应用程序编程接口 (API) 没有用户界面层来减缓攻击者的速度。攻击几乎可以瞬间发生，并在典型的监控系统发出警报之前就已造成损害。从 2024 年到 2025 年，与 API 相关的安全事件同比增长了 32%。

下面，我们将讨论 API 滥用在实践中的具体表现、在软件即服务 (SaaS) 和 AI 平台中常见的模式，以及实时 API 滥用防范的策略。

要点

• 自动化脚本可以直接攻击您的后端端点，在标准监控系统检测到攻击之前，就可能造成代价高昂的问题。

• 结合了速率限制、机器人管理、设备信号和自适应验证的分层防御机制，比任何单一、孤立采用的控制措施都更有效。

• 凭证填充和新账户欺诈是同一攻击链中相互关联的两个环节。登录和注册的防御措施需要共同设计和监控。

什么是注册及试用系统中的 API 滥用？

API 滥用是指脚本直接访问您的后端端点，而不是通过这些端点本应服务的用户界面（例如您的注册 API、支付 API、试用开通流程）。每个声称拥有 API 令牌或一批推理额度的虚假账户都会产生开通成本。

为什么实时 API 滥用防范对 SaaS 和 AI 平台至关重要？

自动化的 API 滥用发生在几秒之内，这意味着等到每日安全报告显示异常时，可能已经造成了严重损害。如果您的架构在试用注册时会调用计算资源或调用第三方模型 API，那么每个虚假账户都会产生实实在在的边际成本。一次以每分钟 100 次注册的速度持续 20 分钟的攻击，就会产生 2000 个欺诈账户，每个账户都可能触发下游的资源分配。

大规模滥用行为会对 API 端点造成严重冲击，足以降低服务质量并影响正常用户。您的注册流程会变慢，验证队列会积压，数据库的写入吞吐量也会被占满。一种能在五分钟后识别出攻击模式并自动响应的防御机制，与一种在 24 小时后才在管理平台审查中显示结果的机制，有着本质的区别。

SaaS 和 AI 平台中常见的 API 滥用模式有哪些？

API 攻击者倾向于利用您有意公开的端点。以下滥用模式在 SaaS 和 AI 平台中屡见不鲜：

• 自动化账户创建：脚本使用一次性电邮地址生成虚假账户。它们反复调用您的注册 API，建立一个账户池，用于试用资源掠夺、声誉操纵或日后转售。

• 免费试用资源套利：攻击者直接针对您的试用额度或计算资源。在 AI 平台上，免费试用包含推理额度时，掠夺数百个账户可以产生可观的收益。

• 针对登录端点的凭据填充：攻击者利用泄露数据库中的用户名和密码组合进行测试。即使成功率很低，对数百万个组合进行测试也可能产生大量被入侵的账户。

• 速率限制规避：分布式攻击将请求分散到数千个 IP 地址上，以保持在单个 IP 的阈值之下。一个仅按 IP 跟踪的速率限制器，面对一个在 10,000 个 IP 上每分钟仅发起两次请求的僵尸网络，将无法有效拦截。

• 验证端点滥用：短信 (SMS) 和电子邮件确认端点是极具吸引力的攻击目标。滥用这些端点可以探测您系统中特定账户是否存在，并耗尽您的短信发送预算。

• 令牌窃取：在掠夺或入侵账户之后，脚本会收集 API 密钥、会话令牌或 OAuth 凭证，用于转售或在后续攻击中使用。

API 滥用与凭证填充及新账户欺诈有何关联？

攻击者会拿从泄露数据库中获取的凭证对，在您的登录 API 上进行测试。成功登录后，他们就能进入现有账户。但是，当您增加了多因素认证，或者您的用户不再重复使用密码，导致凭证填充的收益下降时，这些攻击者就会转向您的注册端点。

创建新账户通常比入侵现有账户更容易，尤其是在有试用资源可用且身份验证较为宽松的情况下。一旦登录防御得到强化，注册端点就会成为阻力最小的攻击路径。攻击者利用批量创建的账户进行试用资源掠夺、垃圾邮件活动或推荐奖励滥用，或者将其作为“养熟”的账户池出售。有些人会预先创建账户，并不立即使用；他们会等到这些账户通过早期的欺诈检测之后再激活它们。

攻击者在探测您的登录端点时，会了解您的账户结构、错误提示信息以及速率限制机制。这些信息在他们转向您的注册流程时会被加以利用。分开设计的登录和注册防御体系会留下漏洞，而协同进行的攻击很可能会发现这些漏洞。

Stripe Radar 在支付流程中考虑到了这个问题。它将银行卡行为、设备信号和账户历史关联起来，从而发现那些孤立看待任何一个单独信号时都看似干净的欺诈行为。跨攻击链相关联的信号能够揭示出完整的攻击图景，而这正是单端点监控完全无法发现这些信息。

实时 API 滥用防范的常见策略有哪些？

没有单一的控制措施可以阻止 API 滥用。保护您系统的防御体系需要采用分层架构。

以下是您的防护策略应涵盖的技术手段：

• 速率限制：按 IP 限制是最基本的要求。您还需要按账户、设备指纹、电子邮件域名以及行为会话进行速率限制。这样一来，即使分布式攻击保持在您的 IP 阈值以下，也会在堆栈的其他层面碰壁。

• 机器人管理：专用的机器人管理工具部署在您的 API 前端，在流量到达应用层之前对其进行分类。它们利用传输层安全 (TLS) 指纹识别、HTTP/2 行为、请求时序以及请求头异常等信号来识别机器人。

• 设备和身份信号：在提供服务之前，收集设备指纹、IP 信誉评分以及身份信号。电子邮箱地址质量也是一个很强的信号。

• 自适应验证：渐进式验证——即较高风险的信号会触发电邮确认、电话验证或人工审查——可以在不拖慢正常用户速度的情况下防范滥用。

• 异常检测：为您的 API 端点在正常时期的流量设定一个基线，并在出现偏差时发出警报。那些在创建后立即调用您的试用开通端点、没有任何其他活动的账户，值得被标记出来。

团队如何实时监控 API 滥用？

要实时监控 API 滥用，必须关注正确的信号。请注意以下常见的 API 滥用迹象：

• 按响应码统计的请求量：来自您的注册端点的新创建账户数量达到峰值，是一个攻击信号。应跟踪每个端点的请求量，并按响应代码进行分类，这样成功创建的峰值与错误峰值一样清晰可见。

• 身份验证端点的错误率变化：错误代码响应突然增加，例如登录接口上出现 401 未授权错误，往往预示着或伴随着凭证填充攻击。

• 新注册用户的邮箱域名分布：真实用户会使用多种邮箱。大约 40% 可能是 Gmail，20% 可能是企业域名，其余则各不相同。滥用行为会使这一分布急剧向一次性邮箱域名倾斜。

• 注册后首次操作的时间间隔：正常用户会先浏览您的产品。而机器人则在完成注册后即停止活动，或立即调用特定的资源配置端点。在队列层面衡量时，这种行为上的差异是一个可靠的信号。

• 地理位置和 ASN 分布变化：流量突然集中在特定的自治系统编号 (ASN) 上，例如数据中心提供商和住宅代理网络，这是一个警示信号。

Stripe Radar 如何提供帮助

Stripe Radar 使用 AI 模型来检测和预防欺诈，这些模型基于 Stripe 全球网络的数据进行训练。随着欺诈手段的不断演变，它会根据最新的欺诈趋势不断更新模型，从而保护您的业务。

Stripe 还提供 Radar 风控团队版，让用户能够制定自定义规则以应对其业务特有的欺诈情境，并获取更深入的欺诈洞察。

Radar 可以帮助您的企业：

• 避免欺诈损失：Stripe 每年处理超过 1 万亿美元的支付交易。这种庞大的规模赋予了 Radar 独特的能力，使其能够精准地检测并预防欺诈行为，为您节省资金。

• 增加收入：Radar 的 AI 模型基于真实的争议数据、客户信息、浏览数据等多维度信息进行训练。这使得 Radar 能够识别高风险交易并减少误报，从而提升您的收入。

• 节省时间：Radar 内置在 Stripe 中，无需编写任何代码即可启用。您还可以在同一个平台上监控反欺诈表现、编写规则等，从而提高效率。

进一步了解 Stripe Radar，或立即开始使用。