2. 模型风险概述：模型风险的来源与风险控制基本框架
在AI模型对外暴露为API服务后，模型本身不再是封闭的算法单元，而是成为系统架构中一个可被外部直接调用的资源端点。这种开放性带来了三类核心风险：过载风险、滥用风险和数据泄露风险。理解这些风险的来源是设计有效限流策略的前提。
2.1 模型风险的三大来源
| 风险类别 | 风险来源 | 典型场景 | 影响后果 |
|---|---|---|---|
| 过载风险 | 请求量超过模型推理服务的承载上限 | 突发流量、DDoS攻击、热点事件引发请求洪峰 | 响应延迟飙升、服务雪崩、推理节点OOM |
| 滥用风险 | 恶意或非预期的API调用模式 | 爬虫批量抓取、撞库尝试、提示注入攻击 | 计算资源浪费、模型行为被操控、业务逻辑被绕过 |
| 数据泄露风险 | 请求/响应中携带敏感信息被截获或推理 | 用户隐私数据被日志记录、模型记忆泄露训练数据 | 合规违规、用户隐私泄露、模型权重被逆向 |
关键认知： 过载风险是量的问题，滥用风险是质的问题，数据泄露风险是内容的问题。限流机制主要解决前两类风险，但设计不当的限流策略可能加剧数据泄露风险（如错误日志记录请求体）。
2.2 过载风险的深层机理
模型推理服务与传统Web服务在过载表现上有本质区别。传统Web服务过载通常表现为连接超时或请求排队，而模型推理服务过载会引发更严重的后果：
- GPU显存溢出： 并发请求堆积导致显存不足，推理进程被操作系统强制终止。
- 推理延迟非线性增长： 当请求队列长度超过GPU的并行处理能力时，延迟呈指数级上升。
- 冷启动与预热失效： 突发流量导致模型实例频繁扩缩容，推理节点在预热完成前即被压垮。
实践建议： 模型API的过载阈值不应仅以QPS（每秒查询数）为指标，应同时监控GPU利用率、推理延迟P99和显存占用率，三者任一达到警戒线即应触发限流。
2.3 滥用风险的典型模式
滥用风险是模型API面临的最隐蔽威胁，其攻击模式往往模拟正常用户行为，难以通过简单阈值识别：
| 滥用模式 | 行为特征 | 检测难度 | 限流应对策略 |
|---|---|---|---|
| 高频批量调用 | 同一API Key在短时间内发起大量请求 | 低 | 令牌桶+用户级配额 |
| 分布式爬虫 | 多个IP/API Key协同，单个请求量不大但总量巨大 | 中 | 行为模式分析+滑动窗口 |
| 提示注入攻击 | 在输入中嵌入恶意指令试图绕过模型安全限制 | 高 | 输入内容过滤+请求速率限制 |
| 模型逆向探测 | 通过精心构造的输入序列推断模型参数或训练数据 | 高 | 请求频率限制+输出内容审计 |
2.4 风险控制的基本框架
针对上述三类风险，业界形成了分层防御的风险控制框架。该框架将防护措施部署在API网关、模型服务和数据层三个层面：
2.5 限流在风险控制框架中的定位
限流机制并非孤立存在，它与框架中的其他组件协同工作。以下表格展示了限流在不同风险类型中的具体作用边界：
| 风险类型 | 限流直接作用 | 限流间接作用 | 需配合的其他机制 |
|---|---|---|---|
| 过载风险 | 控制请求速率，保护GPU/CPU资源 | 防止服务雪崩，保障SLA | 自动扩缩容、熔断降级 |
| 滥用风险 | 限制单个用户/IP的调用频率 | 降低恶意攻击的有效性 | WAF规则、行为分析引擎 |
| 数据泄露风险 | 限制敏感接口的调用频率 | 减少数据被批量提取的可能 | 数据脱敏、访问控制、审计日志 |
常见误区： 不要认为限流可以解决所有模型风险。限流是第一道防线，但不是唯一防线。例如，针对提示注入攻击，限流只能降低攻击频率，无法阻止单次攻击成功。必须与输入过滤、输出审计等机制配合使用。
2.6 风险控制的量化指标
在实际工程中，风险控制效果需要可量化的指标来衡量。以下是模型API风险控制的核心监控指标：
- 请求拒绝率（Request Rejection Rate）： 被限流策略拒绝的请求占总请求的比例。正常范围：1%~5%。
- P99推理延迟： 99%的请求在多少毫秒内完成。过载风险触发时该指标会急剧上升。
- GPU显存利用率： 模型推理节点的显存使用百分比。超过85%应触发预警。
- 异常请求检出率： 被识别为恶意/滥用请求的数量占总请求的比例。用于评估滥用风险控制效果。
- 数据泄露事件数： 因API调用导致的敏感信息泄露事件数量。理想值为0。
工程实践： 建议为每个模型API建立风险控制仪表盘，实时展示上述指标。当请求拒绝率超过10%或P99延迟超过基线值的2倍时，自动触发告警并启动限流策略的弹性调整。