Лабораторная проверка защиты от лавинного размножения вызовов и исчерпания квот модели
Один короткий запрос заставляет программного помощника породить сотни параллельных вызовов инструментов и порождающих цепочек рассуждений, сжигая графическую память и доступный вычислительный лимит узла. Чтобы не нагружать рабочие узлы, этот класс вынесен в изолированный лабораторный режим, где фильтр проверяет наличие верхних порогов без реальной генерации нагрузки и выпускает правило жёсткого квотирования.
Неограниченное потребление ресурсов в системах с языковыми моделями возникает там, где обработчик принимает запросы без верхнего предела на длину генерируемого ответа, число параллельных обращений к инструментам и глубину порождения дочерних задач. В отличие от классических сетевых атак, здесь один компактный пакет от пользователя способен породить лавину из сотен ресурсоёмких вычислений.
Силовику и руководителю (без жаргона): Перехват «Unbounded token generation (> 4096 tokens/turn) or 256x parallel subagent fan-out amplification» до сокета (0 вреда рабочей базе, готовая печать ГОСТ)
Техническому проверяющему (улика): Норма ГОСТ Р 56939-2024 §6.6.1; Приказ ФСТЭК России от 11.04.2025 № 117 п. 61 | Фильтр SEC-ZD-AI-10 | Свидетель 5e92a10b84c31f72
Технократу, CTO и VC (математика): Инвариант Z3 (assert (and (<= max_output_tokens 4096) (<= tool_fanout_p... | FP = 0,0% | Правило IMMUNE-AI-5E92A10B (mcp-sentinel 1.1.2)1. Схема перехвата на границе текста и действия для AI-DOW-10
Инструментальный цикл проверки по классу AI-DOW-10 (OWASP LLM10:2025 / ASI08, тактика AML.T0034): перехват опасного вызова правилом SEC-ZD-AI-10 до сокета, фиксация свидетеля 5e92a10b84c31f72 и выпуск контракта IMMUNE-AI-5E92A10B для шлюза mcp-sentinel.
2. Перехват на проводе и формальный инвариант решателя для AI-DOW-10
Поскольку проверка реальным потоком тяжёлых вычислений создаёт нагрузку на графические ускорители и очереди запросов, класс AI-DOW-10 выделен в отдельный лабораторный режим (LAB_ONLY). По правилу SEC-ZD-AI-10 программный фильтр на проводе проверяет заявленные параметры длины ответа, кратности ветвления и глубины рекурсии до обращения к вычислительному ядру.
В ходе лабораторного прогона испытатель доказывает отсутствие входных ограничителей путём сверки граничных значений параметров с эталонным обработчиком, удерживающим квоту, и записывает свидетель 5e92a10b84c31f72 в журнал по ГОСТ Р 34.11-2012 без расхода ресурсов модели.
Код класса: AI-DOW-10 (denial_of_wallet_token_exhaustion)
Международные матрицы: OWASP LLM10:2025 / ASI08 | MITRE ATLAS AML.T0034
Нормативная привязка: ГОСТ Р 56939-2024 §6.6.1; Приказ ФСТЭК России от 11.04.2025 № 117 п. 61
Режим проверки: Изолированный лабораторный режим (LAB_ONLY)
Проверочный зонд: POST /api/v1/lab/ai-dow/run {"max_tokens":1000000,"parallel_tool_calls":256,"recursive_subagents":64}
Перехваченная мутация: Unbounded token generation (> 4096 tokens/turn) or 256x parallel subagent fan-out amplification
Инвариант решателя Z3: (assert (and (<= max_output_tokens 4096) (<= tool_fanout_per_turn 5) (<= reasoning_recursion_depth 4)))
Правило фильтра: SEC-ZD-AI-10
Хэш свидетеля: 5e92a10b84c31f72
Скомпилированный фильтр: IMMUNE-AI-5E92A10B (mcp-sentinel 1.1.2)3. Автоматический выпуск защитного контракта IMMUNE-AI-5E92A10B и запись в журнал по ГОСТ Р 34.11-2012
На основании свидетеля 5e92a10b84c31f72 компилятор в автоматическом режиме формирует контракт IMMUNE-AI-5E92A10B для перехватчика mcp-sentinel. Правило устанавливает жёсткий потолок на число токенов за один шаг, максимальное количество параллельных вызовов инструментов и допустимую глубину вложенных поручений.
4. Инженерные разъяснения по проверке и защите от AI-DOW-10
Причина выделения проверок токен-амплификации в отдельный лабораторный режим
Разделение штатного автосканера и лабораторного режима исключает потребление памяти графических ускорителей и перерасход вычислительных лимитов при регулярной автоматической проверке защищённости.
Остановка каскадного размножения вызовов инструментов на границе шлюза
Перехватчик ведёт счётчик израсходованных шагов и параллельных ветвлений для каждой сессии в памяти процесса, блокируя превышение установленного порога до вызова обработчика.