Thất thoát thầm lặng: Cách các tác nhân LLM vượt tầm kiểm soát đốt cháy ngân sách không ngờ

Sự phát triển nhanh chóng của các tác nhân Mô hình Ngôn ngữ Lớn (LLM) trong môi trường doanh nghiệp đang mở khóa khả năng tự động hóa và phân tích chưa từng có. Tuy nhiên, một mô hình sự cố đáng lo ngại đã xuất hiện: các tác nhân LLM không kiểm soát đốt cháy hạn ngạch API và gây ra chi phí đáng kể, thường không lường trước được. Hiện tượng này, được gọi là 'sự cố đốt cháy token', làm nổi bật những lỗ hổng nghiêm trọng trong an ninh và giám sát hoạt động AI hiện tại.

Điều gì đã xảy ra

Các nhà phát triển đang trải qua một sự thất thoát tài chính thầm lặng khi các tác nhân LLM của họ, được thiết kế để tự động hóa các tác vụ phức tạp, vô tình rơi vào trạng thái vượt tầm kiểm soát. Một nhà phát triển kể lại một tác nhân gặp lỗi JSON nhỏ, sau đó đi vào "vòng lặp lập kế hoạch, phân tích, thử lại và tóm tắt vô ích". Lỗi tưởng chừng vô hại này đã dẫn đến sự gia tăng đột biến về số lượng yêu cầu và mức tiêu thụ token, nhanh chóng cạn kiệt hạn ngạch API. Hậu quả tài chính có thể rất lớn. Các báo cáo chỉ ra các sự cố mà các cá nhân đã đốt cháy 1,3 triệu đô la token API của OpenAI chỉ trong một tháng. Mặc dù điều này có vẻ cực đoan, nhưng nó nhấn mạnh sức mạnh vốn có và tiềm năng chi tiêu không kiểm soát khi các tác nhân AI hoạt động mà không có hàng rào bảo vệ vững chắc.

Bản chất tự chủ của các tác nhân LLM, trong khi là sức mạnh lớn nhất của chúng, cũng là lỗ hổng tài chính và hoạt động đáng kể nhất của chúng.

Một ví dụ thực tế khác cho thấy quy mô của những chi phí này, ngay cả trong môi trường được kiểm soát chặt chẽ hơn. Vận hành một nhóm nhỏ các tác nhân AI để nghiên cứu và phân tích, một công ty đầu tư mạo hiểm đã chi tiết chi phí là 1.462,37 đô la vào tháng 6 năm 2026, với 1.022,82 đô la được quy trực tiếp cho các nhà cung cấp mô hình như OpenAI, Anthropic và Perplexity. Mặc dù khoản chi tiêu cụ thể này là có chủ đích và hiệu quả, nhưng nó minh họa chi phí cơ bản của hoạt động tác nhân và tiềm năng tăng trưởng theo cấp số nhân nếu một tác nhân trở nên mất kiểm soát. Vấn đề cốt lõi thường nằm ở việc các tác nhân bị mắc kẹt trong các vòng lặp không hiệu quả, liên tục thử lại các hoạt động thất bại hoặc tạo ra dữ liệu dư thừa, đồng thời liên tục tiêu thụ các token API đắt tiền.

Tại sao mô hình này vẫn lặp lại

Mô hình sự cố này vẫn tồn tại do sự kết hợp của các yếu tố vốn có trong thiết kế tác nhân LLM hiện tại và các thực tiễn triển khai. Thứ nhất, bản chất lặp đi lặp lại của các quy trình làm việc của tác nhân – lập kế hoạch, thực hiện, phân tích, tinh chỉnh – có thể trở thành một chu kỳ tự duy trì nếu không được hạn chế đúng cách. Một lỗi nhỏ hoặc một lời nhắc mơ hồ có thể khiến tác nhân liên tục đánh giá lại một vấn đề, tạo ra nhiều lệnh gọi API tốn kém trong quá trình này. Thứ hai, khả năng quan sát không đầy đủ về mức tiêu thụ token ở mức độ chi tiết, trên mỗi tác nhân có nghĩa là chi phí vượt tầm kiểm soát thường không được chú ý cho đến khi có cảnh báo thanh toán hoặc cạn kiệt hạn ngạch. Các nhà phát triển thử nghiệm tác nhân có thể thấy những biến động nhỏ ban đầu, nhưng chi phí sẽ tăng lên đáng kể khi tác nhân gặp phải trường hợp ngoại lệ hoặc trạng thái lỗi dai dẳng. Khối lượng lớn các lệnh gọi API tiềm năng mà một tác nhân có thể thực hiện trong thời gian ngắn làm trầm trọng thêm vấn đề này, biến các lỗi nhỏ thành các khoản nợ tài chính lớn.

Quy trình tấn công từng bước

Mặc dù các sự cố chính được thảo luận ở đây thường là ngẫu nhiên, nhưng tác động tài chính phản ánh một cuộc tấn công từ chối ví. Kẻ tấn công, hoặc thậm chí một tác nhân hợp pháp không được tối ưu hóa, có thể thực hiện các bước sau:

1. Xác định điểm cuối của tác nhân: Tìm một API hoặc giao diện tác nhân LLM bị lộ hoặc được bảo mật kém.
2. Chèn lời nhắc mơ hồ/độc hại: Cung cấp một lời nhắc được thiết kế để gây nhầm lẫn cho tác nhân hoặc buộc nó vào trạng thái không xác định. Đây có thể là một yêu cầu phức tạp, mâu thuẫn hoặc một yêu cầu đòi hỏi số lượng lặp lại không thể thực hiện được.
3. Kích hoạt vòng lặp đệ quy: Khai thác cơ chế vòng lặp 'lập kế hoạch-phân tích-thử lại' vốn có của tác nhân. Ví dụ, lỗi phân tích cú pháp JSON có thể khiến tác nhân liên tục thử lại cùng một hành động thất bại, tạo ra các yêu cầu mới mỗi lần.
4. Duy trì đốt cháy token: Duy trì đầu vào mơ hồ hoặc điều kiện lỗi, đảm bảo tác nhân tiếp tục tiêu thụ token với tốc độ nhanh hơn, làm tăng chi phí API.
5. Cạn kiệt hạn ngạch/gây ra chi phí: Tiếp tục cho đến khi hạn ngạch API của tổ chức mục tiêu cạn kiệt hoặc gây ra thiệt hại tài chính đáng kể.

Những gì các nhà phòng thủ đã bỏ lỡ

Các nhà phòng thủ phần lớn đã bỏ lỡ các tác động về an ninh hoạt động và tài chính của hành vi tác nhân LLM không được giám sát. Một sai sót nghiêm trọng là thiếu giám sát chi phí theo thời gian thực, chi tiết được gắn trực tiếp với hoạt động của tác nhân. Nhiều tổ chức dựa vào các báo cáo thanh toán tổng hợp, chỉ tiết lộ vấn đề sau khi thiệt hại đã xảy ra. Hơn nữa, cơ chế xử lý lỗi và phục hồi không đầy đủ trong kiến trúc tác nhân cho phép các vấn đề nhỏ, chẳng hạn như lỗi JSON, leo thang thành các vòng lặp vô hạn tốn kém. Cũng có một sự đánh giá thấp chung về 'bán kính vụ nổ' của một tác nhân không bị ràng buộc; giả định rằng một tác nhân sẽ chỉ thất bại một cách nhẹ nhàng thường không chính xác. Việc thiếu giới hạn tỷ lệ nghiêm ngặt và giới hạn ngân sách ở cấp độ tác nhân hoặc khóa API riêng lẻ tạo ra một môi trường dễ xảy ra chi phí vượt tầm kiểm soát. Cuối cùng, quản lý bộ nhớ và nhận thức ngữ cảnh phù hợp, chẳng hạn như được triển khai bởi "Lớp bộ nhớ GoodMem", có thể giảm 28% việc đốt cháy token và tiết kiệm tiềm năng hàng trăm nghìn đô la hàng năm, thường bị bỏ qua trong các triển khai ban đầu.

Danh sách kiểm tra phòng thủ thực tế

• Triển khai giám sát chi phí chi tiết: Theo dõi mức sử dụng token và các lệnh gọi API cho mỗi tác nhân, mỗi dự án và theo thời gian thực. Tích hợp với cảnh báo thanh toán.
• Đặt giới hạn ngân sách cứng: Áp dụng giới hạn chi tiêu nghiêm ngặt ở cấp độ khóa API hoặc cấp độ tác nhân tự động vô hiệu hóa quyền truy cập khi đạt đến ngưỡng.
• Xử lý lỗi mạnh mẽ & ngắt mạch: Thiết kế tác nhân với khả năng phục hồi lỗi phức tạp, bao gồm các cơ chế để phát hiện và thoát khỏi các vòng lặp không hiệu quả, và ngắt mạch để dừng thực hiện trong điều kiện bất thường.
• Tối ưu hóa bộ nhớ ngữ cảnh: Sử dụng các lớp bộ nhớ để giảm các lệnh gọi API dư thừa và cải thiện hiệu quả của tác nhân, từ đó cắt giảm mức tiêu thụ token không cần thiết.
• Giới hạn tỷ lệ: Áp dụng giới hạn tỷ lệ API ở cấp độ cổng để ngăn các tác nhân riêng lẻ thực hiện quá nhiều lệnh gọi trong thời gian ngắn.
• Xác thực và làm sạch đầu vào: Thực hiện xác thực nghiêm ngặt tất cả các đầu vào cho tác nhân để ngăn chặn các lời nhắc không đúng định dạng hoặc mơ hồ kích hoạt hành vi vượt tầm kiểm soát.
• Kiểm tra tấn công thường xuyên: Chủ động kiểm tra tác nhân để tìm các điều kiện vượt tầm kiểm soát, lỗ hổng vòng lặp lỗi và mức tiêu thụ token quá mức dưới áp lực.

Cách kiểm thử tấn công hiện đại đã phát hiện ra điều này

Kiểm thử bảo mật truyền thống thường tập trung vào các vi phạm dữ liệu và truy cập trái phép. Tuy nhiên, mô hình sự cố 'đốt cháy token' đòi hỏi một cách tiếp cận khác. Kiểm thử tấn công hiện đại, đặc biệt là kiểm thử tấn công tự động, sẽ chủ động xác định các lỗ hổng này. Bằng cách mô phỏng nỗ lực của kẻ tấn công (hoặc một sự cố ngẫu nhiên) để gây ra trạng thái vượt tầm kiểm soát, kiểm thử như vậy có thể phát hiện ra các lỗi thiết kế dẫn đến mức tiêu thụ token quá mức. Nền tảng của chúng tôi, tập trung vào an ninh tác nhân AI, cho phép kiểm thử tấn công tự động với các Bằng chứng khái niệm (PoC) có thể thực thi được. Điều này cho phép các nhóm bảo mật hệ thống tiêm các lời nhắc không đúng định dạng, kích hoạt các lỗi trường hợp ngoại lệ và quan sát hành vi của tác nhân dưới áp lực, xác định các vòng lặp vượt tầm kiểm soát tiềm năng và định lượng tỷ lệ đốt cháy token của chúng trước khi chúng ảnh hưởng đến ngân sách sản xuất. Việc xác thực chủ động này vượt xa phân tích lý thuyết, cung cấp bằng chứng cụ thể về các lỗ hổng và tác động tài chính của chúng.

Những điều cần theo dõi tiếp theo

Khi các doanh nghiệp ngày càng điều phối hoạt động với AI, sự căng thẳng giữa tốc độ và kiểm soát sẽ tăng cường. Trọng tâm sẽ chuyển sang các khuôn khổ quản trị AI và an ninh tác nhân toàn diện. Dự kiến sẽ thấy nhiều cổng AI tinh vi hơn xuất hiện, cung cấp kiểm soát tập trung, thực thi chính sách và khả năng hiển thị theo thời gian thực về các hoạt động và chi phí của tác nhân. Sự phát triển của các lớp bộ nhớ và nhận thức ngữ cảnh trong các tác nhân sẽ rất quan trọng để đạt được hiệu quả và giảm chi phí. Hơn nữa, việc phát triển các tiêu chuẩn ngành để triển khai và vận hành tác nhân LLM an toàn sẽ trở nên tối quan trọng. Mục tiêu là hướng tới một tương lai nơi các tác nhân AI không chỉ mạnh mẽ mà còn có thể kiểm toán, dự đoán và tiết kiệm chi phí, giải quyết sự căng thẳng hiện tại giữa tốc độ AI và nhu cầu cấp thiết về kiểm soát tài chính và hoạt động. Cuộc trò chuyện sẽ vượt ra ngoài chức năng đơn thuần để bao gồm an ninh vòng đời đầy đủ và khả năng tồn tại kinh tế của các triển khai tác nhân AI, đảm bảo rằng sức mạnh của AI không đi kèm với một mức giá cao bất ngờ. Các tổ chức như Palo Alto Networks đã nhấn mạnh sự cần thiết của 'An ninh tác nhân' và 'Quản trị AI' như các danh mục quan trọng để phát triển AI an toàn, báo hiệu sự công nhận rộng rãi hơn của ngành về những thách thức mới nổi này.