摘要：本文记录一次真实的 LLM 代码审计管线故障排查：446 个代码文件被全量注入 Scout prompt，产生 908,615 tokens 请求，超出本地 98304 上下文窗口触发 400 错误，管线 90 秒降级出空报告。文章给出完整取证过程、根因分析与一个确定性输入预算方案（AI 配置优先 + 小文件优先 + 整文件跳过披露），附可复现命令与回归测试设计。所有数字均可在开源仓库 commit 记录中查证。
关键词：LLM 代码审计；上下文窗口；提示注入；SAST；静态分析；确定性规则；微调判据
一、问题现象
本地 LLM 代码审计管线（确定性规则 + 六节点 Agent，MI300X 四服务部署）对四个真实开源仓做误报率标定。首个目标仓 axios 的审计任务发出后90 秒交卷，report.json 仅 1140B，几乎为空。
经验特征：真跑一个仓需要分钟级；秒级交卷 + 空报告 = 管线某节点静默降级。
二、取证过程
- 四服务健康检查：
/v1/models逐端口核对模型别名（muse-scout / qwen-verify / r1-deepen / gemma-arbiter，llama-server-a参数），全部正确；rocm-smi显示四模型满载驻留 VRAM（87.7G）。服务层排除； - run 日志取证：发现唯一一条节点降级记录，错误信息完整保留了服务端返回：
text BadRequestError: Error code: 400 {'error': {'code': 400, 'message': 'request (908615 tokens) exceeds the available context size (98304 tokens)', 'type': 'exceed_context_size_error'}}- 根因定位：Scout 节点的仓库读取函数
_read_repo有单文件帽（512KB，防超大文件）但无总量预算。axios 446 个代码文件全量读取拼接，累计约 90.8 万 token。历史测试对象均为小型合成仓，从未触达该边界。
三、修复方案：确定性输入预算
设计原则：治理输入，而不是扩大窗口——90 万 token 输入本身就是错误设计。
python # 预算单位：token 估算制（保守） # ASCII ≈ 4 字符/token；非 ASCII（CJK 等）≈ 1 字符/token # 装填顺序（确定性）： # rank 0：AI 配置文件（is_ai_config_path：AGENTS.md/CLAUDE.md/.cursor/rules/...） # rank 1：其余文件按估算 token 升序（小文件优先，最大化覆盖文件数） # 超预算：整文件跳过（绝不截半文件），stdout 披露跳过数量 # 旋钮：ARCA_SCOUT_MAX_TOTAL_TOKENS，默认 60000，设 0 关闭要点解释：
- 为什么整文件跳过而非截断：截断会制造半行代码/半条指令，对语义层是幽灵输入源；
- 为什么 AI 配置文件 rank 0：它们是提示注入攻击的核心靶面（攻击者在仓库里植入"AI 助手指令后门"），审计价值密度最高，无条件保留；
- 为什么小文件优先：同样 60K token 预算，覆盖 200 个小文件的攻击面 > 塞一个巨型 CHANGELOG；
- 为什么披露：跳过了哪些文件必须可审计，FP 测量才可信（无 findings 即无 FP，覆盖度单独披露不影响 FP 口径）。
修复后重跑首行输出：
text Scout input budget: 199 files / ~59891 est. tokens (cap 60000); 247 files skipped over budget四、回归验证
- 新增 5 项回归测试：预算总量约束、AI 配置必留、默认值、
0=不设限逃生口、确定性装填序（两次运行逐位一致）； - 全套确定性验证门禁 5/5（含已知 12 处漏洞演示仓的阳性对照扫描 + 清洁仓 FP=0 检查）；
- axios 重跑全链零节点降级，语义层产出 0 假设——真实健康仓的正确答案。
五、延伸：这套管线的完整形态
本文只是输入治理一环。完整管线 = 9 条确定性规则（对齐 Arcanum Prompt Injection Taxonomy v1.6.1，Jason Haddix / Arcanum Information Security，CC BY 4.0）+ 六节点 Agent 语义管线（产出带证据链的 CONFIRMED）+ 微调裁决判据（24 题考卷 AP=1.0、FN=0 七轮、ECE 0.0417）。在 NYU CTF 20 题真值基准上语义口径误报 5、漏报 0；四个主流开源仓全链误报 0。
链接与入口（各自是干什么的）：
- 开源主仓：https://github.com/a9320/arcanum-spark —— 完整管线源码（9 条确定性规则 + 六节点 Agent 语义管线 + 微调判据 Laya），本文数字的原始报告在仓库
reports/目录可复核； - 在线试玩（魔搭创空间）：https://www.modelscope.cn/studios/Weike22/code-risk-arcanum —— 确定性规则层网页 Demo（与本文"确定性层"同源），浏览器贴代码即扫，无需本地环境（需登录魔搭账号）；
- 误报反馈模板：https://github.com/a9320/arcanum-spark/issues/new?template=false_positive.md —— 扫描命中但确认是良性的场景用这个模板上报（脱敏代码片段 + 期望 vs 实际），每条误报进入回归测试后永久防止复发；
- bug / 功能 issue：https://github.com/a9320/arcanum-spark/issues —— 管线异常贴完整命令行与日志；新规则/新平台适配讲使用场景。
声明：个人研究项目，与 Semgrep/CodeQL 是互补关系（它们做确定性锚，我补语义/意图层）。评论区技术讨论 24h 内回复。
