Detectar abuso, volumen, patrones y costos

Un día de mucha demanda y un abuso comparten una señal: el volumen sube. Lo que los separa es la combinación de rasgos. El uso legítimo se concentra en horas laborales, viene de varias direcciones, tiene textos variados y un tamaño de petición parecido al de los demás. Un abuso automatizado suele ser constante a toda hora, sale de muy pocas direcciones, repite una estructura de petición y tiene un costo por petición muy superior al normal.

Por eso las alertas útiles combinan señales y comparan cada cliente con su propia línea base y con sus pares, en lugar de depender de un solo umbral global.

El primer paso de una detección es la comparación con los pares: si cinco clientes gastan entre medio millón y poco más de un millón de pesos al día y uno gasta veinte veces más, no hace falta una regla sofisticada para verlo. Lo que sigue es explicarlo, y para eso se miran las demás columnas: cuántas direcciones, cuántas horas, cuántos tokens por petición.

Consulta el uso por cliente y localiza el que tuvo el mayor costo en las últimas 24 horas.

Una regla de textos idénticos repetidos no detecta esto: casi todos los textos del cliente son distintos entre sí, porque cambia el número del ejercicio. Lo que se repite es el principio de cada texto, y una regla sobre el prefijo común, o sobre la proporción de textos con la misma estructura, sí lo vería. La tabla de patrones lo muestra: un cliente con casi todos los prompts distintos y, a la vez, casi todos con el mismo comienzo.

Consulta la tabla de alertas y anota la regla que el equipo diseñó para este patrón y todavía no tiene umbral.

Una alerta de costo tiene dos partes: el umbral y la acción. Un umbral bien puesto con una acción que solo manda un correo avisa, pero no detiene nada: el gasto sigue mientras alguien lee el mensaje. Para dimensionar el exceso se compara el costo real del cliente con el umbral configurado de su regla.

Calcula cuántos pesos por encima del umbral diario de costo quedó el cliente de mayor gasto de las últimas 24 horas.

Cuando se detecta un uso anómalo de una clave, la respuesta busca detener el daño con el menor costo para los demás: limitar o suspender esa clave, avisar a la persona de contacto técnico del cliente y conservar los registros para investigar. Apagar el servicio para todos castiga a clientes que no hicieron nada; esperar a que el mensaje de la alerta se lea deja correr el gasto.