Sipas një analize të një incidenti real, një sulmues përfitoi mbi 1,900 dollarë kredite për shërbime AI, duke përdorur nëntë llogari Apple Private Relay «Hide My Email» dhe IP proxy të ndryshueshme. Ai anashkaloi kufizimet e kërkesave dhe verifikimin e emailit përpara se të aktivizoheshin numëruesit e faturimit.
Dobësia lidhej me zbritjen e krediteve vetëm pas përfundimit të përgjigjes. Gjatë përpunimit, që zgjaste 4–18 sekonda, 50 kërkesa paralele mund të lexonin të njëjtën gjendje prej 2 dollarësh dhe të miratoheshin njëkohësisht, duke shkaktuar mbi 210 dollarë kosto për llogari.
Arkitektura e propozuar përfshin normalizimin e adresave email dhe identifikimin e shërbimeve anonimizuese e rrjeteve cloud/VPN. Për riskScore >= 45, parashikohet verifikim me Stripe SetupIntent prej 0.00 dollarësh, ku card.fingerprint shërben për të identifikuar të njëjtën kartë në disa llogari.
Dy shtresat e tjera kombinojnë nënrrjetin IPv4 /24 me karakteristika të pajisjes dhe shfletuesit për të lidhur llogaritë në një grup, si dhe rezervojnë buxhetin përpara thirrjes së API-së LLM/GPU. Rezervimi kryhet me një skript atomik Redis/Upstash Lua, për të shmangur miratimin paralel të kërkesave mbi të njëjtin bilanc.
Burimi: DEV Community (Web Dev Feed) — lexoni artikullin e plotë në anglisht.
