Cos'è un attacco denial of wallet?

Il denial of wallet (DoW) è un attacco che ha come scopo, o come effetto, quello di far pagare la vittima, gonfiando il consumo di servizi cloud fatturati in base all'uso. Il nome ricalca il denial of service, l'attacco che mette fuori uso un sistema sommergendolo di richieste, ma qui il servizio resta in piedi e il danno arriva in fattura. Funziona perché molte risorse si pagano a consumo: le funzioni serverless, cioè codice che il provider esegue e fattura a ogni singola chiamata, e le API dei modelli di AI, il cui prezzo si calcola per token, il frammento di testo che il modello legge o scrive. Ogni richiesta in più è spesa in più, e l'infrastruttura scala da sola. OWASP lo cita espressamente nel rischio LLM10:2025 Unbounded Consumption (consumo senza limiti) della sua Top 10 per le applicazioni basate su modelli linguistici. Una variante nata dal furto di credenziali ha un nome proprio: LLMjacking.

Leggi anche: AI gateway · Il punto di controllo unico tra applicazioni e modelli: routing multi-provider, chiavi, quote, costi e filtri di sicurezza.

Dal serverless all'AI

Il termine circolava già quando Kelly, Glavin e Barrett, dell'Università di Galway, ne hanno dato nel 2021 una delle prime definizioni accademiche: l'invocazione intenzionale, massiccia e continua di funzioni serverless, che esaurisce le finanze della vittima con bollette gonfiate. Il nodo è l'elasticità: un server tradizionale sotto attacco crolla, e il guasto si vede subito, mentre un servizio che scala da solo regge il carico e lo mette in conto. Con i modelli linguistici ogni richiesta pesa di più, e OWASP descrive l'attaccante che moltiplica le operazioni contro un'applicazione di AI per scaricarne il costo su chi la gestisce. Fra le contromisure che elenca ci sono limiti di frequenza delle richieste (rate limiting), quote per utente, timeout e monitoraggio dei consumi anomali.

LLMjacking: paga chi è stato derubato

Nel maggio 2024 il Threat Research Team di Sysdig ha descritto e battezzato una variante che aggira l'applicazione: credenziali cloud rubate da un sistema vulnerabile e usate per prendere di mira dieci servizi di modelli linguistici nel cloud, con l'intento di rivenderne l'accesso ad altri criminali, mentre il titolare dell'account paga il conto. Secondo i calcoli dei ricercatori, con le quote predefinite e nel caso peggiore il costo per la vittima può superare i 46.000 dollari al giorno, e nel rapporto successivo la stima sale oltre i 100.000 dollari al giorno con i modelli di punta di allora, come Claude 3 Opus. Il danno è doppio: saturando le quote, l'attaccante impedisce anche l'uso legittimo dei modelli. MITRE ha catalogato il fenomeno nella sottotecnica ATT&CK T1496.004, Cloud Service Hijacking (dirottamento di servizi cloud).

Un esempio enterprise

Un'azienda manifatturiera ha un assistente virtuale per i clienti basato sull'API di un modello cloud. Uno sviluppatore lascia la chiave in un repository pubblico; un venerdì sera qualcuno la trova e ne rivende l'accesso. Il lunedì dopo l'assistente risponde a fatica perché le quote sono esaurite, e l'allarme di budget arriva dopo la spesa: la documentazione di AWS Budgets avverte del ritardo fra consumo e notifica. La cura tocca tre piani: chiavi a vita breve e con un proprietario, secondo la disciplina delle identità non umane; quote per team su un AI gateway; e budget che agiscono invece di avvisare soltanto, come le azioni automatiche di AWS Budgets o i tetti di spesa che Google Cloud prevede per le sue API di AI e che sospendono il servizio.

Perché conta per chi decide

Con l'AI pagata a consumo il costo diventa una superficie d'attacco. Budget, quote, limiti di frequenza, allarmi e igiene delle credenziali sono controlli di sicurezza oltre che strumenti di FinOps, e vanno progettati con chi risponde degli incidenti, non solo con chi legge la fattura. La decisione vera è quanto si accetta di perdere prima che qualcosa si fermi da solo, sapendo che un tetto rigido può spegnere un servizio legittimo. Chi conosce la propria AI tokenomics sa anche quale consumo è anomalo.