把智能体挂到公开页面没几天我就发现调用量诡异地高。一查日志有人写了脚本对着我的接口狂刷——大模型每次调用都是钱这么刷下去账单能让我心梗。对外的东西没有限流和防刷等于把钱包敞开放街上。至少要做的几道防线1. 频率限制。按 IP / 用户 / 会话限每分钟、每天的调用次数超了就拒。这是最基础也最有效的一道。2. 验证门槛。完全匿名最容易被刷。加个轻量验证登录、图形码、或前端 token抬高自动化滥用的成本。3. 异常监控。调用量突增、单一来源高频自动告警别等账单出来才发现。落地干活的智能体我用讯飞星辰搭、发布成 API。限流和防刷我加在自己服务这一层API 网关 / 中间件请求先过我的风控合规的才转给 Agent。把风控和业务分开清爽。坑限太死会误伤正常用户。高频但正常的场景比如客服坐席要单独放白名单。光限前端没用接口本身也得限不然绕过前端直接打接口照样刷。告警要能叫醒人半夜被刷第二天才看到就晚了。对外 Agent风控不是可选项是保命的。限流和告警那套我放评论区了。你们对外接口都怎么防刷的