无限制消耗实战：当一次对话拖垮整池资源

原创

奋斗的小浪
奋斗的小浪

船山信安

2026年8月18日 14:56
湖南

在小说阅读器读本章

去阅读

事件速览
上篇 LLM09 讲\"假话\"，假话每编一句、每答一次，背后都在烧东西——算力、钱、配额、上下文窗口。这篇把账算清：OWASP LLM10 无限制消耗（Unbounded Consumption）。它和 LLM06 过度代理是两码事：LLM06 是\"伸手拿权限\"（动作危险），LLM10 是\"无节制地用资源\"（账单危险）——一个失控的 Agent 或一段精心构造的输入，能把整池算力/预算打爆，让服务变慢、账单暴涨甚至停服。下面从定性、原理、复现、检测到加固，把\"资源这条线\"收个尾，并给出全系列十篇的总览。

01  先把它定性：不是\"被打挂了\"，是\"被算穷了\"

传统拒绝服务（DoS）想的是\"把服务器打瘫\"；LLM10 想的是\"把资源账单打爆\"——不一定宕机，但成本失控、延迟飙升、配额耗尽。

· 传统 DoS：用流量把带宽/连接打满，服务不可用。

· LLM10 无限制消耗：用\"合法但极耗资源\"的请求（超长上下文、递归调用、批量并发）把算力/金钱/配额耗尽，服务变慢或限流，账单异常。

所以 LLM10 的病灶不在\"攻击流量大\"，而在\"每个请求单价高 + 没有天花板\"。再叠加 LLM06 的 Agent 自治——Agent 自己递归调自己，几次就把预算烧穿。

模型不是被\"打\"挂的，是被\"用\"穷的。最贵的那次调用，可能就是一次没人拦住的递归。

02  原理：资源从哪四个口子漏出去

四个消耗面，叠在一起就形成\"合法但失控\"的账单：

逐一拆：

1. 算力消耗：大模型推理随上下文长度近似平方级变贵。一段几千 token 的输入，比百字输入贵几十倍。

2. 金钱消耗：主流 API 按 token 计费。一个 Agent 递归调 5 次、每次吐长文，成本是指数级——一次\"死循环\"就能烧掉一个月预算。

3. 配额消耗：很多平台按调用次数/并发数限流。攻击者用批量并发占满配额，正常用户被挡在门外（变相 DoS）。

4. 上下文溢出：超长输入塞爆窗口，模型截断或报错后上层重试，重试又重新算——\"重试风暴\"把资源二次吃光。

这里要和 LLM06 划清：LLM06 是 Agent 做了危险动作（删库/发邮件），LLM10 是 Agent 无节制地消耗资源（递归/长上下文/并发）。两者常一起出现——一个失控的过度代理 Agent，既是权限风险，也是账单炸弹。

03  沙箱复现：让它\"算到停不下来\"

防守向复现（仅授权沙箱/自建环境）：

1. 本地起一个带工具的小 Agent，挂一个\"会再调用自己\"的工具（仅计数，不真做事）。

2. 递归演示：构造一句话\"把上面那步再做一遍，连做 20 次\"，观察 Agent 是否进入递归、调用次数与 token 消耗曲线是否指数上升。

3. 长上下文演示：投一段 8000 token 的\"请总结\"文本，对比百字输入的延迟与成本倍数。

4. 并发演示：用脚本并发发 50 个请求，看配额是否被占满、正常请求是否被限流。

5. 采集\"单会话 token 峰值 / 递归深度 / 并发占额比\"作为阈值依据。

这一步和 LLM06 形成对照：LLM06 是\"权限没闸\"，LLM10 是\"资源没顶\"——所以它在风险地图里是运营的兜底账。

你以为它在\"帮你干活\"，其实它在\"帮你烧钱\"。没设上限的 Agent，等于把信用卡交给了循环。

04  检测：在\"资源\"上布四道防线

资源消耗难察觉，因为单看每次请求都\"合法\"。只能从\"额度与异常\"四个角度布防：

· 速率限制（入口层）：单用户/IP 单位时间请求数封顶，超即限流。

· 配额管理（账户层）：按用户/应用设日/月调用与 token 上限，触顶熔断。

· 成本监控（账单层）：实时盯 token 消耗与费用曲线，突变即告警。

· 异常请求模式（行为层）：识别递归调用、超长上下文、突发并发，记分并阻断。

四套平台规则（覆盖 请求 / 配额 / 成本 / 行为 四类日志）：

Splunk SPL：单会话 token 异常 index=llm\_access sourcetype=req | stats sum(tokens) as tk by session\_id | where tk > 200000 | table session\_id, tk

// Sentinel KQL：递归调用深度异常 LlmToolCall | where tool==\"self\_invoke\" | summarize depth=max(call\_depth) by session\_id | where depth > 5 | extend Risk=\"Agent 递归失控/无限制消耗\"

-- Elastic ES|QL：成本曲线突变 FROM llm\_cost\_logs | WHERE cost\_per\_min > 50 | STATS cnt = COUNT(\*) BY app\_id

title: LLM10 单会话资源消耗越限 status: experimental logsource:   product: llm   category: access detection:   selection:     tokens: \">200000\"   condition: selection level: high

05  真实事件：账单已经炸过

· 递归 Agent 烧钱：多起，开发者给 Agent 自调用权限又没深度限制，陷入循环，几小时烧掉数千美元 API 费。

· 长上下文 OOM：超大文档塞进上下文，推理服务内存打满、批量超时，其他请求被拖垮。

· 提示词占满配额：攻击者用批量长提示并发刷接口，占满平台配额，正常用户被限流（变相 DoS）。

· 账单暴涨告警：2024–2025 多起企业 AI 应用上线后单日 token 费用超预算数十倍，追溯为无限递归 + 无上限并发。

时间线很清楚：从\"递归烧钱\"，到\"长上下文 OOM\"，再到\"并发占额/账单暴涨\"——资源失控已是现实账。

图 ｜ 无限制消耗真实事件时间线：递归烧钱、长上下文 OOM、并发占额、账单暴涨。

06  降噪：别把\"正常高峰\"当攻击

检测最容易误伤的两类正常情况：

1. 业务自然高峰：大促/报表期并发本就高，不是攻击——看\"是否超出历史基线倍数 + 有无递归/超长特征\"，不只看并发数。

2. 长文档合法处理：法律文书/论文总结本就长上下文，不是异常——靠\"单会话 token 基线 + 重试次数\"放行，不对长输入一律告警。

一句话：告警看\"递归深度 + token 峰值 + 并发占额 + 成本突变\"四件套同时命中，单维异常只记分。

07  加固：把\"资源\"戴上天花板

加固的核心就一句：Agent 和资源都要有\"闸\"——权限有 human-in-the-loop，消耗有硬上限。LLM06 管\"能不能做\"，LLM10 管\"能做多少\"。

图 ｜ 无限制消耗加固对照：五个风险点，左脆弱右加固。

08  结语：全系列十篇，风险地图收官

十篇连起来，OWASP LLM Top 10 的攻防全景就齐了。按\"从地基到落地\"串成一条链：

攻防链：地基（LLM03）→ 喂养（LLM04）→ 入口（LLM01 / LLM07）→ 记忆（LLM08）→ 软肋（LLM02）→ 可信（LLM09）→ 落地（LLM05）→ 权限（LLM06）→ 运营账（LLM10）。十个风险不是孤岛：脏数据养歪模型，撬开的记忆喂错上下文，错上下文产出假话，假话被当真二次注入，Agent 顺手拿了权限，最后递归把资源烧穿——它们首尾相扣，才是大模型真实的安全面。

这十篇，是\"船山信安\"AI 安全系列的第一轮收口。下一步可以往\"红队实测清单\"\"合规映射（等保/关基）\"\"行业落地（金融/政务/医疗）\"三个方向走。关注我们，把这套攻防链接到你自己的系统里。

图 ｜ 无限制消耗四大消耗面：算力 / 金钱 / 配额 / 上下文溢出。

图 ｜ 检测逻辑：限流 / 配额 / 成本 / 行为 四层守住资源天花板。