prezzo ha un problema strutturale. Allo stesso tempo, la risposta ovvia (chiudere, blindare, verificare ogni identità) rischia di soffocare proprio l'ecosistema agentico che dovrebbe essere il futuro.

Più che un giro di vite, la direzione più probabile è una biforcazione del mercato. Inferenza vincolata all'identità per uso aziendale, con modelli tracciabili, chiavi legate a contratti, consumo fatturato. E inferenza commodity anonima, con il prezzo schiacciato verso il costo marginale, perché qualsiasi markup viene immediatamente arbitrato via dalla concorrenza parallela. Non è uno scenario desiderabile per chi oggi costruisce margine sulla vendita di token. Ma è lo scenario che il mercato sta già costruendo, una relay station alla volta.

Un'infrastruttura nata per un'altra epoca non si ripara con più controlli. Si cambia. Il futuro dell'accesso al compute non sarà una stringa in un file .env che chiunque può copiare. Sarà qualcosa di più vicino a un'identità computazionale: il vendor autentica il carico di lavoro, non l'utente. Non perché è più sicuro. Perché in un mondo popolato da agenti, è l'unica cosa che ha senso.