标签 · 安全

上线前的 AI 安全检查：20 项清单

把检查做成清单能挡掉绝大多数低级风险。本文给出 20 项上线前安全检查（输入侧/权限与动作/数据与合规/输出与滥用四组）、让清单被执行的四个做法与三个反模式。

把模型输出做成可审核的：留痕与防篡改

输出被用于业务决策时必须可审核。本文给出可追溯要固定的九项记录（重点：后续动作并入同一条）、防篡改的三种低成本做法、审核留痕的四个字段与三个常见坑。

AI 生成内容的文案审校：别让输出带出品牌风险

AI 生成文案可能带出竞品比较、绝对化用语与承诺性表述。本文给出四类高风险表述与规则拦截、三层防线（提示词/规则/人工）、改写而非硬拦的做法与四个该观测的指标。

数据保留与删除：怎么做到真的删掉

删除常常不是真的删。本文给出先画数据地图的方法、四种删除做法与彻底程度、删除可验证的三个动作（凭证/抽查/自动化）与三个常见坑。

把人工审核做进 AI 流程：审核队列怎么设计

审核队列不是待办列表。本文给出三条队列（高危/抽检/异常）与各自时效、审核界面该给的六样东西（含一键修改）、审核结果如何回灌成评测数据，以及三个反模式。

AI 功能的默认值设计：安全默认与显式选择

默认值决定多数用户的实际行为。本文给出六个关键默认项的保守取值、显式选择要怎么写、默认值如何随证据演进（含回退）、三个反模式与落地顺序。

检索的证据链：谁在什么时候看过什么

涉及权限的检索必须可审计。本文给出审计日志该记的六项（重点是最终使用的片段）、日志本身的保护要求、三件应能一键回答的事、三个常见坑与落地顺序。

AI 功能的权限模型：能做与不能做要显式声明

能力边界写在提示词里等于靠模型自觉。本文给出能力矩阵的写法、三层防线（参数/权限/确认）、拒绝要说清原因、审计与最小权限，以及三个常见漏洞与一条越权用例判据。

把检索结果做成可筛选的：时间、来源、类型与权限

只靠相似度会搜出过期与越权内容。本文给出四个必备筛选维度、为什么权限必须在检索层（展示层隐藏会导致模型复述泄露）、筛选的可见性与解释，以及三个常见坑与落地顺序。

处理长尾输入：白名单、兜底与礼貌地拒绝

长尾输入是事故入口。本文给出三类白名单（格式/大小/字段）、四步兜底（规范化、截断并标注、降级、明确失败）、拒绝文案的改写对照、该观测的指标与一条判据。

评测里最容易被忽略的一类：拒答与澄清

拒答与澄清也是正确输出。本文给出四类输出与两个误导率（该拒答却作答、该作答却拒答）、样本构造方法、两种失败模式、判据写法与落地顺序。

上线前的红队检查：AI 功能该测哪些「坏输入」

红队检查是主动构造坏输入，看系统会不会泄露、越权、被带偏或崩溃。本文列出六类坏输入（含最危险的间接注入）、为什么每条都要先写期望行为，以及一份可直接抄的检查清单

数据脱敏与最小必要：把用户数据喂给模型前该做什么

把用户数据送进模型前，应先做最小必要判断，再走识别、假名化、裁剪、记录四道处理。本文给出具体做法、三个容易忽略的点（日志/向量库/提示词回显）与一份可执行检查清

把 AI 输出接到业务系统：三种接线方式与各自代价

AI 结果进业务系统有三种接线方式，代价差别很大。本文给出选型依据、校验该写成什么样、幂等与去重的做法、可回滚设计，以及上线前的检查清单。

智能体的工具该怎么设计：少而准，可回滚，有边界

给智能体接工具时，最常见的问题是工具太多、太宽、没有边界。本文讲清工具设计的四条原则、参数设计的具体做法，以及为什么写操作必须有幂等、回滚与二次确认。

提示词注入是怎么回事：把用户输入当「数据」而不是「指令」

提示词注入无法靠「让模型更听话」根治，因为它本质是数据与指令混在同一个通道。本文讲清三类常见注入路径，以及工程上真正有效的四类缓解措施与它们的边界。