被黑账户 + 无硬性支出上限 = 六位数AI账单。这是无人防范的故障模式。

最近看到一个故事，让我们印象深刻：有人的云账户被入侵，攻击者创建新项目以规避免费套餐限制，并大规模运行图像生成。账单超过了8万美元。提供商提供了‘优惠’部分减免。用户仍需支付五位数的费用。让我们思考的不是黑客攻击本身，我们都知道凭证盗窃时有发生。而是这一点：没有一家主要的AI提供商允许你设置硬性的、绝对的支出上限。你可以设置警报，可以设置软性预算。但一旦达到限制，没有任何东西能在请求入口处阻止它，无论是滥用被盗凭证的恶意行为者，还是你自己的代码在凌晨2点运行代理循环时失控。我们经常看到‘内部’版本：没有退避限制的重试循环、偶尔陷入40轮代理链的提示、或重复处理同一批次五次的bug。没人黑你；只是你自己的代码不知道何时停止，而提供商的仪表盘在一天后损害已经发生时才告诉你。令人不安的部分：‘当支出超过X时提醒我’和‘在请求发生前阻止它’是完全不同的保证，而目前几乎所有提供商只提供前者。很好奇其他人如何处理这个问题：你们是依赖提供商的警报，还是有人已经在AI调用前构建了硬停止层？