# A29: Неограниченное потребление ресурсов и исчерпание токенов (Unbounded consumption / token exhaustion)

> Чрезмерное потребление ресурсов модели оборачивается ростом расходов, задержками и отказом сервиса; этот риск описан в OWASP LLM10. Причиной может быть и атакующий, и собственный ошибочный процесс.

- Канонический HTML: [/threats/a29-unbounded-consumption-token-exhaustion](https://ai-first.tech/threats/a29-unbounded-consumption-token-exhaustion)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Исполнение и инфраструктура AI

## Как проявляется риск

AI-приложение оплачивается по объёму обработанных токенов и вызовов, а верхней границы потребления нет. Атакующий или неисправный процесс порождает множество длинных запросов, итераций и вызовов инструментов. Агент может зациклиться, повторяя попытки или рекурсивно обращаясь к инструментам. Граница доверия нарушается там, где пользователю или автоматическому процессу позволено расходовать общий ресурс без лимита. В итоге исчерпывается бюджет или квота, и сервис ухудшается либо останавливается для всех.

## Влияние на бизнес

- **Финансы.** Счёт за использование модели вырастает неконтролируемо за короткое время.
- **Операции.** Сервис замедляется, а бизнес-процесс, зависящий от модели, блокируется.
- **Безопасность.** Исчерпание ресурсов служит способом вызвать отказ в обслуживании AI-приложения.

## Где риск наиболее вероятен

- Публичные чат-боты и ассистенты
- Агенты с циклами и вызовами инструментов
- Пакетная обработка документов моделью
- Интеграции с оплатой по потреблению

## Кому и что решать

- **ИТ-директор.** Ввести бюджеты и квоты на каждое AI-приложение и подразделение, чтобы расходы имели владельца и предел.
- **Директор по кибербезопасности.** Обеспечить лимиты на уровне шлюза и автоматическое прерывание аномальных сессий.
- **Владелец бизнес-процесса.** Определить допустимую стоимость одной операции и поведение сервиса при достижении лимита.

## Признаки для службы мониторинга

- Резкие всплески числа токенов и расходов
- Необычно длинные сессии
- Многократные повторные попытки одного и того же действия
- Рекурсивные вызовы инструментов агентом
- Непропорциональный расход ресурсов у одного пользователя или ключа

## Меры защиты

- **Бюджеты на AI-приложения** (организационная). Назначить бюджет и ответственного на каждое приложение и согласовать действия при превышении.
- **Квоты и лимиты запросов** (техническая). Ограничить частоту запросов и объём токенов на пользователя, ключ и приложение.
- **Ограничения сессии и итераций** (техническая). Задать предельную длину сессии, число шагов агента и вызовов инструментов.
- **Автоматические предохранители** (техническая). Прерывать цепочку вызовов при повторяющихся ошибках или превышении порога потребления.
- **Оповещения об аномалиях расходов** (мониторинг). Отслеживать стоимость и токены в реальном времени и уведомлять владельца при отклонении.

## Вопросы команде и поставщику

- Есть ли верхний предел расходов по каждому AI-приложению?
- Что произойдёт с сервисом, когда лимит будет достигнут?
- Может ли наш агент зациклиться и кто это остановит?
- Как быстро мы узнаем об аномальном росте расходов?

## Показатели контроля

- Доля AI-приложений с установленными бюджетами и квотами
- Стоимость одной операции в динамике
- Время от начала аномального роста расходов до оповещения владельца

## Первые 30 дней

- Собрать фактические расходы и объёмы токенов по приложениям
- Установить лимиты на пользователя, ключ и сессию на шлюзе
- Настроить оповещения о всплесках расходов и повторных вызовах

## Классы решений

- Шлюз AI
- Наблюдаемость LLM
- Защита API

## Сопоставления

- OWASP: LLM10
- MITRE: ATT&CK: Resource Development
- NIST: NIST AI 100-2: Evasion

## Первоисточники

- [OWASP: LLM10:2025 Unbounded Consumption](https://genai.owasp.org/llmrisk/llm102025-unbounded-consumption/) — Истощение ресурсов и cost abuse.
- [Google: Secure AI Framework (SAIF)](https://safety.google/intl/en/safety/saif/) — Secure-by-default AI, privacy и управление риском.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.