CISA AI Token 指南警告：使用行为可能演变为攻击

CISA 及其盟友网络安全机构警告称，AI 消耗在系统真正下线之前，就可能成为安全威胁。CISA AI token 指南讨论了 denial-of-wallet 攻击，即通过蓄意滥用推高组织按使用量计费的费用。其意义不止于意外账单：支出限制和耗尽的容量同样可能中断依赖 AI 的工作。

ExecutiveGov 的 10 月网络安全报道 将该报道日期标为 2026 年 10 月 23 日。核心矛盾很直接。企业希望 AI 系统能持续处理复杂任务，但持续运行也会消耗资源。一个可靠地继续执行未经授权或浪费性任务的系统，会造成另一类可靠性问题。

这一担忧已出现在 OWASP 的安全框架和 Microsoft 的企业安全文档中。该指南将其纳入采购和运营韧性的讨论。企业采购方、开发者和安全团队如今面临一个共同问题：谁来决定 AI 工作流何时已经完成足够的工作，又由谁来停止其支出？

CISA AI Token 指南将支出与服务连续性联系起来

关键变化在于，AI 消耗被视为一种需要接受安全监督的运营依赖。

这份可通过 Canadian Centre for Cyber Security 获取的联合发布文件名为 AI token consumption。Token 是 AI 模型处理或生成的信息单位。它们有助于衡量使用量，但 token 数量、计算工作量与费用之间的关系取决于具体服务。

该文件区分了财务损失与访问额度耗尽。Denial-of-wallet 攻击会蓄意增加按使用量计费的成本。Denial-of-tokens 攻击则消耗配额或触发限制，干扰合法访问。两者的结果可能重叠，但不能混为一谈。

该指南还指出了导致额度耗尽的常见运营原因，包括正当需求和低效应用。它敦促组织在签订供应商协议前了解消耗情况和服务条款。对于关键基础设施运营方而言，问题还包括当 AI 能力降级或不可用时，如何维持业务连续性。

这种框定之所以重要，是因为财务保障措施本身也可能成为可用性约束。停止消耗能保护预算，但不加区分地停止可能中断重要工作。继续消耗可以暂时保住访问能力，却会让组织面临进一步支出的风险。

实际含义是不同目标之间的冲突。财务部门希望风险敞口可预测。运营部门希望访问稳定可靠。产品团队希望任务顺利完成。安全团队希望遏制可疑行为。AI 部署需要一种明确机制，在这些目标冲突时加以权衡。

设想一个用于日常提问和紧急运营调查的企业文档助手。这两类活动可能都依赖同一个底层模型账户。如果一个浪费资源的后台任务消耗了紧急调查所需的资源，它就会产生实质影响。

这个例子并不能证明任何特定组织遭遇过此类事件。它说明了支出边界所在位置为何重要。针对整个账户的限制，与针对单个工作流的限制，会带来不同后果。

它还改变了对成功演示的解读方式。演示可以证明助手能在选定条件下完成选定任务，但不能证明当需求变化、依赖项失效或获准活动变得过度时，服务会如何表现。

对采购方而言，这就在能力证据和运营证据之间形成了缺口。前者回答系统能否完成工作，后者回答组织能否在不利条件下持续使用它。

CISA AI token 指南使得在采购过程中回避第二个问题变得更加困难。这个问题应与服务可用性、恢复预期和故障责任一并考虑。

压力落在无法看清单个工作负载的采购方身上

汇总的 AI 账单无法说明某个单独工作流是否应继续运行。

直接压力落在通过应用、集成和共享服务采购 AI 能力的组织身上。他们面临的挑战是将消耗与业务目的联系起来。没有这种联系，使用量不断上升的总数在事件发生时几乎无助于判断。

异常昂贵的任务可能是合理的。它可能涉及复杂分析、大量文档，或反复尝试解决相互冲突的证据。同样的支出模式也可能反映出损坏的集成或蓄意滥用。

这种模糊性使简单判断并不可靠。高消耗不能证明存在恶意意图。低消耗也不能证明行为安全。真正有意义的问题是，该活动是否仍然经过授权、是否相称、是否有用。

因此，采购团队需要有关控制边界的证据，而不只是关于监控的安慰性表述。仪表盘可以展示问题，却无法阻止问题。警报可以通知某个人，但这个人可能没有权限或技术手段进行干预。

Microsoft 的 unbounded AI consumption 文档描述了高要求提示词、重复请求和过度 agent 活动造成的资源耗尽。它建议在模型调用和下游服务中实施控制，包括配额、隔离以及对 agent 扩张的限制。Microsoft 还指出，广为报道的恶意事件仍然有限。

最后这一限定对采购方很重要。可信的威胁模型支持做好准备，但不应因此把每一次成本上升都视为攻击。良好的采购决策需要区分已被证明的攻击机制与实际测得的事件发生率。

Microsoft 的立场也为与 OWASP 的应用安全框架进行比较提供了参考。Microsoft 在企业安全环境中描述控制措施。OWASP 则将底层消耗弱点归类为跨应用问题。这些视角相互印证了问题的存在，但并不能证明某个特定供应商已经解决了它。

商业层面的含义是，供应商将越来越需要解释其控制措施的适用范围。限制是针对客户、部门、应用，还是单个任务？运营人员能否隔离可疑工作，同时保留无关活动的正常运行？

这些问题也影响采购方组织内部的责任划分。财务团队可能负责预算，而工程团队负责集成。安全团队可能接收警报，却不负责合同。未被妥善解决的交接关系，可能导致所有人都知情，却无人负责停止该工作流。

对于开发者而言，消耗可见性成为诊断应用行为的一部分。知道一个账户花得更多，不如知道哪个任务反复执行了未成功的操作来得有价值。有效证据应将任务、其进展和所消耗的资源关联起来。

对知识工作者而言，后果体现为回答延迟、研究中断或助手不可用。他们很少能控制底层资源分配。他们的体验取决于采购和工程团队在中断发生很久以前作出的决策。

审查这些依赖关系的团队可以将已批准的合同、架构决策和事件流程保存在可搜索的技术知识库中。文档有助于协调响应，但无法替代由应用强制执行的控制措施。

有用的自主性与有界消耗指向不同方向

核心权衡在于，既要让系统继续完成有用工作，也要防止它无限期地继续运行。

AI agent 是一种利用模型在任务过程中选择行动的软件。这能让复杂工作更容易被委派。也意味着最初的请求未必描述了后续发生的每一项行动。

用户可能授权开展一项调查，却不知道 agent 将需要哪些搜索、文档或外部服务。严格的边界可能过早中止有用工作。开放的边界则意味着组织要承担尚未完全界定的后果。

OWASP 的 unbounded consumption 类别将不受控制的模型使用认定为服务降级和经济损失的来源。其示例包括过量请求和资源密集型查询。该框架建议采取分层保护措施，包括资源管理、超时、监控和优雅降级，也就是在保留有用服务的同时减少功能。

这一视角表明，问题并不局限于提示词的长度。一条简短指令可能启动复杂工作流。仅统计传入请求，几乎无法说明应用在接受请求后执行的一切操作。

一个示例性的研究助手可能会搜索文档集合、检查相互矛盾的段落，并请求更多证据。每项行动单独来看都可能合理。业务问题在于，这一连串行动是否仍在推进获授权的调查。

任务完成与任务延续的差异就在这里显现。即使底层任务已经停止取得进展，持续活动在界面上仍可能看起来富有成效。源源不断的状态更新并不能证明下一步行动值得投入更多资源。

同样的张力也存在于错误恢复中。重试未成功的操作有时能解决临时问题。反复执行不可能成功的操作，只会延长失败。应用需要一种方法，借助模型再次尝试的意愿之外的证据来区分这两种情况。

这种区分也应影响组织如何评估自主性。如果运营人员失去了理解正在持续运行什么的能力，那么减少人工干预并不必然更好。如果例行审批沦为毫无意义的打断，更多干预也不必然更安全。

一种有用的评估方式是询问：什么证据允许工作流继续？它是否获得了新信息？某项依赖是否发生变化？它是否完成了有意义的中间结果？这些是关于进展的分析性问题，而不是声称任何现有产品都能可靠回答它们。

责任也不仅在于模型供应商。应用决定请求哪些工作、暴露哪些工具，以及如何处理未完成的任务。即使底层模型按预期运行，这些决策仍会影响风险敞口。

这也解释了为什么不能假定切换模型就能解决问题。资源消耗较低的模型或许能降低每项行动的成本，但并不能证明应用会选择恰当数量的行动。

因此，CISA 关于 AI token 的指导属于围绕委托权限展开的更广泛讨论。授权 AI 系统追求某一目标时，应同时明确其可承诺使用的资源边界。

困难的设计问题在于，如何在该边界内保留有用的自主裁量空间。企业既需要足够的灵活性来处理复杂工作，也需要能够清楚说明触及边界后会发生什么。

模型周边的软件决定支出边界

模型的判断与应用程序花费资源的权限，是两个不同的决策。

澳大利亚信号局于 2026 年 9 月 11 日发布的 agentic AI harnesses 咨询公告，将注意力放在模型周边的软件上。Harness 是将模型与工具、数据、记忆以及执行控制连接起来的软件层。

该公告认为，组织应将这一层视为运营与安全风险的独立来源加以评估。其关注重点包括权限、监控、监督，以及模型与所连接系统的交互方式。这为 token 指导提供了有益的架构层面补充。

这种区分很重要，因为助手可以建议采取某项行动，却未必拥有执行该行动的权限。模型周边的应用程序决定该行动是否实际发生。同样的分离原则也可适用于授权额外的资源消耗。

从这个角度看，支出边界应是模型无法仅靠说服自己就能绕过的应用程序决策。要求模型保持节约，与施加可强制执行的限制并不相同。前者表达的是目标；后者改变的是被允许的行为。

9 月提交的研究提出了一个更狭义的技术问题。一篇关于持续计费状态的预印本考察了在 agent 交互之间保留的外部工具内容。作者报告称，当后续请求再次包含这些保留内容时，它们可能成为持续产生费用的输入。

该研究在受控工作流中测试了攻击与主机侧防御措施。其发现涉及保留信息的处理方式，而非大范围企业遭入侵的证据。作为预印本，在就部署风险得出广泛结论之前，它仍值得进一步审视和独立复现。

不过，这项研究凸显了接收信息与反复付费处理信息之间的重要差别。工具响应可能在其即时用途结束后仍留在工作流中。因此，保留决策应与访问决策一样受到重视。

一个说明性的文档调查案例使这一问题更具体。助手为回答一个狭窄的问题而检索了一份很长的报告。如果应用程序在无关的后续操作中持续提供这份报告，那么这种持续处理需要独立的正当理由。

简单地删除所有内容并不是充分的通用答案。助手可能需要早先的证据来解决矛盾或解释其结论。架构问题在于：哪些信息仍属必要，以及应用程序如何让这种判断变得可见。

这也是服务提供商比较变得更有意义的地方。采购方可以比较任务历史、干预和重启行为的处理方式。更长的可用上下文，即模型在一次请求中能够考虑的信息，并不能解决这些运营问题。

同样，更换服务提供商会形成新的依赖关系，而不会消除治理需求。接收服务可能以不同方式处理信息。即使备用方案能维持可用性，仍需评估其正确性、权限与资源暴露情况。

核心含义在于组织控制。企业应了解哪些决策属于模型，哪些属于应用程序，哪些需要人工授权。模糊这些职责，会让超支和不必要中断都更难调查。

警告可信，但攻击普遍程度仍不明确

一条合理的攻击路径并不能证明攻击者利用它的频率，或其造成的损害程度。

现有来源支持将过度消耗视为安全与韧性问题。它们并未提供企业范围内恶意“拒绝钱包服务”事件的全面衡量。这种不确定性应在报道该警告时保持可见。

这种区分很重要，因为多种不同故障都可能产生相似症状。恶意请求、软件缺陷和出乎意料地困难的合法任务，都可能增加消耗。单凭支出激增无法判断哪种解释正确。

将每次激增都称为攻击会扭曲事件报告。将每次激增都称为普通需求则会掩盖滥用。组织在选择任一解释前，需要足够的任务级证据进行调查。

对于保护性控制措施的主张也存在重要限制。已配置的阈值只能表明某项设置存在。它并不能说明强制执行的速度、覆盖的活动范围，或依赖性工作是否会在其他地方继续。

告警提出的主张更为狭窄。它表明系统可以在特定条件下通知某人。采购方仍需了解通知延迟、升级责任以及通知后可采取的行动。

同样，成功的遏制演示应在其测试条件下解读。停止一个人工构造的工作负载，能证明有关该测试的一些有用事实。但这并不能自动证明它可防御每一种工作流、集成或滥用模式。

最有力的质疑涉及业务后果。阻止过度消耗的控制措施仍可能中断合法工作。因此，评估保护措施时，既要考察其阻止的暴露，也要考察其阻断的工作。

当组织使用完成率评估助手时，这种权衡尤为重要。激进的停止策略可能降低成功完成率。宽松的继续执行可能提升表面上的完成率，同时增加暴露。具有意义的比较需要同时考察这两种结果。

另一个不确定性涉及合同责任的起止边界。服务提供商可能提供监控，而客户负责配置强制执行。应用程序供应商也可能依赖另一家公司的模型服务。采购方不应仅凭功能名称推断责任归属。

指导本身也应被准确描述。网络安全出版物并不自动构成新的法律强制要求。任何有关强制义务的主张，都需要独立且适用的权威依据。这里的来源确立的是指导和技术问题，而非普遍适用的合规期限。

对于产品团队而言，合理的回应是进行适度验证。他们可以检查代表性任务在现实限制下是否仍然有用，也可以测试可疑或故障任务能否在不禁用无关工作的情况下停止。

对于读者而言，报道标准也应保持同样严谨。应清晰区分建议采用的控制措施、经独立测试的行为和已验证的事件。这些类别回答的是不同问题，将其视为可互换会降低采购决策的可靠性。

CISA 关于 AI token 的指导具有重要意义，无需借助夸张的说法。它指出了一项组织现在即可审查的依赖关系，同时将现实世界中被利用的频率与严重程度留待更多证据揭示。

关注强制执行、工作负载隔离与独立测试

下一批证据应显示，组织能否在保留合法服务的同时遏制过度工作。

未来数月中，最有价值的信号将涉及运营行为，而非有关更安全 AI 的笼统承诺。该出版物为提出更具体的问题奠定了清晰基础，但并不能证明服务提供商或采购方已经回答了这些问题。

第一个信号是更清晰的强制执行行为文档。关注供应商是否区分通知和限制，并准确解释每种限制适用于何处。这将强化以下判断：消耗治理正在成为可用的产品能力。

相反的信号会削弱这一判断。如果文档继续描述预算却不解释干预机制，采购方仍难以估计暴露。应根据功能的运营效果评判，包括其激活后哪些行为仍被允许。

第二个信号是在采购要求和验收测试中出现工作负载隔离的证据。工作负载隔离是指限制有问题的任务，同时避免不必要地中断其他任务。相关证据应显示，关键活动能够继续，而低优先级或可疑活动会停止。

这将支持该指导关于消耗控制与业务连续性之间联系的观点。在某些情况下，全账户关闭仍可能是适当的。然而，将这种行为表述为等同于选择性遏制，会掩盖一个影响重大的差异。

第三个信号是将遏制与有用任务完成相结合的独立测试。关注那些公布工作负载假设、并解释为何中断任务停止的评估。强有力的结果应在限制暴露的同时，显示经授权工作可信的完成情况。

只衡量消耗降低的结果仍会留下重要缺口。如果助手拒绝足够多的工作，减少支出很容易。困难的测试是：这些限制是否保留了购买该系统所服务的业务目的。

这些信号也为比较竞争性产品提供了实用途径。采购方可以考察记录在案的强制执行、隔离行为和独立评估结果。这比仅依赖模型能力声明更能形成有用的评估。

对于开发者而言，直接含义是使运营行为可审查。任务应具有可识别的目的、可追责的负责人和可理解的停止条件。这些属性使故障更易诊断，也使采购主张更易测试。

对于企业领导者而言，应要求负责 AI 服务的团队追踪一项代表性任务，从授权开始直至完成或中断。明确谁拥有其资源边界、谁可以干预，以及之后哪些无关工作仍可用。应要求提供真实测试的证据，而不是将仪表板视为答案。使用 CISA 关于 AI token 的指导，将这项审查同时置于业务连续性和支出的框架下。然后，将观察到的行为与服务协议及内部职责进行比较。如果这些说法不一致，应在扩大部署前解决分歧。委托工作这一决定，应附带一个清晰答案：谁能够叫停它。