Abuso y volumen: cuotas y detección

En un asistente de atención, el abuso a escala casi nunca busca romper el modelo. Busca usar lo que el asistente ya hace, muchas veces: que envíe mensajes que el operador paga, que confirme datos de clientes, que consuma cómputo del modelo sin que nadie inicie sesión. La lista de riesgos de OWASP para aplicaciones con modelos de lenguaje lo recoge como consumo sin límites, y en un operador tiene una variante propia: el inflado artificial de tráfico, en el que alguien provoca envíos de SMS hacia destinos que cobran por recibirlos, a costa del operador.

Por eso las cuotas son un control de seguridad y no solo de costos. Una cuota útil tiene tres partes: qué cuenta (mensajes, códigos, consultas), sobre qué alcance (sesión, línea, dirección de origen, destino) y qué hace al superarse. Una cuota que solo avisa deja pasar el abuso mientras alguien mira el aviso.

Un código de un solo uso se envía para que alguien lo escriba de vuelta. En los destinos legítimos, la mayoría de los códigos se usan; cuando un destino recibe miles y casi ninguno vuelve, nadie está intentando entrar: alguien está generando envíos. El volumen total no es la mejor pista, porque la red propia del operador suele ser la que más recibe.

Busca también de qué flujo pueden salir esos envíos: un código que va a «la línea registrada» no puede ir a cualquier país; uno que va al número que escribe un visitante, sí.

Una cuota por línea de destino frena que alguien bombardee un mismo número, pero no frena a una sola sesión que pide códigos para miles de números distintos, cada uno una sola vez. Las cuotas se revisan como un conjunto: por cada recurso caro, ¿hay un límite en cada alcance por el que se puede abusar?

Un asistente también filtra datos por cómo responde. Si a «envíame un código a este número» contesta distinto cuando el número es de un cliente y cuando no lo es, cualquiera puede recorrer una lista de números y saber cuáles son clientes del operador: una lista valiosa para fraudes posteriores. A esto se le llama enumeración, y se corrige con respuestas iguales en los dos casos.

El informe del abuso necesita una cifra para quien decide: cuánto dinero salió. En un inflado de tráfico el costo es lo que el operador paga a la red de destino por cada mensaje, y se suma por los días que duró, no se toma el del último día.