一套 AI 客服上线三个月，我在安全上多花了多少钱

上个月写了篇 AI 客服的账单拆解，评论区问得最多的一句是：「加安全防护得加多少钱？」

我当时答不上来，因为没单独算过。

这次老老实实拆了一遍。结论先说：防护本身的费用不高，真正贵的是它带来的延迟和误伤。 三个月一共多花 1,992 元，其中能直接算进模型账单的只有 1,188 元，剩下八百是隐性的。

一、先把「安全」这件事拆成能算钱的项

一套客服机器人的安全支出——大头是提示词注入的防护——无非四块：

1. 提示词变长带来的额外 token 计费。

2. 输出校验多跑一个小模型。

3. 误伤带来的重复对话。

4. 人力和运维（人工复核、告警）。

前三块能算到分，第四块只能估。下面逐项拆。

二、第一块：提示词变长，每月 336 元

不设防的时候，系统提示词 400 token。加上护栏之后变成 1,100 token。

多出来 700 token，每天 8,000 次请求，一个月按 30 天算：

700 × 8,000 × 30 ÷ 1,000,000 × 2 元 ≈ 336 元

三个月合计 1,008 元。这是纯支出，一分钱好处都没有——因为事实证明，光靠长提示词只能挡住不到六成的攻击。

这笔 token 计费是纯浪费，也是我觉得最不划算的一笔。后来把提示词精简回 800 token，每月降到 192 元。省下的钱不多，但没必要为无效防护付费。

三、第二块：输出校验，每月约 60 元

输出侧做输出校验：接一个小分类模型（随便哪家大模型 API 都行），判断回复里有没有敏感内容。如果业务本来就要求结构化输出，这一步的增量还会更低。这个小模型的调用量和主模型一样，但单价低得多，每月大约 60 元。

三个月 180 元。

这笔钱花得值。它是最后一道兜底，命中就直接替换成标准话术。

四、第三块：误伤，每月约 70 元

这块最容易被漏算。

加了输出校验之后，1,000 条正常提问里有 19 条被误判，接近 2%。误判之后用户会重问一遍，也就是多一次完整对话。

按每天 8,000 次、命中 1.9% 算，每天多出约 152 次对话，每次成本约 0.015 元，一个月约 68 元。

钱不多，但用户体感很差。一百个人里有两个被系统拦一下，这两个人里大概有一个会直接关掉对话。

五、第四块：人工复核和告警，每月约 200 元

我们每天抽 2% 的会话人工复核，按 8,000 次算就是 160 次，大概占用半小时。按人力成本折算，每月约 150 元。

告警和日志存储另算，每月 50 元左右。这部分用的是现有基础设施，没单独买。

图 1　每月安全支出：664 元 → 520 元

六、总账

项目最初每月优化后每月三个月合计提示词加长336 元192 元1,008 元输出校验小模型60 元60 元180 元误伤导致的重复对话68 元68 元204 元人工复核与告警200 元200 元600 元合计664 元520 元1,992 元

优化提示词之后，每月实际支出从 664 元降到约 520 元。

对比一下不设防的代价：我们第一次被间接注入打穿，就是因为文档里的越权指令进了上下文。上线三个月里如果不做防护，那种「机器人骂客户」的事故至少会发生两三次。一次客户投诉的处理成本、潜在的客户流失，远不止这个数。

七、哪些钱可以省，哪些不能省

三个月下来，我的判断是：

可以省的： 提示词长度。写清楚就行，别堆成八百字小作文。这部分钱花了也没用。

不能省的： 输出校验和输入校验、以及人工复核。前者是兜底，后者是发现新攻击手法的唯一途径。

看着贵但值得的： 权限改造和白名单。我们花了两周时间把写操作从机器人手里摘掉，这半个月没产生任何直接收益。但它是唯一一条「就算被骗也不会出事」的防线。

八、给同样在做这件事的人

如果你也在给 AI 客服算预算，我的建议是：别把安全当成一个独立项目来批预算，它更像是把「事故成本」前置成「运营成本」。

每个月五百多块，买的是不出事。这钱在账上不显眼，但缺了它，一次事故就够把这笔钱全抵消掉。

（多模型接入我们用词元云，模型和用量在一张账单上，切小模型做校验比较方便，是 tokenfreeai.com。换别家也一样，重点是先把账拆清楚再决定花在哪。）