一專案一金鑰是指每個 AI 工作負載使用繼承該專案模型白名單與預算的專案級 API 金鑰。這份指南寫給仍用共用原廠 key 跑正式流量的平台與資安團隊。
結論：共用金鑰在第一天優化速度，在第一百天最大化爆炸半徑。見治理清單第一項與上線後缺口。
為什麼共用一開始很爽
| 爽點 | 放大後成本 |
|---|---|
| CI 一把密鑰 | 同一爆炸半徑 |
| 快速 onboarding | 離職不知誰還在用 |
| 文件簡單 | 財務對不到產品 |
| 共用限流池 | 吵雜鄰居餓死關鍵路徑 |
需要什麼
組織設定與管理金鑰：組織→工作區→專案→金鑰；密文只顯示一次、可立即撤銷、名冊留稽核。
依環境
正式／測試／實驗與 coding agent 必須拆開（agent tax、Claude Code）。測試 cap 要低到燒光也不痛（預算上限）。
遷移六步
盤點→建專案金鑰→雙跑→切流→撤銷→演練外洩 runbook。見監控。
更現代的做法
ATP Token 讓金鑰綁專案模型與點數；相容多 SDK，遷移多半是 base_url 與 key（從 OpenAI 遷移）。
常見問題
一專案一金鑰是什麼意思？
每個正式工作負載有一把專案級 API 金鑰，繼承該專案的模型白名單與點數餘額，讓花費與存取都有明確主人。
為什麼共用 API 金鑰有風險？
無法知道哪個系統在燒 token、離職時不敢撤銷，外洩時爆炸半徑是全公司。
企業應如何核發 LLM API 金鑰？
每系統一專案、只開需要的模型、分配預算、金鑰只顯示一次、放進密鑰管理，專案結束即撤銷。
金鑰跟專案走時，人員離職怎麼辦？
移除成員或專案存取即可，不必輪替半公司依賴的那把共用 key。
如何從共用金鑰遷移？
盤點呼叫端、為每系統建專案金鑰、雙跑、逐系統切流，最後撤銷共用 key 並留稽核。