1. 拒绝服务场景定义：攻击类型分类、场景触发条件、对Agent的影响范围
在构建智能Agent系统时，拒绝服务（Denial of Service, DoS）场景是威胁模型中最基础也最危险的一环。与传统网络层面的DDoS不同，Agent系统中的拒绝服务攻击目标更复杂：它可能直接耗尽计算资源，也可能通过语义级的请求轰炸使Agent的逻辑处理单元陷入死循环或状态爆炸。本章从架构视角定义Agent拒绝服务场景的行为边界，为后续分层防护策略奠定基础。
1.1 攻击类型分类
根据攻击的目标层次和实现机理，Agent拒绝服务场景可分为以下四类：
| 类型 | 目标层次 | 典型手法 | 对Agent的影响 |
|---|---|---|---|
| 资源耗尽型 | 基础设施层/运行时 | 大量并发推理请求、内存泄漏触发、磁盘I/O风暴 | 响应延迟飙升、OOM Kill、Agent进程崩溃 |
| 语义轰炸型 | 意图理解层/策略层 | 多轮循环上下文、矛盾指令链、无限重试陷阱 | 上下文窗口溢出、状态机死锁、推理Token耗尽 |
| 协议饿死型 | 通信层/API网关 | 慢速HTTP请求、连接池耗尽、TLS握手洪水 | 正常请求被排队丢弃、连接超时、代理不可达 |
| 感知过载型 | 感知层/外部工具 | 高频传感器数据注入、虚假事件洪水、工具调用风暴 | 感知缓冲区溢出、工具调用次数配额耗尽、状态不一致 |
架构要点：四种类型往往叠加出现。例如，语义轰炸型攻击可能同时引发资源耗尽（Token消耗）和协议饿死（连接池被慢请求占满）。边界定义必须覆盖组合攻击场景。
1.2 场景触发条件
拒绝服务场景的触发条件可以从外部输入特征和系统内部状态两个维度建模：
- 外部输入特征：
- 请求速率超过预设阈值（如 QPS > 5000）
- 单请求Token量超过上下文窗口上限（如 > 128K tokens）
- 请求深度（多轮轮次）超过最大上下文轮数（如 > 50 轮）
- 工具调用链长度超过递归深度限制（如 > 10 层）
- 系统内部状态：
- Agent记忆缓冲区剩余容量低于10%
- 推理引擎并发处理槽位全部占用
- 外部工具调用配额剩余为0
- 异步任务队列积压量超过处理能力的3倍
常见误判：仅依赖外部速率限制（Rate Limit）无法防御语义轰炸型攻击。即使请求速率很低，单个精心构造的循环上下文仍可导致Agent服务不可用。触发条件必须同时覆盖速率维度和复杂性维度。
1.3 对Agent的影响范围
拒绝服务攻击在Agent系统中的影响范围具有级联扩散特性，而非停留在单一组件。下图展示了攻击从外部边界侵入后，在Agent架构各层引发的连锁反应：
1.4 信任链路与边界定义
从架构视角定义拒绝服务场景的行为边界，核心是明确信任边界和责任边界：
- 信任边界：Agent系统通常假设经过身份认证的请求是善意的，但拒绝服务攻击可以发生在合法凭证持有者身上。因此，信任边界不能以“是否认证”为唯一标准，而应引入行为基线概念。
- 责任边界：基础设施层（如Kubernetes HPA、云负载均衡）负责资源级限流；应用层（Agent运行时）负责语义级防护。两者的分界线在于是否理解Agent语义——不理解语义的防护只能拦截野蛮流量，理解语义的防护才能识别逻辑炸弹。
设计原则：在定义拒绝服务场景时，始终问三个问题——① 攻击者能否通过单个合法请求导致服务不可用？② 攻击者能否通过少量低速率请求触发指数级资源消耗？③ 攻击者能否利用Agent自身的重试/熔断机制放大攻击效果？任何一个答案为“是”，则该场景必须纳入边界定义。
1.5 落地步骤与验收标准
落地步骤：
- 梳理Agent系统所有外部输入点（API、WebSocket、消息队列、工具回调）
- 为每个输入点建立速率-复杂度二维基准表
- 定义每个维度的安全阈值（初始值可设为正常峰值的120%）
- 在网关层部署速率限制，在Agent运行时部署语义沙箱
- 进行混沌工程测试，验证级联影响是否被有效阻断
验收标准：
- 任意单输入点的请求速率超过阈值后，系统在500ms内返回429，且不会影响其他输入点的正常服务
- 语义复炸型攻击在进入Agent推理引擎前被语义沙箱识别并丢弃，CPU/内存增长率不高于正常水平的10%
- 在攻击持续期间，健康请求的P99延迟不超过基线值的2倍
以上为本课程第1章的全部正文内容。完整定义了拒绝服务场景的四个攻击类型、触发条件双维度模型、以及影响范围的级联链路，为后续各章节的分层防护设计提供了统一的语义基础和边界框架。