企业生产实践

把 AI 安全从“概念”落地到生产环境，需要在组织流程、技术架构和运营机制上同时发力。

1. 共享责任模型

在云原生 AI 平台中，安全责任由多方共担：

责任方	典型职责
云厂商	基础设施、物理安全、 hypervisor、KMS、网络隔离
平台团队	K8s 安全、Service Mesh、secret 管理、可观测、策略引擎
模型/算法团队	数据清洗、模型安全、对齐、 red teaming
应用团队	代码安全、Prompt 审计、工具权限、用户授权
安全/合规团队	策略制定、审计、事件响应、合规认证

关键：明确责任边界，避免“都认为不是自己负责”的灰色地带。

2. 多租户隔离

AI SaaS 平台通常服务多个租户，隔离不到位会导致数据外泄或越权：

• 身份隔离：每个租户独立的 IdP 或 tenant claim。
• 密钥隔离：tenant-specific API key，存储在不同路径/不同 KMS key。
• 数据隔离：
  • 向量库按 tenant 分 collection/index，配合 ReBAC。
  • 对象存储按 prefix/bucket 隔离，使用 IAM condition。
• 网络隔离：namespace per tenant，NetworkPolicy 限制跨租户流量。
• 运行时隔离：敏感租户使用独立节点池或 sandbox。
• GPU 多租户（2025-2026 新增议题）：GPUaaS / 共享训练集群要回答"租户 A 能否读到租户 B 的显存"。实践顺序：
  1. 不同信任域的负载调度到不同节点（最省事、最可靠）。
  2. 单卡共享时优先 MIG 分区（硬件隔离），MPS/时间片只用于同信任域。
  3. 高敏感负载使用 CC 模式 + 远程证明：部署前用 NRAS 验证 GPU 固件与 CC 状态，K8s 侧可通过节点标签/准入控制把敏感 Pod 约束到已证明节点。
  4. 租户切换时确保 VRAM 彻底清零，监控侧信道（算力混部的时间侧信道已被多次复现）。

3. 零信任落地路径

1. 资产盘点：列出所有模型服务、Agent、向量库、数据湖、外部 API。
2. 身份化：为每个工作负载分配 SPIFFE/SPIRE 或云原生 workload identity。
3. 最小权限网络：默认拒绝所有流量，按服务依赖逐步放通。
4. mTLS 全覆盖：服务间通信全部双向认证。
5. 策略即代码：用 OPA/Istio AuthorizationPolicy 描述允许的行为。
6. 持续验证：监控异常流量、凭证使用、Guardrail 触发率。

3b. Agent 身份落地（2025-2026 新增）

传统零信任面向"服务"，Agent 时代的增量是自主委托链：

• 不发放长期 API Key 给 Agent：Agent 通过 OAuth 2.0 Token Exchange（RFC 8693）按任务换取窄 scope、短时效（分钟级）的凭证，凭证中携带 act 委托链（用户 → Agent A → 工具 B）。
• Token Vault 化：第三方 SaaS（邮件、日历、CRM）的 refresh token 由平台代管（如 Auth0 for GenAI 的 Token Vault 模式），Agent 运行时按需申请、用后即弃。
• MCP 授权：MCP 规范 2026-07 修订版强制 OAuth 2.1 与 Resource Indicators；网关侧实现 token exchange，Agent 永远不直连后端系统。
• 审批分层：只读工具自动放行；写操作按风险分级（发邮件 → 异步人工审批；删数据 → 强制人工审批）。
• 影子 Agent 发现：像清理僵尸服务账号一样定期盘点"谁在代表谁调用什么"，2026 年的 CISO 报告普遍把未登记的 Agent 凭证列为最高频的发现项。

4. 密钥生命周期管理

• 生成：使用 KMS/CSPRNG，避免人工生成弱密钥。
• 分发：通过 Vault / external-secrets / CSI driver 注入，不落盘。
• 使用：内存中存储，避免日志打印，定期轮换。
• 监控：审计每一次密钥读取，设置异常使用告警。
• 吊销：密钥泄露时立即吊销并触发依赖服务重载。
• 退役：过期密钥归档或销毁，避免僵尸凭证。

5. Guardrails 的生产部署

• 多层过滤：
  • 网关层：粗粒度拦截（明显注入、毒性关键词）。
  • 模型前：细粒度分类器（Llama Guard 4、Prompt Guard 2、Moderation API）。
  • 模型后：输出过滤与 PII 脱敏（高风险场景叠加 AlignmentCheck 类行为审计）。
• 异步 vs 同步：高风险场景可异步审核，低风险场景同步拦截。
• 人在回路：金融、医疗、法律等高风险输出保留人工审批。
• 持续迭代：根据红队结果和用户举报更新规则与模型。
• 效果度量：把 Guardrail 的误杀率、漏检率、延迟开销纳入 SLO；2025 年后的做法是把 AgentDojo / AgentHarm 等基准跑分接入发布流水线，攻击成功率超过阈值就阻断发布。

5b. MCP 工具链安全运营（2025-2026 新增）

生产环境引入 MCP Server 的最小运营闭环：

1. 准入：仅允许来自内部构建或经安全评审的 Server；对外部 Server 做代码审计 + 行为测试。不要假设"在官方 Registry 里 = 安全"——注册表只验证仓库所有权。
2. 锁定：安装时锁定精确版本，快照全部工具描述（名称、描述、参数 schema）。
3. 运行时 diff：MCP 网关比较实时描述与快照，不一致即冻结并告警（对应 Rug Pull：先发布干净版本骗取审批，再推送带毒更新）。
4. 隔离：不同信任域的 Server 不共享同一 Agent 会话上下文，防止跨 Server 级联劫持。
5. 审计：每次工具调用记录 Server 版本、描述哈希、参数与结果。
6. 响应：发现投毒立即吊销该 Server 全部会话 token，从快照恢复最后已知良好版本。

6. 红队与对抗测试

• 提示注入：直接、间接、多轮（Crescendo 式渐进升级）、编码/翻译绕过、many-shot 长上下文假对话。
• 越狱：角色扮演、DAN、Base64、多语言混合、利用思维链透明性的"推理利用"家族。
• 数据外泄：通过大量查询提取训练数据或系统提示；成员推断与模型反演。
• 工具滥用：尝试让 Agent 调用未授权工具或超出范围；针对 MCP 的工具描述投毒与 Rug Pull 模拟。
• RAG 投毒：向测试知识库注入 5-10 份优化过的恶意文档（PoisonedRAG 方法），验证检索防线。
• 供应链：替换模型文件、依赖包、Prompt 模板、MCP Server 更新。
• 工具与基准：OWASP LLM Top 10 2025、OWASP Agentic Top 10 2026、MITRE ATLAS（含 Agent 专项技术）、PyRIT、Garak；自动化回归用 AgentDojo、AgentHarm、HarmBench、Cybench。

7. 合规审计与证据链

• 模型卡片：记录模型能力、限制、风险、训练数据、评估结果。
• 数据血缘：DVC、MLflow、OpenLineage 记录数据与模型版本关系。
• 审计日志：保留期限符合法规，关键日志不可篡改。
• 影响评估：高风险 AI 系统上线前进行 AI Impact Assessment（AIA）。
• 第三方审查：SOC 2、ISO 27001、 penetration test、red team report。
• 法规时间线（截至 2026-10）：
  • EU AI Act：GPAI 义务自 2025-08 生效（技术文档、版权政策、训练数据摘要）；2026-08-02 全面适用，第 50 条透明度义务开始执行；Digital Omnibus（Reg. 2026/1744，2026-07 生效）把 Annex III 高风险系统推迟到 2027-12-02，但 GPAI 与透明度义务不变。出海服务需要准备：AI 交互告知、合成内容（含深度伪造）标识、训练数据版权摘要、系统性风险模型的评估与红队报告。
  • 中国：《人工智能生成合成内容标识办法》+ GB 45438-2025 自 2025-09-01 施行：面向公众提供的生成合成服务必须同时附加显式标识（文字/图标提示）与隐式标识（文件元数据），并配合既有的算法备案与安全评估。标识实现应落在生成链路（网关/输出层），而不是靠前端展示层打标。

8. 事件响应 Playbook 示例

事件类型	关键动作
API Key 泄露	吊销密钥 → 审计影响范围 → 通知租户 → 复盘轮换流程
提示注入大规模成功	临时收紧 Guardrails → 收集样本 → 更新模型/规则 → 红队复测
模型被窃	撤销模型访问 → 启用水印追踪 → 法务介入 → 加强模型仓库权限
训练数据污染	隔离数据集 → 回溯血缘 → 重训/回滚模型 → 更新数据清洗流程
有害内容大量生成	人工介入审核 → 降级/关闭相关功能 → 根因分析 → 更新安全对齐
MCP Server 投毒 / Rug Pull	冻结该 Server 全部会话 → 吊销相关 token → 回滚到最后已知良好版本 → 全量 diff 其他 Server → 复评准入流程

9. 供应商风险管理

• 模型供应商：数据使用条款、训练数据是否包含用户输入、 retention 政策、合规认证。
• SaaS 工具：SOC 2、GDPR DPA、数据跨境条款、subprocessor 列表。
• 开源依赖：许可证、漏洞、维护状态、SBOM。

10. 常见反模式

反模式	风险	修正
把 LLM API Key 存在代码仓库	泄露后难以发现与轮换	使用 Vault / Secret Manager
所有 Agent 共享同一高权限账号	一次被攻破影响全局	按 capability 分账、short-lived token
只依赖前端过滤	容易被绕过	服务端多层 Guardrails
不记录模型调用日志	无法审计与溯源	append-only audit log
上线前不做红队测试	注入/越狱风险未知	自动化 + 人工 red team
批准一次 MCP Server 后永远信任	Rug Pull：更新后被植入恶意指令	版本锁定 + 描述快照 diff
检索内容直接拼进系统提示	间接注入/RAG 投毒一键生效	指令分层 + 写入审查 + 语义异常检测
多租户 GPU 只靠 namespace 隔离	显存残留/侧信道跨租户泄露	MIG/CC 模式/节点级隔离 + VRAM 清零

小结

企业生产实践的关键在于：责任清晰、租户隔离（含 GPU 层）、零信任与 Agent 身份落地、密钥全生命周期管理、MCP 工具链运营、持续红队与合规审计。下一章把经验浓缩为可落地的最佳实践检查清单。