Pesquisa identifica provedores de LLM inflando cobranças ao alongar respostas artificialmente, e 7 de 15 APIs reais são sinalizadas
Em serviços de LLM cobrados por token, provedores desonestos podem manipular a geração para inflar o número de tokens de saída preservando a utilidade da tarefa — o que os autores batizam de Provider-Side Token Inflation Attack (PTIA). Um método de auditoria por sonda única, sem precisar de modelo de referência confiável, detecta esse comportamento com 85,1% de acerto médio e menos de 2% de falsos positivos, e ao aplicá-lo a 15 serviços comerciais reais de API LLM, sinalizou 7 deles como consistentes com PTIA.
O modelo de ameaça deste artigo é incomum porque inverte o papel usual de atacante e vítima: aqui, o adversário em potencial é o próprio provedor do serviço de LLM, e a vítima é o cliente que paga por token de saída. Em um mercado onde o provedor controla integralmente o pipeline de geração — desde o roteamento da consulta até a decisão de parada do modelo — existe um incentivo econômico direto e discreto para fazer o modelo falar mais do que o necessário, aumentando a fatura do cliente sem necessariamente prejudicar de forma óbvia a qualidade percebida da resposta.
Os autores instanciam cinco ataques representativos em diferentes camadas do pipeline controladas pelo provedor: manipulações no nível da consulta, do prompt de sistema, da representação interna e do próprio modelo, cada uma capaz de multiplicar por mais de 10 vezes o comprimento médio da saída em relação a uma linha de base limpa, mantendo a tarefa nominalmente resolvida. A descoberta técnica mais elegante do artigo é o fenômeno de saturação: a primeira intervenção de alongamento já derruba fortemente a probabilidade do token de fim de sequência (EOS), e insistir com mais intervenções tem retorno decrescente — o que, do ponto de vista de detecção, significa que basta uma sonda de intervenção controlada para revelar se o sistema já está manipulando o comportamento de parada, sem precisar simular o ataque completo.
A partir dessa observação, os autores constroem um auditor de caixa-preta que não exige acesso a um modelo de referência local nem a um histórico de respostas limpas anteriores — ele emite uma consulta original e uma consulta sondada com uma intervenção de alongamento controlada, e compara quantos tokens adicionais a sonda induz. Sob operação normal, a sonda induz uma quantidade previsível de tokens extras; sob PTIA, a quantidade é bem menor porque o sistema já está próximo do teto de alongamento que o próprio provedor está impondo. Como as duas consultas do auditor se parecem com tráfego comum de API, a evasão por parte de um provedor mal-intencionado é difícil sem também degradar o comportamento normal do serviço.
O resultado mais impactante para quem compra LLM como serviço é empírico e concreto: ao rodar essa auditoria contra 15 APIs comerciais reais de LLM, os pesquisadores sinalizaram 7 delas como exibindo comportamento consistente com PTIA — quase metade da amostra. Isso não prova necessariamente má-fé deliberada em cada caso (efeitos de infraestrutura ou decisões de produto podem produzir sinais parecidos), mas estabelece que a integridade da faturamento por token não pode ser assumida por padrão, e que clientes com gasto significativo em APIs de LLM cobradas por token têm agora uma ferramenta prática e de baixo custo para auditar seus próprios provedores.