第3章 Agent系统架构分层：接入层、业务层、数据层、基础设施层的边界职责
在Agent拒绝服务防御体系中，系统架构分层是定义行为边界的基础。每一层只负责特定域内的资源调度、数据处理和安全检查，层与层之间通过明确的接口契约交互。若边界模糊，攻击者可以利用层间信任关系发起拒绝服务扩大攻击。本章明确四层边界职责、组件范围、数据流/控制流/信任链路，并提供选型、风险、落地与验收指南。
3.1 边界定义原则
- 职责隔离：每层不越权访问下层未暴露的接口或数据。
- 安全下沉：全局安全策略（限流、鉴权、审计）下沉至接入层和基础设施层，业务层专注编排。
- 数据最小暴露：跨层传递的数据仅包含当前上下文必要字段。
- 信任单向性：上层信任下层的基础能力，下层不信任上层的输入完整性，必须做参数校验和边界检查。
3.2 四层职责与组件
| 层级 | 核心职责 | 典型组件 | 暴露的攻击面 |
|---|---|---|---|
| 接入层 | 外部请求终结、TLS卸载、IP/Token限流、请求熵清洗 | API Gateway、Ingress Controller、WAF、Rate Limiter | DDoS放大、慢速攻击、畸形协议报文 |
| 业务层 | Agent任务编排、会话管理、策略裁决、意图转义 | Agent Runtime、Orchestrator、Session Manager | 资源泄露、无限循环、死锁耗尽 |
| 数据层 | 持久化、缓存、知识库查询、结果集限流 | 数据库、Redis、向量库、MQ | 慢查询耗尽、连接池枯竭、缓存穿透 |
| 基础设施层 | 计算/网络/存储资源调度、容器隔离、监控告警 | Kubernetes、Service Mesh、HPA、Prometheus | 资源抢占、Sidecar DoS、Pod驱逐风暴 |
边界设计要点：接入层不应看到业务层内部的Agent ID序列；业务层不应直接连接数据库，必须通过数据层接口；基础设施层不允许业务层绕过资源配额系统。
3.3 数据流、控制流与信任链路
下图展示一次正常Agent请求在四层中的穿越路径，以及每层执行的边界检查点。红色箭头表示控制流（限流、熔断）；蓝色箭头表示数据流；虚线框表示信任边界。
3.4 选型权衡
| 维度 | 接入层 | 业务层 | 数据层 | 基础设施层 |
|---|---|---|---|---|
| 性能 vs 安全 | WAF规则粒度高但QPS下降20% | 无状态编排优先，避免长时间占用 | 连接池上限设置与DB扩容平衡 | HPA快速扩容但冷启动风险 |
| 成本 vs 冗余 | 多区域Ingress分散成本高 | Agent Runtime预分配warm slot | Redis Cluster vs. 单点 | Node Anti-Affinity增加开销 |
| 运维复杂度 | Ingress CRD管理繁琐 | 状态转移可视化要求高 | 慢查询诊断困难 | Sidecar版本兼容 |
常见风险点：
- 层间信任过度：业务层假设接入层已过滤所有恶意请求，导致传入畸形Token直接造成逻辑死循环。
- 数据层无自我保护：业务层未做流控，单Agent请求引发千条SQL查询打爆连接池。
- 基础设施层自动扩缩容滞后：短时流量尖峰导致HPA来不及扩容，集群OOM。
- 日志泛滥：接入层打印请求体过大，日志系统先于业务崩溃。
3.5 落地步骤
- 划定资源实体：明确每层对外暴露的API、端口、超时时间、最大并发。
- 实现层间契约：使用protobuf/gRPC定义请求/响应结构，包含
request_id、source_layer、deadline_ms字段。 - 部署边界校验器：在接入层注入 请求熵清洗，业务层注入 参数范化，数据层注入 查询复杂度检查。
- 构建熔断链路：配置Hystrix-like熔断器，任一层超时率>5%则向上游返回429。
- 监控布点：每层出口记录成功率、P99延迟、剩余配额。
- 混沌测试：模拟各层拒绝服务场景（如接入层丢包50%、数据层连接池耗尽），验证边界隔离性。
3.6 验收标准
| 验收项 | 指标 | 验证方法 |
|---|---|---|
| 接入层限流有效 | 单IP超过1000 req/s触发421 | 压测工具发送1500 req/s，观察限流生效 |
| 业务层无资源泄露 | 连续运行72小时内存增长<5% | 采集Prometheus metrics |
| 数据层连接池保护 | 最大连接数到达100后新请求排队 | 同时发起200个长查询，观察Active Connections |
| 基础设施层自动弹性 | CPU>70%时30s内扩容Pod | 触发HPA，检查replica数变化 |
核心结论：Agent系统的抗拒绝服务能力取决于最弱的一层边界。接入层必须防御外部DDoS，业务层必须有状态机超时保护，数据层必须做查询预算，基础设施层必须配置资源水位锁。四层边界各自独立又协同联动，才能构建纵深防御。