‏سرقت استنتاج: گران‌ترین حملهٔ تازه علیه اندپوینت‌های AI

ورسل می‌گه درخواست‌های HTTP ارزون‌ان (حدود ۲ دلار به‌ازای هر میلیون فراخوانی)، ولی یه پرامپت به یه ایجنت روی مدل پیشرفته می‌تونه ۲ دلار خرج بذاره؛ یعنی AI رو حدود یک‌میلیون برابر گران‌تر می‌کنه. همین فاصله باعث شده «سرقت استنتاج» به یکی از پرسودترین کسب‌وکارهایی تبدیل بشه که یه مهاجم می‌تونه راه بندازه، و به گفتهٔ شرکت، این حمله روی اندپوینت‌های خودِ ورسل هم دیده شده.

سرقت استنتاج یعنی استفادهٔ غیرمجاز از استنتاجِ پولیِ یه نفر دیگه، چه برای مصرفِ مجانی چه برای فروشِ مجدد. صاحب سرویس بابت هر فراخوانی پول می‌ده، ولی مهاجم بابت استنتاج هیچی نمی‌ده و بعد توکن‌ها رو با تخفیف می‌فروشه. هر اندپوینتِ روبه‌اینترنت که به فراخواننده کنترلِ معناداری روی پرامپتِ یه مدل بده هدفه؛ پلی‌گراندهای AI خطرناک‌ترین شکل‌اند چون کاربر بیشترین کنترل رو روی پرامپت، مدل و پارامترها داره.

به گفتهٔ نویسنده، دفاع‌های وبِ سنتی اینجا جواب نمی‌دن. محدودیتِ نرخِ مبتنی بر IP و دیوارِ احراز هویت برای حمله‌هایی ساخته شدن که اقتصادِ هر فراخوانی‌شون خیلی پایین‌تر بوده. اما سودِ استنتاجِ دزدی اون‌قدر بالاست که مهاجم هزاران IP پروکسیِ خانگی می‌خره و هر تعداد حسابِ یک‌بارمصرف لازم باشه می‌سازه؛ پس محدودیتِ نرخ روی ناوگانِ IPها سرشکن می‌شه و حساب‌های واقعی هم از احراز هویت رد می‌شن.

مهاجم‌های حرفه‌ای اندپوینتِ قربانی رو داخل یه آداپتورِ سازگار با OpenAI یا Anthropic می‌پیچن، طوری که API عجیبِ قربانی به شکلِ استانداردی دربیاد و توکن‌های دزدی به‌راحتی تو هر ایجنتِ کدنویسی یا SDK جا بیفتن. همین آداپتور مرزِ نشستِ کاربرهای پایین‌دستی هم می‌شه؛ یعنی تا وقتی فراخوانی به API قربانی می‌رسه، خیلی وقته از مرزی که قرار بوده ازش دفاع بشه عبور کرده. نتیجه‌گیری ورسل اینه که وارسی باید روی همون فراخوانی‌ای اجرا بشه که آداپتور پروکسی‌ش می‌کنه، نه روی نشستِ پشتش.

به‌عنوان نمونهٔ واقعی، در ۱۲ آوریل ۲۰۲۶ ترافیکِ اندپوینتِ چتِ داک‌های ورسل روی مدل Claude Haiku 4.5 حدود ۱۰ برابرِ معمول و تا ۱۳۰۰ درخواست در دقیقه اوج گرفت؛ معادلِ هزینهٔ استنتاجِ بیش از ده‌هزار دلار در روز. حمله از طریق پروکسی‌های خانگی اومد و محدودیتِ نرخِ هر-IP عملاً چیزی برای عمل‌کردن نداشت.

راه‌حلِ ورسل اینه که وارسی روی هر درخواست اجرا بشه، نه در شروعِ نشست. خودشون از BotID با تحلیلِ عمیق استفاده می‌کنن؛ یه کپچای نامرئی که با یادگیریِ ماشینِ سمتِ کلاینت آدم رو از ربات جدا می‌کنه، پس می‌تونه روی هر درخواست اجرا بشه. منطقش اینه که اگه وارسی فقط در شروعِ نشست بود، مهاجم یک‌بار هزینهٔ دورزدن رو می‌داد و صدها هزار فراخوانی می‌دزدید؛ ولی وارسیِ هر-درخواستی این نسبت رو به یک می‌رسونه. تابعِ checkBotId() داخلِ route handler و قبل از رسیدن به فراخوانیِ AI اجرا می‌شه:

import { checkBotId } from 'botid/server';

export async function POST(request: NextRequest) {
  const verification = await checkBotId();
  if (verification.isBot) {
    return NextResponse.json({ error: 'Access denied' }, { status: 403 });
  }
  // Your existing AI SDK call path
}

نکات کلیدی:

• سرقت استنتاج یعنی استفاده یا فروشِ مجددِ استنتاجِ پولیِ دیگران؛ به‌خاطر گرانیِ هر فراخوانی، بسیار پرسوده
• محدودیتِ نرخ و احراز هویت کافی نیستن چون فقط یک‌بار در هر نشست اجرا می‌شن
• مهاجم اندپوینت رو در آداپتورِ سازگار با OpenAI/Anthropic می‌پیچه و از پروکسیِ خانگی فراخوانی می‌کنه
• راه‌حل: وارسیِ ربات روی هر درخواست، با ابزاری مثل BotID و تحلیل عمیق
• حملهٔ واقعی روی داک‌های ورسل تا ۱۳۰۰ درخواست در دقیقه رسید و با همین روش جمع شد