记录牧安平台从 0 到 1 的开发过程，一个待业在家的网安老兵边做边想。

上一期我讲了给告警加的四道闸，把告警量降下来了。这次盘点 AI 分析日志，发现另一张嘴在悄悄吃钱——

后台的 AI 自动分析，一个开关开着，就把 token 当水龙头一样流

这一期聊聊，我是怎么发现"AI 在后台悄摸吃 token"的，又是怎么给它装了道闸的。

之前有一期说了接入了AI，做成了”AISOC”，但是总觉得少点啥。

知道AI到底有没有干活，但是不知道总共干了多少活，于是单独加了个AI分析日志记录的功能。

看看 AI 分析到底干过啥。这一翻，发现不对劲了，统计了一下：

同一个「SSRF-内网/元数据」被分析了 6 次

，内容完全一致。按之前实测的单条 token 量级（prompt 4000+、completion 1600+，合计约 5900），光"SSRF×6 + 内网IP泄露×5"这 11 次重复，就白白烧掉约 

，而分析结果没有任何新增信息。

根子在哪：一个开关，就默认"每个告警都分析一次"

告警入库 add_alert()  └─ 是 signal 级 且 ai_auto_analyze=1       └─ 注册回调 _on_new_alert            └─ 起一个后台线程 → ai_client.analyze_alert()

当初设计"自动分析"的初衷是好的：

新告警进来了，让 AI 帮我看一眼，给我个研判建议。但漏了安全场景一个最典型的特点——

同一攻击手段会反复产生高度相似的告警

。持续型攻击（端口扫描、SSRF、注入）同源同标题反复触发，于是一模一样的分析被重复跑了很多遍。

更糟的是这整个过程是"悄摸"的，四个特征叠在一起：

我开了个水龙头，忘了关，还看不见水流

。用户在前端只看到一个"AI 分析"章节点开有日志，根本不知道它一直在后台自动跑。

怎么修：给 AI 分析也加一道"去重闸"

修复思路跟上一期告警降噪一脉相承——

# key = source | title[:80]，窗口内同 key 只分析一次_ai_analyze_dedup = {}def _on_new_alert(level, title, detail, source, alert_id):    if db.get_config("ai_auto_analyze", "0") != "1":        return    key = "%s|%s" % (source or "?", (title or "")[:80])    now = time.time()    window = float(db.get_config("ai_analyze_dedup_min", "10") or 10) * 60  # 默认 10 分钟    if now - _ai_analyze_dedup.get(key, 0) < window:        return  # 窗口内，跳过，不调模型、不记日志    _ai_analyze_dedup[key] = now    if len(_ai_analyze_dedup) > 1000:  # 防内存膨胀，只留最近 1 小时        _ai_analyze_dedup = {k: v for k, v in _ai_analyze_dedup.items() if now - v < 3600}    threading.Thread(target=ai_client.analyze_alert, args=(alert_id, source), daemon=True).start()

改完重启，去重代码 6 处引用全部加载。翻了翻配置、跑了接口：

也就是下一次翻日志表，不会再有"SSRF×6"这种刷屏了。

后台的东西，不主动去看，就永远不会主动告诉你它究竟干了什么。

降噪治的是"告警刷屏"，这期治的是"分析刷屏"。一个管量，一个管钱。

用户的每一分钱都要能回答：花在哪、值不值、能不能再省。

最后加个汇总卡片，一目了然。至于烧了多少钱，那只能看大模型账单了。

AI开发牧安 ·第18期 探针天天喊狼来了，我给告警加了四道闸

AI开发牧安 ·第20期 L2 故障连锁 · 四个坑，一个接一个爆

上一期我讲了给告警加的四道闸，把告警量降下来了。这次盘点 AI 分析日志，发现另一张嘴在悄悄吃钱——后台的 AI 自动分析，一个开关开着，就把 token 当水龙头一样流。

AI开发牧安 ·第19期  AI 在后台悄摸吃 token，我发现时已经烧干了

上一期我讲了给告警加的四道闸，把告警量降下来了。这次盘点发现一张嘴在悄悄吃钱——后台的 AI 自动分析，一个开关开着，就把 token 当水龙头一样流。

人工智能

后端

安全

牧安平台开发中，通过日志盘点发现AI自动分析功能存在重复消耗token问题：同源告警被反复分析，11次重复浪费6.5万token。新增去重闸，基于source+标题内存表实现10分钟窗口内只分析一次，默认配置可调，预期token消耗下降一个数量级，确保每笔AI费用花得透明可控。

文章

问答

视频

教程

学习中心

腾讯云实验室

直播

竞赛

腾讯云代码分析专区

腾讯iOA零信任安全管理系统专区

腾讯云架构师技术同盟交流圈

腾讯云数据库专区

腾讯云智能顾问专区

腾讯云原生专区

腾讯混元专区

腾讯云TCE专区

腾讯云Lighthouse专区

腾讯云HAI专区

腾讯云Edgeone专区

腾讯云存储专区

腾讯云智能专区

腾讯轻联专区 

腾讯云开发专区

TAPD专区

腾讯轻量云游戏服专区

EdgeOne AI 安全实战专区

腾讯云最具价值专家

腾讯云架构师技术同盟

腾讯云创作之星

腾讯云开发者先锋

腾讯云代码助手

云原生构建

TAPD 敏捷项目管理

Cloud Studio

SDK中心

API中心

命令行工具

涵盖代码开发、场景应用、自动测试全流程，助你从零构建专属AI助手

一站式MCP教程库，解锁AI应用新玩法

聚焦“写作效率、视觉美观与运行性能”三方面进行全面升级，为您提供更高效、稳定的创作环境

社区富文本&Markdown编辑器全新改版上线，欢迎大家体验!

诚挚邀请您参与本次调研，分享您的真实使用感受与建议。您的反馈至关重要，感谢您的支持与参与！

AI开发牧安 ·第19期 AI 在后台悄摸吃 token，我发现时已经烧干了

AI开发牧安 ·第19期 AI 在后台悄摸吃 token，我发现时已经烧干了

社区

活动

圈层

关于

腾讯云开发者

热门产品

热门推荐

更多推荐