一次接口异常，扒光半个3A圈

在游戏行业，最值钱的秘密往往不是代码，而是「什么游戏正在做」。

这一次，这个秘密被人一次性打包带走了几十份。

当地时间2025年9月9日，第三方成就统计网站exophase通过Steam的公开API数据接口，抓取到了大量尚未正式发售游戏的成就列表。据exophase页面数据与IGN、VGC等多家外媒当日统计，被扒出的未公开或未发售游戏共36款——包括皇牌空战8：希孚之翼、控制：共鸣、杀出重围复刻版、龙珠：超宇宙3、战争机器：事变日、王国之心4、真三国无双2猛将传复刻版、地平线：猎人集结、女神异闻录4重制版、女神异闻录6、寂静岭：Townfall等。名单横跨世嘉、万代南梦宫、Koei Tecmo、微软、索尼等多个主流发行阵营，一次性涉及如此数量的未公布项目，在Steam历史上尚无先例。

而所有人目光的焦点，都落在了同一个名字上：Valve。

泄露是怎么发生的

这不是黑客攻击，也不是内部人员泄密，而是一次流程性暴露。

按照惯例，厂商为了让游戏在发售日当天就能正常记录玩家进度，通常会在游戏正式解锁之前，就把成就数据预上传到Steam后台。这些数据理论上对普通玩家不可见，但会存在于Steam的底层数据结构中，且可被公开API读取。

问题就出在这里：后台不可见，不等于接口不可读。exophase长期通过Steam的API做成就数据聚合——玩家用它查成就进度、看全球完成率，这本是生态里正常的一环。但这一次，接口把一批本不该出现在公开视野里的预发布数据也吐了出来，而且一吐就是36款。这说明在Valve的数据管理链条上，「预发布数据的隔离」这道闸门出了问题：要么是接口的字段过滤没有兜住这批数据，要么是这批数据被错误地置于可公开读取的状态。

泄露曝光后，Valve在数小时内将相关成就数据重新设为非公开，exophase上的对应页面也已不可访问。但截至发稿，Valve未就此事发表任何公开声明，多数被波及的发行商——包括世嘉、万代南梦宫、Koei Tecmo——也均未回应置评请求。社区只能从成就命名中反推信息：有人在逐条翻译成就名、推测剧情章节，有人核对哪些项目此前「从未正式公布却早已被传闻」。女神异闻录4重制版等传闻缠身多年的项目，就此拿到了实锤。

放进泄露史里看，这件事特殊在哪

游戏行业并不缺标志性泄露事件，简单对比即可看出这次事件的特殊之处：

• 2003年，一名黑客入侵Valve相关网络，窃取《半条命2》完整源代码并在网上流出，直接导致这款游戏推迟近一年发售，Valve此后为源代码安全重构了整个开发流程；
• 2020年，任天堂遭遇「Gigaleak」，数千份内部资料、早期原型和未公开企划被陆续放出，波及马里奥、塞尔达、宝可梦等多个IP；
• 2021年11月，CD Projekt Red遭勒索软件攻击，《赛博朋克2077》源代码被窃并在暗网拍卖；
• 2022年9月，黑客在网上发布约90段GTA6开发中视频，是当时史上规模最大的3A开发素材泄露，Rockstar被迫提前确认项目真实存在；
• 2023年12月，Insomniac Games遭勒索软件攻击，超过1TB内部数据被公开，未公布项目《漫威金刚狼》的开发素材大量流出。

以往的重大泄露，几乎都源于黑客入侵、勒索软件或内部人员，厂商至少可以归结为「被恶意针对」。而这一次没有攻击者、没有恶意行为，只是一次任何人都能发起的公开API抓取——36款游戏的预发布数据，就那样堂而皇之地躺在公开接口里。恶意攻击你还能防，流程漏洞防不住，只能靠修。就「单次泄露涉及未公布项目的数量」而言，这次事件已经超过2022年的GTA6泄露和2023年的Insomniac事件，社区中「足以载入行业泄露史」的说法并非夸张。

名单越长，厂商越疼

成就列表是一款游戏的骨架X光片——流程分几章、有没有多结局、有没有联动内容，往往都能从中读出线索。对厂商来说，损失至少有三层。

最直接的是惊喜感的折损。女神异闻录6这样的名字，本可以是一场发布会上的尖叫时刻，现在变成了一份冷冰冰的成就数据。其次是宣发节奏的失控：预告片剪好的版本要改口径，商店页上线时机要重估，与IP授权方的沟通可能要重来一遍，公布窗口被迫重排。第三层最隐蔽——项目存在本身被证实。有些传闻项目厂商多年不置可否，就是想保留进退空间，这次连成就都挂上去了，等于底牌直接明示。

而对Valve，账也至少有两笔。其一是技术账：预发布数据的接口隔离必须立刻补上，并排查是否还有其他字段顺着同一个接口外泄。其二是生态账：Steam数以万计的开发者把商店页、构建版本、成就数据都托管在这套系统上，厂商信任Steam，本质上是信任它替自己保管的东西不会漏。如果发行商从此对提前上传数据心存忌惮，最终影响的是发售日当天的玩家体验。截至目前，Valve方面只有「悄悄修好」这一个动作，没有交代，也没有说明原因——这种沉默本身，已经是受影响厂商和媒体追问的焦点。

小结

一次公开API抓取，36款大作现形，没有黑客也没有内鬼。对比2003年Valve自家源代码泄露、2022年GTA6视频泄露、2023年Insomniac勒索事件，这次事件的独特之处在于：它不是一次「攻击」，而是一次「机制失灵」。可以预见，Valve将收紧相关接口的数据可见性，厂商也会把预发布数据的上传时间推得更晚、命名做得更隐蔽——保密的螺丝会一颗颗拧紧，而代价之一，是成就统计等第三方玩家工具体验的缩水。泄露史又添了一页，而这一页写的不是谁攻破了谁，而是：平台越大，流程上的每一颗螺丝都越重要。