本文面向安全工程师、平台架构师与 AI 应用开发者。文中延迟与准确率为量级示意不代表任何具体产品法规与标准以官方发布文本为准。过去二十年企业安全的控制点一直跟着连接走防火墙看地址和端口下一代防火墙看应用零信任看身份。大模型应用出现后这套逻辑第一次不够用了。一条发往模型的 HTTPS 请求地址、端口、应用、身份都完全合法风险却藏在请求体里的一段自然语言中可能是员工粘贴的一份客户名单也可能是网页里一句伪装成正文的指令。安全控制点因此需要从连接层上移到语义层。AI 安全网关就是这个控制点的工程化形态它站在 AI 应用与模型之间理解 Prompt 和模型输出的内容并据此做识别、处置和审计。一、AI安全网关是什么AI 安全网关是部署在用户、应用、Agent 与大模型之间的内容级安全控制点负责识别 AI 资产、检测输入输出中的攻击与敏感信息、执行脱敏或拦截策略并留存可审计的调用记录。它和几类相邻产品的边界如下产品主要看什么能否理解 Prompt 内容防火墙 / NGFW地址、端口、应用特征否传统 DLP文件、邮件中的敏感数据部分缺少对话上下文大模型网关LLM 网关模型路由、成本、配额部分以治理为目的AI 安全网关Prompt、模型输出、工具调用的内容与意图是以安全为目的实践中大模型网关与 AI 安全网关经常合并部署前者解决用好后者解决管住两者共享同一个流量入口。二、AI安全网关的威胁模型对照 OWASP 大模型风险清单做 AI 安全网关之前先明确它要防什么、防不了什么。OWASP 大模型应用十大风险2025 版是目前通用的参照。下表列出每项风险中网关能承担的部分。OWASP 风险网关可承担的控制网关难以单独解决的部分LLM01 Prompt 注入输入检测直接与间接注入、可疑指令拦截模型自身的指令遵循偏差LLM02 敏感信息泄露输入侧 DLP 与脱敏、输出侧泄露检测训练数据中已有的敏感信息LLM03 供应链风险模型与 MCP 服务器白名单模型权重本身的安全性LLM04 数据与模型投毒有限检测异常输出训练与微调阶段的数据治理LLM05 不当输出处理输出过滤、恶意代码与链接识别下游系统对输出的处理方式LLM06 过度代理工具调用审计、高危操作审批Agent 设计本身的权限范围LLM07 系统提示词泄露输出中的系统提示词特征检测提示词设计LLM08 向量与嵌入弱点有限检索结果的内容检测向量库访问控制LLM09 错误信息有限事实核查类护栏模型能力本身LLM10 无限制消耗Token 限流、配额与预算—这张表的意义在于划清责任边界AI 安全网关能显著降低 LLM01、LLM02、LLM05、LLM06、LLM10 的风险但不能替代训练数据治理、Agent 权限设计和向量库访问控制。三、AI安全网关的检测技术四类检测器与级联设计四类检测器的取舍AI 安全网关的核心是检测器。常见的四类检测器在准确率、延迟和成本上差异很大检测器原理典型延迟量级擅长短板规则与字典正则、关键词、校验算法亚毫秒证件号、卡号、手机号等结构化数据无法理解语义实体识别 NER序列标注模型毫秒到十毫秒人名、地址、机构、合同要素需要按业务标注语料分类模型专门训练的小模型十毫秒到数十毫秒Prompt 注入、越狱、违规内容对新型攻击需持续更新大模型裁判用一个大模型判断另一个模型的输入输出数百毫秒以上复杂语义、上下文相关的风险慢、贵且自身也可能被注入级联检测用延迟预算换准确率生产环境通常不会让每个请求都经过全部检测器而是做成级联先用快速检测器过滤大部分正常流量只有可疑请求才进入更慢、更准的检测器。AI 安全网关的级联检测架构与延迟预算设计级联时有三个要点同步与异步分开。规则、NER、分类模型在请求路径上同步执行决定放行还是拦截大模型裁判放在旁路异步执行结果用于告警、复盘和规则迭代不阻塞业务。设定延迟预算。例如为输入检测设定 50 毫秒上限超时则按策略放行并记录或降级为仅规则检测。没有预算约束检测会悄悄吃掉用户体验。流式输出按窗口检测。模型以流式返回时输出检测可以按句子或固定字符窗口进行发现风险后截断后续输出。代价是已输出的部分无法撤回所以高风险场景应改为非流式返回或缩小窗口。脱敏与还原比拦截更实用的处置是脱敏后放行。网关把敏感值替换为占位符同时在本地保存映射关系模型返回后再把占位符还原。原始输入请给张伟身份证 1101011990XXXXXXXX起草一份续约通知发往模型请给[PERSON_1]身份证 [ID_1]起草一份续约通知模型返回尊敬的[PERSON_1]您好……还原输出尊敬的张伟您好……需要注意的是映射表本身是高敏感数据必须留在企业可控范围内并与会话生命周期绑定、及时销毁。四、AI安全网关的部署架构三种接入方式AI 安全网关接入流量的方式决定了它能覆盖哪些场景。正向代理出口侧部署在企业网络出口或分支接入点员工访问外部 AI 服务的流量经过网关需要 SSL 解密企业根证书下发到终端。覆盖人用 AI不需要改造应用。反向代理服务侧部署在企业自研 AI 应用与模型之间应用把模型地址改为网关地址即可接入。覆盖应用调用 AI与Agent 调用不涉及终端证书。SDK / 旁路应用内以 SDK 或 API 形式嵌入应用在调用模型前后检测。语义结合最深但只覆盖接入的应用。多数企业会组合使用出口侧正向代理管员工服务侧反向代理管自研应用。部署位置的另一个考量是数据边界检测在哪里完成敏感内容就会经过哪里。对数据不出域要求严格的企业会倾向于把检测放在企业网络接入层并私有化部署例如犀思云私有 AI 网关这类装载在企业接入网关上的方案脱敏与审计都在本地完成。五、AI安全网关策略配置示例下面是一份示意性的策略配置展示策略通常包含的要素作用范围、检测器、处置动作与审计要求。yamlpolicy: finance-dept-genaimatch:departments: [finance, legal]apps: [contract-assistant, chat-portal]models: [public-llm-a, public-llm-b]input:detectors:- type: regexentities: [CN_ID_CARD, BANK_CARD, PHONE]action: mask # 脱敏后放行- type: nerentities: [PERSON, ORG, ADDRESS]action: mask- type: injection_classifierthreshold: 0.85action: block # 拦截并返回提示latency_budget_ms: 50on_timeout: allow_and_logoutput:detectors:- type: leakage # 系统提示词与敏感数据泄露action: truncate- type: unsafe_contentaction: blockstreaming_window: sentenceaudit:log_fields: [user, app, model, entity_types, action, latency]store_raw_prompt: false # 只存类别与摘要不存原文retention_days: 180两个容易被忽视的配置一是 store_raw_prompt审计日志默认不应保存 Prompt 原文否则日志库会成为新的敏感数据集中地二是 on_timeout必须明确检测超时时是放行还是拦截并与业务方事先约定。六、AI安全网关的合规映射国内法规与控制项法规 / 标准与 AI 安全网关相关的要求方向网关可提供的控制《生成式人工智能服务管理暂行办法》2023-08-15 施行生成内容管理、用户输入信息保护输入输出内容检测、输入数据保护GB/T 45654-2025《网络安全技术 生成式人工智能服务安全基本要求》2025-11-01 实施模型与服务的安全要求、内容安全评估内容安全检测、拦截与留痕《网络数据安全管理条例》2025-01-01 施行数据处理活动的安全管理与记录敏感数据识别、脱敏、审计记录《人工智能生成合成内容标识办法》2025-09-01 施行生成合成内容的标识对输出做标识或校验标识视场景等级保护 2.0访问控制、安全审计身份接入、日志留存对面向公众提供生成式 AI 服务的企业内容安全与标识是硬要求对内部使用 AI 的企业重点通常在数据保护与审计。两类企业的网关策略侧重点不同不宜照搬。七、AI安全网关上线三阶段观察、告警、阻断AI 安全网关上线三阶段第一阶段观察2–4 周网关只记录不处置统计 AI 应用分布、敏感数据命中情况和检测器的误报率。这个阶段的产出是一份企业 AI 使用基线。第二阶段告警对高置信度风险发出告警由安全团队人工复核同时根据误报样本调整阈值与规则。第三阶段阻断对误报率已降到可接受水平的策略开启自动处置优先启用脱敏放行对注入与违规内容再启用拦截。跳过前两个阶段直接阻断是 AI 安全网关项目常见的失败原因之一误报会迅速消耗业务部门的耐心最终导致策略被整体关闭。八、AI安全网关选型要点检测在哪里完成本地、厂商云端还是第三方模型服务检测本身是否会把数据发出去用自己的样本测试用企业真实的敏感数据样本和攻击样本测准确率与误报率而不是只看厂商报告。延迟要分流式和非流式测尤其关注流式输出下首字返回时间的增加量。脱敏能否还原只拦截不脱敏的方案落地阻力会很大。覆盖哪几条路径员工使用、应用调用、Agent 执行分别靠哪种接入方式覆盖。审计日志存在哪里、存什么是否默认不存原文、能否满足留存要求。附数据来源与参考资料OWASP LLM 应用十大风险2025 版LLM01–LLM10来源OWASP GenAI Security Project《生成式人工智能服务管理暂行办法》2023-08-15 施行来源国家网信办等七部门GB/T 45654-2025 生成式人工智能服务安全基本要求2025-11-01 实施来源国家标准全文公开系统《网络数据安全管理条例》2025-01-01 施行来源中国政府网《人工智能生成合成内容标识办法》2025-09-01 施行来源国家网信办等四部门私有AI网关本地脱敏与审计来源犀思云官网产品资料说明文中配置与代码为教学示意时延、比例与容量为量级示意或示例估算以实测为准协议与法规以官方原文为准。
本文面向安全工程师、平台架构师与 AI 应用开发者。文中延迟与准确率为量级示意不代表任何具体产品法规与标准以官方发布文本为准。过去二十年企业安全的控制点一直跟着连接走防火墙看地址和端口下一代防火墙看应用零信任看身份。大模型应用出现后这套逻辑第一次不够用了。一条发往模型的 HTTPS 请求地址、端口、应用、身份都完全合法风险却藏在请求体里的一段自然语言中可能是员工粘贴的一份客户名单也可能是网页里一句伪装成正文的指令。安全控制点因此需要从连接层上移到语义层。AI 安全网关就是这个控制点的工程化形态它站在 AI 应用与模型之间理解 Prompt 和模型输出的内容并据此做识别、处置和审计。一、AI安全网关是什么AI 安全网关是部署在用户、应用、Agent 与大模型之间的内容级安全控制点负责识别 AI 资产、检测输入输出中的攻击与敏感信息、执行脱敏或拦截策略并留存可审计的调用记录。它和几类相邻产品的边界如下产品主要看什么能否理解 Prompt 内容防火墙 / NGFW地址、端口、应用特征否传统 DLP文件、邮件中的敏感数据部分缺少对话上下文大模型网关LLM 网关模型路由、成本、配额部分以治理为目的AI 安全网关Prompt、模型输出、工具调用的内容与意图是以安全为目的实践中大模型网关与 AI 安全网关经常合并部署前者解决用好后者解决管住两者共享同一个流量入口。二、AI安全网关的威胁模型对照 OWASP 大模型风险清单做 AI 安全网关之前先明确它要防什么、防不了什么。OWASP 大模型应用十大风险2025 版是目前通用的参照。下表列出每项风险中网关能承担的部分。OWASP 风险网关可承担的控制网关难以单独解决的部分LLM01 Prompt 注入输入检测直接与间接注入、可疑指令拦截模型自身的指令遵循偏差LLM02 敏感信息泄露输入侧 DLP 与脱敏、输出侧泄露检测训练数据中已有的敏感信息LLM03 供应链风险模型与 MCP 服务器白名单模型权重本身的安全性LLM04 数据与模型投毒有限检测异常输出训练与微调阶段的数据治理LLM05 不当输出处理输出过滤、恶意代码与链接识别下游系统对输出的处理方式LLM06 过度代理工具调用审计、高危操作审批Agent 设计本身的权限范围LLM07 系统提示词泄露输出中的系统提示词特征检测提示词设计LLM08 向量与嵌入弱点有限检索结果的内容检测向量库访问控制LLM09 错误信息有限事实核查类护栏模型能力本身LLM10 无限制消耗Token 限流、配额与预算—这张表的意义在于划清责任边界AI 安全网关能显著降低 LLM01、LLM02、LLM05、LLM06、LLM10 的风险但不能替代训练数据治理、Agent 权限设计和向量库访问控制。三、AI安全网关的检测技术四类检测器与级联设计四类检测器的取舍AI 安全网关的核心是检测器。常见的四类检测器在准确率、延迟和成本上差异很大检测器原理典型延迟量级擅长短板规则与字典正则、关键词、校验算法亚毫秒证件号、卡号、手机号等结构化数据无法理解语义实体识别 NER序列标注模型毫秒到十毫秒人名、地址、机构、合同要素需要按业务标注语料分类模型专门训练的小模型十毫秒到数十毫秒Prompt 注入、越狱、违规内容对新型攻击需持续更新大模型裁判用一个大模型判断另一个模型的输入输出数百毫秒以上复杂语义、上下文相关的风险慢、贵且自身也可能被注入级联检测用延迟预算换准确率生产环境通常不会让每个请求都经过全部检测器而是做成级联先用快速检测器过滤大部分正常流量只有可疑请求才进入更慢、更准的检测器。AI 安全网关的级联检测架构与延迟预算设计级联时有三个要点同步与异步分开。规则、NER、分类模型在请求路径上同步执行决定放行还是拦截大模型裁判放在旁路异步执行结果用于告警、复盘和规则迭代不阻塞业务。设定延迟预算。例如为输入检测设定 50 毫秒上限超时则按策略放行并记录或降级为仅规则检测。没有预算约束检测会悄悄吃掉用户体验。流式输出按窗口检测。模型以流式返回时输出检测可以按句子或固定字符窗口进行发现风险后截断后续输出。代价是已输出的部分无法撤回所以高风险场景应改为非流式返回或缩小窗口。脱敏与还原比拦截更实用的处置是脱敏后放行。网关把敏感值替换为占位符同时在本地保存映射关系模型返回后再把占位符还原。原始输入请给张伟身份证 1101011990XXXXXXXX起草一份续约通知发往模型请给[PERSON_1]身份证 [ID_1]起草一份续约通知模型返回尊敬的[PERSON_1]您好……还原输出尊敬的张伟您好……需要注意的是映射表本身是高敏感数据必须留在企业可控范围内并与会话生命周期绑定、及时销毁。四、AI安全网关的部署架构三种接入方式AI 安全网关接入流量的方式决定了它能覆盖哪些场景。正向代理出口侧部署在企业网络出口或分支接入点员工访问外部 AI 服务的流量经过网关需要 SSL 解密企业根证书下发到终端。覆盖人用 AI不需要改造应用。反向代理服务侧部署在企业自研 AI 应用与模型之间应用把模型地址改为网关地址即可接入。覆盖应用调用 AI与Agent 调用不涉及终端证书。SDK / 旁路应用内以 SDK 或 API 形式嵌入应用在调用模型前后检测。语义结合最深但只覆盖接入的应用。多数企业会组合使用出口侧正向代理管员工服务侧反向代理管自研应用。部署位置的另一个考量是数据边界检测在哪里完成敏感内容就会经过哪里。对数据不出域要求严格的企业会倾向于把检测放在企业网络接入层并私有化部署例如犀思云私有 AI 网关这类装载在企业接入网关上的方案脱敏与审计都在本地完成。五、AI安全网关策略配置示例下面是一份示意性的策略配置展示策略通常包含的要素作用范围、检测器、处置动作与审计要求。yamlpolicy: finance-dept-genaimatch:departments: [finance, legal]apps: [contract-assistant, chat-portal]models: [public-llm-a, public-llm-b]input:detectors:- type: regexentities: [CN_ID_CARD, BANK_CARD, PHONE]action: mask # 脱敏后放行- type: nerentities: [PERSON, ORG, ADDRESS]action: mask- type: injection_classifierthreshold: 0.85action: block # 拦截并返回提示latency_budget_ms: 50on_timeout: allow_and_logoutput:detectors:- type: leakage # 系统提示词与敏感数据泄露action: truncate- type: unsafe_contentaction: blockstreaming_window: sentenceaudit:log_fields: [user, app, model, entity_types, action, latency]store_raw_prompt: false # 只存类别与摘要不存原文retention_days: 180两个容易被忽视的配置一是 store_raw_prompt审计日志默认不应保存 Prompt 原文否则日志库会成为新的敏感数据集中地二是 on_timeout必须明确检测超时时是放行还是拦截并与业务方事先约定。六、AI安全网关的合规映射国内法规与控制项法规 / 标准与 AI 安全网关相关的要求方向网关可提供的控制《生成式人工智能服务管理暂行办法》2023-08-15 施行生成内容管理、用户输入信息保护输入输出内容检测、输入数据保护GB/T 45654-2025《网络安全技术 生成式人工智能服务安全基本要求》2025-11-01 实施模型与服务的安全要求、内容安全评估内容安全检测、拦截与留痕《网络数据安全管理条例》2025-01-01 施行数据处理活动的安全管理与记录敏感数据识别、脱敏、审计记录《人工智能生成合成内容标识办法》2025-09-01 施行生成合成内容的标识对输出做标识或校验标识视场景等级保护 2.0访问控制、安全审计身份接入、日志留存对面向公众提供生成式 AI 服务的企业内容安全与标识是硬要求对内部使用 AI 的企业重点通常在数据保护与审计。两类企业的网关策略侧重点不同不宜照搬。七、AI安全网关上线三阶段观察、告警、阻断AI 安全网关上线三阶段第一阶段观察2–4 周网关只记录不处置统计 AI 应用分布、敏感数据命中情况和检测器的误报率。这个阶段的产出是一份企业 AI 使用基线。第二阶段告警对高置信度风险发出告警由安全团队人工复核同时根据误报样本调整阈值与规则。第三阶段阻断对误报率已降到可接受水平的策略开启自动处置优先启用脱敏放行对注入与违规内容再启用拦截。跳过前两个阶段直接阻断是 AI 安全网关项目常见的失败原因之一误报会迅速消耗业务部门的耐心最终导致策略被整体关闭。八、AI安全网关选型要点检测在哪里完成本地、厂商云端还是第三方模型服务检测本身是否会把数据发出去用自己的样本测试用企业真实的敏感数据样本和攻击样本测准确率与误报率而不是只看厂商报告。延迟要分流式和非流式测尤其关注流式输出下首字返回时间的增加量。脱敏能否还原只拦截不脱敏的方案落地阻力会很大。覆盖哪几条路径员工使用、应用调用、Agent 执行分别靠哪种接入方式覆盖。审计日志存在哪里、存什么是否默认不存原文、能否满足留存要求。附数据来源与参考资料OWASP LLM 应用十大风险2025 版LLM01–LLM10来源OWASP GenAI Security Project《生成式人工智能服务管理暂行办法》2023-08-15 施行来源国家网信办等七部门GB/T 45654-2025 生成式人工智能服务安全基本要求2025-11-01 实施来源国家标准全文公开系统《网络数据安全管理条例》2025-01-01 施行来源中国政府网《人工智能生成合成内容标识办法》2025-09-01 施行来源国家网信办等四部门私有AI网关本地脱敏与审计来源犀思云官网产品资料说明文中配置与代码为教学示意时延、比例与容量为量级示意或示例估算以实测为准协议与法规以官方原文为准。
