CISA AI Token 指引警告：使用量可演變成攻擊

CISA 及其盟友網絡安全機構警告，AI 用量即使在系統尚未離線前，已可構成安全威脅。CISA 的 AI token 指引針對 denial-of-wallet 攻擊，即蓄意濫用以推高機構按用量計費的開支。其重要性不僅在於突如其來的賬單：開支上限及容量耗盡，同樣可中斷依賴 AI 的工作。

ExecutiveGov 的 10 月網絡安全報道 將事件日期列為 2026 年 10 月 23 日。核心矛盾很直接：企業希望 AI 系統能持續處理複雜工作，但持續運作亦會消耗資源。一個可靠地持續執行未獲授權或浪費性工作的系統，會造成另一類可靠性問題。

這項憂慮已見於 OWASP 的安全框架及 Microsoft 的企業安全文件。該指引把議題帶入採購及營運韌性的討論。企業買家、開發人員及安全團隊現時面對一個共同問題：誰可決定 AI 工作流程何時已完成足夠工作，又由誰可停止其開支？

CISA AI Token 指引將開支與服務持續性連結起來

關鍵改變在於，AI 用量被視為值得接受安全監督的營運依賴。

這份可透過 Canadian Centre for Cyber Security 取得的聯合刊物名為 AI token consumption。Token 是 AI 模型處理或生成的資訊單位，有助量度用量；不過，token 數量、運算工作量與收費之間的關係取決於服務而有所不同。

刊物區分財務損失與存取額度耗盡。Denial-of-wallet 攻擊會蓄意增加按用量計費的成本。Denial-of-tokens 攻擊則會耗盡配額或觸發限制，妨礙合法存取。兩者的結果可能重疊，但不能互相混為一談。

指引亦指出資源耗盡的日常營運原因，包括正當需求及效率欠佳的應用程式。它敦促機構在與供應商簽訂協議前，先了解用量及服務條款。對關鍵基礎設施營運者而言，當 AI 能力下降或無法使用時，所關注的亦包括服務持續性。

這個框架之所以重要，是因為財務保障措施本身也可能成為可用性限制。停止用量可保障預算，但不加區分地停止，可能中斷重要工作。繼續消耗資源可暫時保留存取權，卻令機構暴露於進一步開支之下。

實際含意是不同目標之間的衝突。財務部門希望可預測的風險承擔；營運團隊希望可靠存取；產品團隊希望任務成功完成；安全團隊希望可控制可疑行為。AI 部署需要明確方法，在目標衝突時作出取捨。

設想一個用於日常問題及緊急營運調查的企業文件助手。兩類活動都可能依賴同一個底層模型帳戶。若浪費資源的背景工作耗用了緊急調查所需資源，便會變得重要。

這個例子並不代表任何特定機構曾遭遇此類事件，而是說明開支邊界設於何處的重要性。附加於整個帳戶的限制，會與附加於個別工作流程的限制帶來不同後果。

它亦改變了對成功示範的理解。示範只能證明助手能在選定條件下完成選定任務，不能證明服務在需求改變、相依項目失效，或獲准活動變得過度時會如何運作。

對買家而言，這在能力證據與營運證據之間造成落差。前者回答系統能否完成工作；後者回答機構能否在不利條件下繼續使用它。

CISA 的 AI token 指引令第二個問題更難被排除在採購流程以外。這個議題應與服務可用性、復原預期及故障責任一併考慮。

壓力落在無法看見個別工作負載的買家身上

整體 AI 賬單無法說明某個個別工作流程是否值得繼續運行。

即時壓力落在透過應用程式、整合及共享服務購買 AI 能力的機構身上。他們的難題是把資源消耗與業務目的連結起來。缺乏這種連結時，用量總數上升在事故期間幾乎無法提供幫助。

異常昂貴的任務可能屬正當，例如涉及艱深分析、大量文件，或為解決互相矛盾的證據而反覆嘗試。同樣的開支模式，亦可能反映整合失效或蓄意濫用。

這種模糊性令簡單判斷並不可靠。高用量不代表惡意意圖；低用量也不代表行為安全。真正有意義的問題是，該活動是否仍屬獲授權、合乎比例且有用。

因此，採購團隊需要控制邊界的證據，而非關於監察的安撫性說法。儀表板可顯示問題，卻未必能阻止問題。警報可通知一個沒有權限或技術手段介入的人。

Microsoft 的 unbounded AI consumption 文件描述了高需求提示、重複請求及過度 agent 活動所造成的資源耗盡。文件建議在模型呼叫及下游服務之間採取控制措施，包括配額、隔離，以及限制 agent 擴張。Microsoft 亦指出，廣為人知的惡意事故目前仍然有限。

最後這項限定對買家尤其重要。可信的威脅模型有助準備，但不足以合理化將每次成本上升都視為攻擊。良好的採購決策需要區分已展示的機制與已量度的事故普遍程度。

Microsoft 的立場亦可與 OWASP 的應用程式安全框架作有用比較。Microsoft 在企業安全環境中描述控制措施；OWASP 則跨應用程式對底層用量弱點作分類。這些觀點相互印證問題存在，但並不能證明某個特定供應商已解決它。

商業上的含意是，供應商將愈來愈需要說明其控制措施的範圍。限制是套用於客戶、部門、應用程式，還是個別工作？營運人員能否隔離可疑工作，同時保留不相關活動？

這些問題亦影響買家機構內部的問責。財務團隊可能負責預算，而工程團隊負責整合；安全團隊可能收到警報，卻不負責合約。若交接安排未獲解決，便可能出現人人知情、卻無人負責停止工作流程的情況。

對開發人員而言，用量可見度成為診斷應用程式行為的一部分。知道帳戶花費增加，遠不如知道哪個工作重複執行未成功的操作有用。有效證據應把任務、其進度及所消耗的資源連結起來。

對知識工作者而言，後果會表現為回覆延遲、研究中斷或助手無法使用。他們很少控制底層資源分配；其體驗取決於採購及工程團隊早在中斷發生前所作的決策。

檢視這些相依關係的團隊，可把已批准的合約、架構決策及事故程序保存在可搜尋的技術知識庫。文件有助協調應對工作，但不能取代由應用程式強制執行的控制措施。

有用的自主性與受限用量朝不同方向拉扯

核心取捨在於，容許系統繼續執行有用工作，與防止它無限期繼續運作之間。

AI agent 是使用模型在任務過程中選擇行動的軟件。這可令艱難工作更容易委派，也意味最初的請求未必描述其後每一項行動。

使用者可能授權一項調查，卻不知道 agent 將需要哪些搜尋、文件或外部服務。過於嚴格的邊界可能過早停止有用工作；開放的邊界則令機構承受尚未完全界定的後果。

OWASP 的 unbounded consumption 類別將不受控制的模型使用視為服務降級及經濟損害的來源。其例子包括過量請求及資源密集型查詢。該框架建議採取分層保護，包括資源管理、逾時、監察及優雅降級，即保留有用服務的同時減少功能。

這個觀點令議題不僅關乎提示的長度。一項簡短指令也可啟動複雜工作流程。只計算傳入請求，幾乎無法反映應用程式接受請求後所做的一切。

設想一個研究助手，可能搜尋文件集合、檢視互相矛盾的段落，並要求更多證據。每項行動單獨而言都可能合理；業務問題在於，這個序列是否仍在推進獲授權的調查。

任務完成與任務持續正是在此分道揚鑣。即使底層工作已不再取得進展，持續活動在介面上仍可能看似有生產力。一連串狀態更新並不能證明下一項行動值得投入更多資源。

相同張力亦見於錯誤復原。重試未成功的行動有時可解決暫時性問題；反覆執行無法成功的行動，只會延長故障。應用程式需要以模型是否願意再試以外的證據，分辨這些情況。

這項區分亦應影響機構如何評估自主性。若營運人員失去理解持續執行內容的能力，較少人手介入未必更好；若例行審批變成毫無意義的干擾，更多介入也未必更安全。

有用的評估會問：甚麼證據容許工作流程繼續？它是否取得新資訊？某項相依服務是否已改變？它是否完成具意義的中間結果？這些是關於進度的分析問題，而非聲稱任何現有產品均可可靠回答這些問題。

責任亦不止於模型供應商。應用程式決定要求甚麼工作、開放哪些工具，以及如何處理未完成任務。即使底層模型按預期運作，這些決策仍會影響風險承擔。

這亦說明不能假設切換模型就能解決問題。資源需求較低的模型或可降低每項行動的成本，但不能證明應用程式會選擇適當數量的行動。

CISA 的 AI token 指引因此屬於有關授權委派的更廣泛討論之一。授權 AI 系統追求某個目標時，亦應為其可承諾動用的資源劃定清晰界線。

困難的設計問題，是如何在該界線內保留有用的酌情空間。企業既需要足以處理複雜工作的彈性，也需要能可信地說明觸及界線後會發生甚麼事。

模型周邊軟件決定支出界線

模型的判斷與應用程式獲准支出的權限，是兩項不同的決定。

澳洲訊號局於 2026 年 9 月 11 日發布的 agentic AI harnesses 指引，將焦點放在周邊軟件之上。Harness 是把模型與工具、資料、記憶體及執行控制連接起來的軟件層。

該指引認為，機構應將這一層視為獨立的營運及安全風險來源加以評估。其重點包括權限、監察、監督，以及模型與已連接系統互動的方式。這為 token 指引提供了有用的架構層面對照。

這項區分十分重要，因為助理可以建議某項行動，卻未必擁有執行該行動的權力。模型周邊的應用程式決定行動是否會發生。同樣的分離原則，也可套用於授權額外資源消耗。

從這個角度看，支出界線應是模型無法單靠說服自己繞過的應用程式決定。要求模型保持節省，與施加可強制執行的限制並不相同。前者表達目標；後者改變獲准的行為。

9 月提交的研究提出了一個較狹窄的技術關注點。一份關於持續性可計費狀態的預印本，研究跨 agent 互動保留的外部工具內容。作者表示，若後續請求再次包含這些保留內容，它們便可能成為重複產生費用的輸入。

該研究在受控工作流程中測試攻擊及主機端防禦措施。其結果涉及如何處理保留資訊，而非證明企業環境已出現大規模入侵。作為預印本，在對部署風險作出廣泛結論前，仍應接受審視及獨立重現驗證。

不過，研究突顯了接收資訊與反覆付費處理資訊之間的重要差異。工具回應即使已完成即時用途，仍可能保留在工作流程中。因此，保留決定值得與存取決定一併受到關注。

以文件調查為例，這個問題便很具體。助理為回答一條狹窄問題而擷取一份冗長報告。若應用程式在不相關的後續行動中持續提供該報告，持續處理它便需要本身的理據。

一概刪除所有內容並非充分的通用答案。助理可能需要較早前的證據來處理矛盾，或解釋其結論。架構問題在於哪些資訊仍然必要，以及應用程式如何令這項判斷可被看見。

這亦令服務供應商之間的比較更有意義。買家可以比較任務歷史、介入及重新啟動行為的處理方式。較長的可用 context，即模型在一次請求中可考慮的資訊，並不能解決這些營運問題。

同樣地，更換服務供應商會形成新的依賴關係，而非免除治理需要。接收服務可能以不同方式處理資訊。即使備援措施可維持可用性，仍須評估其正確性、權限及資源曝露情況。

核心含意在於組織控制。企業應了解哪些決定屬於模型、哪些屬於應用程式，以及哪些需要人類授權。模糊這些責任，會令過度支出及不必要中斷都更難調查。

警告具可信性，但攻擊普遍程度仍未明朗

一條合理的攻擊途徑，並不能證明攻擊者實際利用它的頻率，或其造成的損害規模。

現有來源支持將過度消耗視為安全及韌性問題。它們並未提供企業間惡意「錢包拒絕服務」事件的完整衡量數據。報道這項警告時，應保留這種不確定性。

這項區分很重要，因為多種不同故障都可產生相似症狀。惡意請求、軟件缺陷及意外困難的合法任務，均可能增加消耗。單憑支出飆升，無法判定哪種解釋才正確。

把每一次飆升都稱為攻擊，會扭曲事故報告。把每一次飆升都稱為正常需求，則會掩蓋濫用。機構需要足夠的任務層級證據，才能在選擇任何一種解釋前作出調查。

對保護控制措施的說法亦有重要限制。已設定的門檻只能顯示某項設定存在，並不能證明執行有多快、涵蓋哪些活動，或相依工作是否仍在其他地方繼續。

警示所提出的主張更為狹窄。它只證明系統可在指定條件下通知某人。買家仍須了解通知延遲、升級處理責任，以及收到通知後可採取的行動。

同樣地，成功的遏制示範應在其測試條件下理解。停止人為設計的工作負載，確實能證明該測試中的有用事項，但不會自動證明能防護每一種工作流程、整合方式或濫用模式。

最有力的質疑問題關乎業務後果。能阻止過度消耗的控制措施，仍可能中斷合法工作。因此，評估保護措施時，既要檢視所防止的曝露，也要檢視保護措施阻截了哪些工作。

當機構以完成率評估助理時，這項取捨尤其重要。積極停止可降低成功完成率；寬鬆地容許繼續，則可提升表面完成率，同時增加曝露。一項有意義的比較必須同時考慮兩種結果。

另一項不確定性在於合約責任的起點及終點。服務供應商可能提供監察，而由客戶設定強制執行。應用程式供應商亦可能依賴另一家公司的模型服務。買家不應僅從功能名稱推斷責任歸屬。

指引本身亦應準確描述。網絡安全出版物並不會自動成為新的法律強制要求。任何關於強制義務的說法，均須有另一項適用權威作支持。這裡的來源確立的是指引及技術關注點，而非通用的合規期限。

對產品團隊而言，合理的回應是按比例驗證。他們可檢視代表性任務在實際限制下是否仍然有用，亦可測試可疑或故障任務是否會停止，而不會停用不相關的工作。

對讀者而言，報道標準亦應保持同樣嚴謹。應清楚區分建議的控制措施、獨立測試的行為及已核實的事故。這些類別回答不同問題，將其視為可互換會令採購決定的可靠性下降。

CISA 的 AI token 指引意義重大，但無須作出誇大說法。它指出機構現時可檢視的一項依賴關係，同時將現實世界利用行為的頻率及嚴重程度留待更多證據釐清。

關注強制執行、工作負載隔離及獨立測試

下一批證據應顯示，機構能否在保留合法服務的同時遏制過度工作。

未來數月，最有用的訊號將關乎營運行為，而非對更安全 AI 的泛泛承諾。這份出版物提供了清晰基礎，以提出更具體的問題，但並未證明服務供應商或買家已經回答它們。

第一個訊號是對強制執行行為作出更清晰的文件說明。留意供應商是否區分通知與限制，並準確說明每項限制適用於何處。這將加強消耗治理正成為可用產品能力的論據。

相反的訊號則會削弱這項評估。如果文件持續只描述預算而不解釋介入方式，買家仍難以估計曝露情況。功能應按其營運效果判斷，包括啟動後仍獲准的事項。

第二個訊號，是採購要求及驗收測試中出現工作負載隔離的證據。工作負載隔離是指限制有問題的工作，而不會不必要地中斷其他工作。相關證據應顯示，關鍵活動得以繼續，而較低優先次序或可疑活動則會停止。

這將支持指引把消耗控制與持續營運連繫起來的觀點。在某些情況下，帳戶範圍的全面關閉仍可能適當。然而，若把這種行為描述成等同於選擇性遏制，便會掩蓋一項重要差異。

第三個訊號，是把遏制與有用任務完成結合的獨立測試。留意評估是否公開其工作負載假設，以及解釋被中斷任務為何停止。強而有力的結果應顯示受限制的曝露，同時可信地完成獲授權的工作。

只衡量消耗下降的結果，仍會留下重要缺口。只要助理拒絕足夠多工作，降低支出並不困難。困難的測試是限制能否保留系統獲購買所要達成的業務目的。

這些訊號亦提供了比較競爭方案的實際方法。買家可檢視有文件記錄的強制執行、隔離行為及經獨立評估的結果。這比只依賴模型能力主張，能產生更有用的評估。

對開發者而言，即時含意是讓營運行為可供檢視。一項任務應有可識別的目的、可問責的擁有人，以及可理解的停止條件。這些特性令故障更易診斷，亦令採購主張更易測試。

對企業領導層而言，應要求負責 AI 服務的團隊，追蹤一項代表性工作由授權至完成或中斷的全過程。識別誰擁有其資源界線、誰可介入，以及其後哪些不相關工作仍然可用。應要求實際測試的證據，而非把儀表板當作答案。使用 CISA 的 AI token 指引，將這項檢討圍繞業務持續性及支出進行。然後把觀察到的行為與服務協議及內部責任作比較。如兩者說法不一致，應在擴大部署前解決分歧。委派工作的決定，應附帶一個清晰答案：誰可以停止它。