API Key 发生泄露后，开发者需要在前 10 分钟内迅速厘清四件事，包括凭据的实际存放位置、引发异常消耗的具体凭据、能否单独停用可疑工具权限，以及密钥轮换需要修改哪些配置文件。