Agent DoS 与拒绝钱包（Denial of Wallet / Unbounded Consumption）

大语言模型按代币与算力计费，每一次调用都有成本。拒绝钱包（Denial of Wallet）是「无界消耗」的经济版本：攻击者不支付算力费用，却通过高频或高开销请求把受害方的预算烧穿，使其被限流、关停或被迫承担不可持续账单。当智能体自主决定步数与调用次数时，计费上限变得难以预测，风险被进一步放大。OWASP 在 2025 版将其编号为 LLM10（Unbounded Consumption），在 2026 版提升为 LLM06，反映出业界对该风险的优先级上调。

单次问答的花费大致与用户数成正比、可粗略预估；而自主智能体的花费取决于它自己决定走多少步。攻击者若知道目标系统使用的模型与智能体框架，便可构造诱导性输入：让深度研究类插件爬取被投毒的页面、沿虚假「相关文章」无限递归，或用一个措辞模糊的提示把扩展思考模型推入远超输入规模的推理循环。Kaspersky 曾引用 OverThink 研究的例子：一个措辞无害的任务最终消耗了本应所需 46 倍的代币。传统面向单次请求/响应的限流，无法覆盖「一次请求悄然扇出成百次下游调用」的情况。

业内有若干被反复记录的形态。其一是拒绝钱包本身：利用泄露或盗用的有效接口凭据，向按代币计费的端点高频发送请求。其二是智能体工具扇出：投毒智能体所查询的数据源，使返回内容诱导出异常长的后续操作列表，单次请求递归成数百次工具调用。其三是推理循环耗尽：用「反复校验你的推理」之类措辞把扩展思考模型推入远超必要的内部 deliberation。其四是长会话上下文累积：开放智能体会每轮重算完整上下文，百轮之后单条回复的成本可能膨胀约百倍。其五还可能伴随模型抽取（Model Extraction）等衍生的资源滥用。

拒绝钱包常被与提示注入（LLM01）混为一谈，但二者攻击面不同。提示注入作用于指令，让模型执行违背意图的行为；无界消耗作用于资源边界，多数形态下根本没有指令被劫持，系统只是「从未设置停止点」。这意味着防御也不同：注入靠输入输出的校验与指令层级约束来化解，无界消耗则要靠预算、熔断与智能体行为的深度上限来从架构上解决。把二者分开对待，才能避免「修了注入却仍在烧钱」的盲区。

防御以架构手段为主。在客户端与模型之间设置硬性上限：单次请求的最大输入与输出代币、按用户与按 IP 的速率与配额、以及带告警与自动熔断的支出预算。对智能体循环施加步数与深度上限，缓存重复工作，并要求身份认证以防匿名客户端消耗预算。把外部不可信数据视为需校验的负载：限制其体积、监控其产生的负载、对 DNS 记录、HTTP 头、文件名等可夹带任意文本的字段保持警惕。对长会话设置重置机制，避免上下文无限累积。

Microsoft 的零信任目录将此类场景归为「无界 AI 消耗与 Agentic DoS」，建议以 API 网关限流、云成本管理与优雅降级来应对；Gartner 曾估算单次客服请求的 LLM 成本约 3 美元，意味着被自动化洪泛可在短时间内造成显著财务损失。值得注意，这是一类系统性设计风险而非单点漏洞，没有「打一个补丁」式的修复；可行的方向是借鉴云上 FinOps 的成本会计与异常检测，把代币消耗纳入可观测与告警体系。相关的安全产品（如智能体安全网关与 SOC 方案）正在把这类控制产品化。

随着常驻型智能体规模化，拒绝钱包正从「边界案例」变成「上线前必须评估」的常态风险。值得跟踪的节点包括：OWASP 后续版本对该项的细化、云厂商是否把代币预算与熔断作为托管运行时的默认能力、以及智能体成本会计（类 FinOps）工具是否普及。把资源边界与控制权一样纳入治理，是智能体能否稳定留在生产环境的前提。