# A30: Отказ в обслуживании сервиса машинного обучения (Denial of ML service)

> Сервисы ML и LLM можно вывести из строя дорогими вычислениями, чрезмерно большими входными данными, исчерпанием GPU или перегрузкой пакетной обработки. Это означает недоступность клиентских AI-сервисов и внутренних ассистентов, рост облачных расходов и нарушение сроков обслуживания.

- Канонический HTML: [/threats/a30-denial-of-ml-service](https://ai-first.tech/threats/a30-denial-of-ml-service)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Исполнение и инфраструктура AI

## Как проявляется риск

Вычислительный конвейер модели опирается на ограниченный пул GPU и общую очередь. Большие запросы или множество параллельных сессий занимают эти ресурсы, и обычные пользователи начинают ждать или получают отказ. Граница доверия нарушается там, где разные потребители делят одну инфраструктуру без изоляции. Автоматическое масштабирование без ограничений превращает атаку на доступность в атаку на бюджет.

## Влияние на бизнес

- **Операции.** Клиентские AI-сервисы и внутренние ассистенты становятся недоступными или работают с большой задержкой.
- **Финансы.** Масштабирование под паразитную нагрузку резко увеличивает счёт за облачные ресурсы.
- **Право и комплаенс.** Нарушаются согласованные сроки и уровень обслуживания перед клиентами.

## Где риск наиболее вероятен

- Клиентские чат-боты и голосовые помощники
- Собственный инференс на общем пуле GPU
- Пакетная обработка больших документов
- Общая платформа для нескольких подразделений

## Кому и что решать

- **ИТ-директор.** Разделить ресурсы критичных и некритичных AI-сервисов и предусмотреть запасной вариант при перегрузке.
- **Директор по кибербезопасности.** Обеспечить ограничения на размер и число запросов на входе и включить AI-сервисы в план защиты от отказа в обслуживании.
- **Владелец бизнес-процесса.** Определить допустимое время простоя AI-сервиса и приемлемое упрощённое обслуживание на время перегрузки.

## Признаки для службы мониторинга

- Всплески загрузки GPU без роста числа пользователей
- Накопление невыполненных запросов в очереди
- Резкий рост времени ответа
- Запросы аномально большого размера
- Необычное число параллельных сессий от одного источника

## Меры защиты

- **План действий при перегрузке** (организационная). Заранее определить приоритеты сервисов и порядок перехода на упрощённый режим.
- **Ограничения входа и защита API** (техническая). Задать предельный размер запроса и отклонять превышения средствами защиты веб-приложений и API до передачи в модель.
- **Изоляция очередей** (техническая). Выделить отдельные очереди и ресурсы критичным сервисам, чтобы перегрузка одного не затрагивала остальные.
- **Пределы масштабирования и резервная модель** (техническая). Установить верхнюю границу масштабирования и переключаться на более лёгкую модель при перегрузке.
- **Контроль загрузки и задержек** (мониторинг). Отслеживать загрузку GPU, длину очереди, время ответа и размер запросов с оповещением дежурной смены.

## Вопросы команде и поставщику

- Какие AI-сервисы делят одни и те же вычислительные ресурсы?
- Есть ли предел у автоматического масштабирования и расходов на него?
- Что увидит клиент, если модель перегружена?
- Проверялась ли устойчивость AI-сервисов под нагрузкой?

## Показатели контроля

- Доступность AI-сервисов относительно согласованного уровня обслуживания
- Время ответа и длина очереди в пиковые периоды
- Доля запросов, отклонённых по ограничениям размера и частоты

## Первые 30 дней

- Определить, какие сервисы используют общий пул GPU и очереди
- Ввести ограничения на размер запроса и число параллельных сессий
- Задать пределы масштабирования и проверить переключение на резервную модель

## Классы решений

- Шлюз AI
- Защита инфраструктуры
- Наблюдаемость

## Сопоставления

- OWASP: LLM10
- MITRE: ATT&CK: Resource Development
- NIST: NIST AI 100-2: Evasion

## Первоисточники

- [OWASP: LLM10:2025 Unbounded Consumption](https://genai.owasp.org/llmrisk/llm102025-unbounded-consumption/) — Истощение ресурсов и cost abuse.
- [NIST: AI 100-2e2025: Adversarial Machine Learning](https://csrc.nist.gov/pubs/ai/100/2/e2025/final) — Таксономия атак и mitigations для adversarial ML.
- [Google: Secure AI Framework (SAIF)](https://safety.google/intl/en/safety/saif/) — Secure-by-default AI, privacy и управление риском.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.