S4 Firewall

2 つの層を正直に区別しています。Layer 1 のハードキャップは決定論的かつ先制的で、予約が設定上限を超えるリクエストは中継前に 100% ブロックします（同じ状態を入れれば同じ判定、chaos test で確認済み）。一方 Layer 2 のループ検知はベストエフォートです。暴走は数回呼び出してみないと判別できず、その数回はすでに課金されているため、100% 保証ではなく被害範囲を小さなリクエスト数・小さな金額に抑える性質のものです。enforce 前に false-block 率を測れる dry-run シャドウモードを同梱しています。

フラットな見積もりではなく reserve-then-reconcile で行います。中継前の予約は最悪コスト（入力トークンは今カウント、出力は max_tokens × 出力レートで価格化）を用いてハードキャップの判定を下します。応答が返ったら、プロバイダーが報告する usage を真実の値として予約と照合（reconcile）します。トークン数はプロバイダー間で正規化し、入力・出力・cached-read・cache-write に分けて各社の実レートで会計します。

S4 Firewall 自体はプロンプトや応答を保存も送信もしません。外向きの通信は、アプリが元々行っていたプロバイダーへのリクエストだけで、ファイアウォールが余計な egress を足すことはありません。台帳とメトリクスにはトークン数のみが載り、本文は載りません（counts-not-content、property test で確認済み）。プロンプトがどこへ出るかは選んだアップストリーム次第です。Bedrock を VPC インターフェースエンドポイント（PrivateLink、本 AMI が任意で作成可能）経由で使えば呼び出しは AWS 境界内に留まり、公衆インターネット上のサードパーティへ送ればそのトラフィックは VPC を出ます。

不要です。コントロールプレーンも外部データベースもありません。予算の状態はインスタンスごとにメモリ上で保持し、再起動時はゼロから再導出します。データプレーンは、昇格された capability を一切持たないハードニング済み systemd ユニット上で動く単一の静的バイナリで、最小権限の IAM ロール（アップストリームのモデル呼び出し、S4/Firewall namespace に限定した CloudWatch PutMetricData、台帳バケットへの write-only PutObject）が付与されます。テレメトリの home-call もライセンスキー検証もありません。

課金は AMI の時間課金（インスタンス時間あたりの従量）で、年間契約のオプションもあります。c6g / c7g（Arm）インスタンス上で動作します。デプロイは付属の CloudFormation テンプレートで行い、単体構成は cfn-single.yaml、内部ロードバランサー配下の冗長フリートは cfn-ha.yaml を使用します。テンプレートは任意で Bedrock の VPC インターフェースエンドポイントも作成できます。あとはアプリケーションの base_url をファイアウォールに向けるだけです。