推理成本异常与算力劫持防御

可视化演示

攻击模式透视

网吧保安小张最近很困惑：凌晨三点，没有客人，包间里的电脑却全都亮着，风扇嗡嗡作响。他推门一看，十几台机器在跑不知名的程序，屏幕上的数字疯狂跳动。“电费不要钱吗？”他嘀咕道。这就是白嫖黑客的作案现场：他们不砸窗、不撬锁，而是捡来别人丢的会员卡——也就是 API 密钥——大摇大摆走进来。

在 AI 推理平台上，算力劫持的“入场券”就是 API 密钥。密钥可能从代码仓库泄露、日志误打、或第三方数据库被拖库而流出。攻击者用盗来的密钥调用平台接口，跑的是自己的私活：批量生成垃圾文本、暴力枚举候选词、甚至把 GPU 当“免费云主机”。他们还会用代理服务器伪装请求来源，把高频调用打散到不同 IP，让单一来源看起来不那么可疑。

要评估一次劫持造成的成本伤害，可以把它拆成三个相乘的因数：

三个因数就像网吧计费的“时长 × 台数 × 单价”。攻击者就算把请求频率伪装得再正常，Token 消耗和单价这两项也会在账单上留下踪迹。看懂这张“电费单”的结构，是后面所有防线的基础。

成本基线建模

小张盘了三年账，终于摸透网吧的电费规律：工作日白天是高峰，夜里两点到六点几乎没人；周末下午翻倍，节假日更是爆满。他把这些规律写成一张“电费日历”，每天对账时，心里都知道“今天大概该花多少钱”。

AI 平台的成本基线就是这张“电费日历”：它统计无攻击时推理服务在单位时间内的期望成本。基线按时间维度（小时、星期、节假日）和业务维度（模型、接口、用户组）分别建模，回答“什么是正常”。采集历史成本数据后，先做清洗——剔除明显异常的尖峰——再按业务时段分组统计，形成每个时段各自的正常区间。

技术上，常用指数加权移动平均（EWMA）让基线平滑地跟随业务漂移。它对近期数据赋予更高权重，而不是简单求历史平均：

基线不是一张死日历。当网吧换了新空调（模型升级）、开了新包间（发布新服务），日历必须跟着改，否则旧基线会把新常态误判成异常，或者让真正的攻击藏在漂移中被忽略。

异常检测指标

有了“电费日历”，小张每天对账。这天他猛地发现：凌晨三点，按日历应该安静如夜，电表却转得跟白天一样快。他说不出哪里不对，但数字告诉他：异常来了。

异常检测指标就是从成本数据里提炼出的“异常气味”。常用的有四类：请求频率突增，指每秒调用次数远超历史水平；Token 消耗陡升，指总 Token 量或单次请求 Token 数出现跳变；成本增长率骤增，指成本环比涨幅异常；还有单位请求成本的漂移，指同样的调用次数却花了更多的钱。

其中最经典的统计量是 Z-score，它衡量当前观测值偏离均值多少个标准差，回答“这次异常有多离谱”：

再配上成本增长率做短时间尺度的判断：

Z-score 回答“离正常有多远”，增长率回答“比上一刻涨了多少倍”。两个指标就像小张的两只手电筒，一远一近，把黑暗里的异常照得清清楚楚。

实时告警体系

小张不能在机房里盯一辈子电表，于是他装了一排警铃。电费超过阈值的 80% 时，铃铛轻响；超过阈值时，警铃大作；持续超线五分钟，直接给老板打电话并自动拉下电闸。

告警体系要解决三件事：什么时候响（阈值触发规则）、响了之后找谁（分级告警路由）、以及如何避免吵到无关的人（告警聚合去重）。阈值规则可以为每个指标设定动态阈值——超过 Z-score 上限或增长率上限即触发；分级路由则按严重度把告警送入不同通道。

在多指标场景下，把各维度的异常程度加权求和，得到综合告警分：

分好的级别大致是：L1 记录日志并异步通知；L2 发邮件、建工单；L3 短信 + 电话 + 自动熔断。聚合去重则把同一攻击源在短时间内的重复告警合并成一条，避免告警风暴淹没值班人员。好的告警是“该响时响，不该响时不响”——路过一辆摩托车不会响，但有人拿着电钻改电路，警铃绝对会第一时间把所有人叫醒。

多维风控策略

警铃响完，保安要动手了。小张的腰带上挂着三样家伙：验卡器（身份认证）、计时钟（速率限制）和行为记事本（行为画像）。面对可疑客人，他逐一使出。

第一层是身份认证强化：要求高风险操作绑定 MFA、定期轮换 API 密钥，让捡来的会员卡失效。第二层是速率限制：用令牌桶算法控制每个密钥单位时间内的请求数量，让攻击者即便有卡也“跑不动”。第三层是行为画像：分析请求的时间分布、IP 来源、调用链模式，把“机器行为的规律性”与“人类调用的随机性”区分开。必要时，对可疑流量触发人机验证挑战，进一步抬高自动化攻击的成本。

令牌桶算法的核心逻辑是：每秒向桶中补充固定速率令牌，桶有容量上限，每个请求消耗一个令牌：

三层防护层层递进：验卡挡住“进不来”，限速挡住“跑不动”，画像盯住“藏不住”。即便黑客盗了卡，也会因为无法在短时间内大规模调用而显著减速，成本账单上的异常曲线被拉平，为后续处置争取时间。

配额动态管理

最后一道防线，小张在收银系统里给每张会员卡装上了“消费天花板”：普通卡月消费 2000 封顶，VIP 卡 5000，黄金卡 1 万。额度用到 80% 发短信提醒，用尽自动冻结，想继续充值得本人带身份证来前台。

配额动态管理把无限的算力池变成每个用户头上“有限的蓄水池”。平台按用户等级分配初始配额，每次调用实时扣减，并支持超额熔断：配额耗尽即拒绝请求，直到管理员人工放行或下个周期自动重置。剩余额度的计算公式很直观：

更精细的做法是引入信任因子调节配额。历史行为良好、认证强度高的用户自动上调额度；有过异常记录、行为可疑的用户额度自动缩水：

配额管理把“事后救火”升级为“事前设限”。即使黑客偷走了普通用户的密钥，他最多刷爆这张卡里的额度，而无法掏空整个平台的算力池。小张的网吧从此再也没出现过凌晨三点的神秘电费单。

AI 应用场景

Python 演示

import timeimport random  class TokenBucket:    """令牌桶限流器：按固定速率补充令牌，桶有容量上限"""     def __init__(self, tokens_per_sec, capacity):        self.tokens_per_sec = tokens_per_sec        self.capacity = capacity        self.tokens = capacity        self.last_time = time.time()     def try_acquire(self, need=1):        now = time.time()        self.tokens = min(            self.capacity,            self.tokens + (now - self.last_time) * self.tokens_per_sec,        )        self.last_time = now        if self.tokens >= need:            self.tokens -= need            return True        return False  class CostMonitor:    """成本监控器：基于滑动窗口均值的异常检测"""     def __init__(self, threshold=10.0, window=60):        self.threshold = threshold        self.window = window        self.costs = []     def add_sample(self, cost):        self.costs.append(cost)        if len(self.costs) > self.window:            self.costs.pop(0)     def is_anomaly(self, cost):        avg = sum(self.costs) / max(len(self.costs), 1)        return cost > max(self.threshold, avg * 1.5)  def simulate():    bucket = TokenBucket(tokens_per_sec=4, capacity=8)    monitor = CostMonitor()    for sec in range(120):        is_attacking = 60 <= sec <= 85        reqs_per_sec = 10 if is_attacking else 2        total_cost = 0.0        blocked = 0        for _ in range(reqs_per_sec):            unit_cost = 2.0 if is_attacking else 1.0            unit_cost += random.uniform(-0.3, 0.3)            total_cost += unit_cost            if not bucket.try_acquire():                blocked += 1        monitor.add_sample(total_cost)        status = "异常" if monitor.is_anomaly(total_cost) else "正常"        print(            "第{:3d}秒 成本={:5.1f} 状态={} 拦截={}/{}".format(                sec, total_cost, status, blocked, reqs_per_sec            )        )  if __name__ == "__main__":    simulate()

1. class TokenBucket:令牌桶限流器，对应网吧的“计时钟”，限制每张会员卡单位时间内的上机次数。
2. self.tokens = min(...)先按经过时间补充令牌，再判断是否够用，模拟固定速率注入。
3. if self.tokens >= need:令牌够则放行并扣减，不够则拒绝，这是速率限制的裁决逻辑。
4. class CostMonitor:成本监控器，对应“电费日历 + 异常手电筒”，负责评估每秒钟的成本是否正常。
5. self.costs.pop(0)只保留最近 60 个样本，形成滑动窗口，让基线跟随近期业务漂移。
6. is_attacking = 60 <= sec <= 85模拟第 60 秒起攻击者涌入，请求密度和单次成本同时抬升。
7. monitor.add_sample(total_cost)将每秒总成本喂给监控器，作为异常检测的输入。
8. status = "异常" if ...若当前成本超过阈值或窗口均值的 1.5 倍，判定为异常，触发告警。
9. if not bucket.try_acquire(): blocked += 1每个请求先过令牌桶，被拦截的请求计入 blocked，直观展示“限流止损”效果。

常见误区

面试题