AI Gateway User Insights señala anomalías de gasto; no las detiene

AI Gateway User Insights de Cloudflare puede señalar una sesión con un coste inusualmente alto para una persona o un agente. No decide si esa actividad es maliciosa, identifica la causa raíz ni detiene otra solicitud.

La alerta solo se activa cuando una sesión supera dos umbrales de coste a la vez: cuesta más del doble del coste p95 móvil de las sesiones de ese usuario durante 30 días y queda por encima del coste de sesión p99 de la organización. En términos sencillos, la sesión debe ser inusual para esa identidad y especialmente cara en toda la organización. El operador todavía debe verificar a quién representa la identidad, inspeccionar las solicitudes cercanas, decidir si la actividad es legítima y elegir una acción de contención.

Esa separación es la parte útil de la versión. User Insights es una vista de triaje, no un sistema autónomo de respuesta a incidentes.

Los dos umbrales filtran tipos distintos de ruido

Cloudflare hizo que User Insights estuviera disponible de forma general el 5 de agosto de 2026 y afirma que está disponible para todos los clientes de AI Gateway sin coste adicional. La integración complementaria con Cloudflare Access, que puede colocar una identidad verificada en una solicitud al gateway, se lanzó en beta abierta.

La regla de anomalías funciona con sesiones, no con solicitudes individuales. Para cada usuario, Cloudflare calcula el percentil 95, o p95, del coste de sesión durante los 30 días anteriores. Un p95 de USD 12 significa aproximadamente que el 95% de las sesiones observadas de ese usuario costaron USD 12 o menos. Por tanto, el umbral relativo sería cualquier valor superior a USD 24. Como la línea base avanza con el tiempo, un cambio duradero en el trabajo normal también puede desplazar el umbral.

Esa prueba personal no basta. La misma sesión también debe costar más que el p99 de la organización, el nivel que solo supera el 1% de las sesiones más caras. La documentación actual de User Insights de Cloudflare indica que ambas comparaciones deben cumplirse.

Comparación con el p95 personal de 30 días	Comparación con el p99 de la organización	Resultado de User Insights	Lo que sabe el operador
Igual o inferior a 2×	Igual o inferior	No señalada	No se superó ningún umbral de coste. Esto no dice nada sobre los riesgos no relacionados con el coste.
Superior a 2×	Igual o inferior	No señalada	Inusual para esta identidad, pero por debajo del umbral de alto coste de toda la organización.
Igual o inferior a 2×	Superior	No señalada	Cara en toda la organización, pero habitual en el historial reciente de esta identidad.
Superior a 2×	Superior	Señalada	La sesión superó ambos umbrales de coste. La intención y la causa siguen siendo desconocidas.

Consideremos tres sesiones ficticias en una organización cuyo p99 es de USD 180. Una sesión de USD 40 de un usuario con un p95 de USD 12 supera el doble de su línea base, pero sigue por debajo de USD 180 y no se señala. Una sesión de USD 220 de un usuario con un p95 de USD 150 es cara para toda la organización, pero no supera el doble de la línea base de ese usuario. Una sesión de USD 220 de un agente con un p95 de USD 30 supera ambas barreras y se señala.

Los ejemplos explican la regla; no son mediciones de Cloudflare ni presupuestos recomendados. El umbral está ajustado para reducir las alertas ruidosas, lo que también significa que puede pasar por alto abusos significativos de bajo coste, un aumento gradual absorbido por la línea base móvil o una sesión cara que sea normal para un usuario intensivo.

La cobertura de identidad determina cuánta información puede darte la alerta

El panel puede mostrar usuarios activos, solicitudes, tokens, gasto mediano, concentración de alta actividad, usuarios que deben revisarse y cobertura de identidad. La vista de usuario añade los totales de gasto, solicitudes y tokens, las solicitudes almacenadas en caché y con errores, las sesiones aproximadas, el modelo y proveedor principales, la última vez que se vio al usuario, los días activos y la cobertura de identidad por usuario.

Esos campos solo se vuelven específicos de una persona o un agente cuando las solicitudes llevan metadatos de identidad útiles. Sin una identidad, Cloudflare agrupa el uso bajo un único identificador anónimo y no puede distinguir a las personas.

Hay dos vías de identidad sustancialmente distintas:

Un dominio personalizado protegido por Access puede añadir cf.user_id, el sujeto verificado de un JSON Web Token válido de Cloudflare Access. La documentación de Access de Cloudflare indica que las solicitudes con tokens de servicio no reciben este campo porque no representan a un usuario individual de Access.
Un cliente puede adjuntar su propio identificador de usuario o agente mediante metadatos personalizados. Eso puede mejorar la atribución, pero la aplicación —no Cloudflare Access— define y proporciona el valor. Solo debe tratarse como fiable en la medida en que el sistema emisor evite la suplantación o la omisión.

Una alerta asociada a una cobertura de identidad del 42% no es un hallazgo sobre el 100% del tráfico. El 58% ausente podría ocultar otra actividad o mezclar a varios emisores en el grupo anónimo. Registra la cobertura antes de extraer una conclusión.

El análisis independiente de Shogoworks describe el cambio práctico como el paso de analizar una clave de API a analizar a una persona. También señala la consecuencia de gobernanza: el uso vinculado a una identidad puede revelar patrones del trabajo de un empleado. Por eso, la limitación de finalidad y el control de acceso forman parte del diseño de observabilidad, no son papeleo para añadir después.

Lo que demuestra una alerta de User Insights —y lo que no

Si el panel y los registros subyacentes están completos, una alerta respalda una afirmación limitada: AI Gateway atribuyó una sesión a una identidad, estimó su coste y determinó que ese coste estaba por encima de ambos umbrales actuales.

Por sí sola no demuestra nada de lo siguiente:

que se haya robado una credencial;
que un agente haya entrado en un bucle de reintentos;
que el usuario haya infringido una política;
que datos sensibles hayan llegado a un proveedor de modelos;
que Cloudflare haya bloqueado la sesión o las solicitudes posteriores;
que la factura del proveedor coincida exactamente con la estimación del gateway; o
que todas las solicitudes de la sesión correspondan a la identidad seleccionada.

Cloudflare es especialmente directo sobre este límite: User Insights no decide la intención ni bloquea a nadie. La documentación de la empresa sobre la función independiente de límites de gasto también califica el seguimiento de costes como una estimación aproximada de buena fe y pide a los clientes que utilicen el panel del proveedor para obtener la facturación exacta.

Por tanto, la alerta debe abrir una investigación, no cerrarla. Su forma de coste puede distinguir unas pocas solicitudes muy largas de miles de fallos breves, y un cambio de modelo o proveedor puede explicar un gasto mayor sin ningún aumento del volumen. La cobertura de identidad determina entonces si esas observaciones corresponden a una persona verificada, a metadatos proporcionados por la aplicación o a un grupo anónimo.

La documentación de registro de AI Gateway de Cloudflare indica que los registros almacenados pueden incluir prompts, respuestas del modelo, proveedor, marca de tiempo, estado, uso de tokens, coste, duración y agente de usuario. Esa evidencia puede aclarar el evento, pero también puede exponer contenido sensible; en muchos casos, los metadatos bastan para explicar las anomalías sin abrir prompts ni respuestas generadas.

La contención sigue siendo una funcionalidad de producto independiente. Un límite de gasto puede devolver HTTP 429 cuando se alcanza un presupuesto, mientras que un límite de velocidad para todo el gateway limita el volumen de solicitudes. Los límites de gasto son eventualmente consistentes y el tráfico concurrente puede superarlos brevemente, mientras que un límite de velocidad para todo el gateway puede interrumpir a clientes que funcionan correctamente. User Insights facilita encontrar desviaciones costosas; no decide cuál de esas consecuencias está justificada.

Los dos umbrales filtran tipos distintos de ruido

La cobertura de identidad determina cuánta información puede darte la alerta

Lo que demuestra una alerta de User Insights —y lo que no

Fuentes

Sigue los nuevos artículos de Noticias de IA

Sigue leyendo

HarnessRisk muestra por qué una sola demostración de inyección de prompts no puede medir la seguridad de un agente

El Model Hardware Standard de Anthropic es una interfaz, no una certificación de seguridad

Los scopes OAuth opcionales de Cloudflare hacen más limitado el consentimiento, no lo vuelven seguro automáticamente