面试题

以下问题覆盖 AI 安全的概念、架构、实现与生产落地，适用于初级、中级与高级工程师面试。

初级

1. 什么是提示注入（Prompt Injection）？如何防御？

答案要点：攻击者通过输入覆盖系统提示或诱导模型执行非预期行为。防御包括：输入过滤、系统提示与外部数据分离、最小权限工具、输出过滤、人在回路、多层 Guardrails。

2. API Key 泄露后应该做什么？

答案要点：立即吊销泄露的 Key；审计其访问记录与影响范围；轮换相关凭证；检查日志是否有异常调用；复盘泄漏原因并改进流程。

3. RBAC 与 ABAC 有什么区别？

答案要点：RBAC 基于角色静态授权；ABAC 基于用户、资源、环境等属性动态授权。ABAC 更灵活但策略更复杂。

4. 为什么 AI 系统需要专门的 Guardrails？

答案要点：开放自然语言输入无法被传统 WAF/签名检测有效覆盖；需要检测提示注入、越狱、有害输出、PII 泄露等语义层风险。

5. 简述零信任的核心原则。

答案要点：永不信任、始终验证；最小权限；假设 breach；持续监测；强身份验证。

中级

6. 如何为 LLM Gateway 设计多租户 API Key 管理？

答案要点：

• 每个租户独立 key 空间，key 与 tenant claim 绑定。
• 使用 Vault/Secret Manager 存储，按环境隔离。
• Gateway 负责认证，并将 tenant 信息透传给下游。
• 按 tenant 限流、计费、审计。
• 定期轮换，支持紧急吊销。

7. 在 Agent 系统中如何防止工具滥用？

答案要点：

• 工具 capability 最小化，每个 Agent 只能调用需要的工具。
• 调用前做 schema 校验与授权检查。
• 在 sandbox/受限网络中执行工具。
• 设置超时、最大步数、预算上限、人工审批门槛。
• 记录每次调用与参数到审计日志（含工具描述版本）。
• MCP 场景：工具描述视为不可信输入，版本锁定 + 描述快照 diff 防 Rug Pull。

8. OPA 与 OpenFGA 分别适合什么场景？

答案要点：OPA 是通用策略引擎，适合 API 授权、Gateway 策略、Kubernetes admission；OpenFGA 专注 ReBAC，适合共享文档/项目/集合的细粒度访问控制。

9. 如何保护训练数据中的 PII？

答案要点：

• 数据收集阶段最小化，获得合法授权。
• 使用 Presidio、DLP 等工具检测与脱敏。
• 采用差分隐私、k-匿名等技术。
• 建立数据血缘，记录清洗规则。
• 训练环境隔离，限制访问。

10. 模型供应链安全应关注哪些环节？

答案要点：基础模型来源、微调适配器、训练数据集、依赖库、容器镜像、Prompt 模板、模型仓库、MCP Server 等 Agent 工具链。控制措施包括签名、SBOM、镜像扫描、来源验证、WORM 审计；模型入库强制 Picklescan/ModelScan 扫描，Safetensors 只解决格式安全不解决权重后门。

11. 什么是 MCP 工具投毒与 Rug Pull？如何防御？

答案要点：

• 工具投毒：恶意指令嵌入 MCP Server 的工具描述字段，Agent 读取后被诱导执行非预期操作（如外泄凭证）。
• Rug Pull：Server 先发布干净版本骗取审批，之后推送带毒更新，利用"审批一次永久信任"的默认信任模型。
• 防御：把工具描述当不可信输入（指令分层）；版本精确锁定；首次审批快照描述、运行时 diff 不一致即冻结；MCP 网关集中管控注册与 token exchange；跨信任域的 Server 隔离会话上下文。

高级

12. 设计一个 AI 安全网关的架构，列出关键组件与数据流。

答案要点：

• 边缘：WAF、DDoS、bot 管理、TLS termination。
• 认证：OIDC/API Key/mTLS。
• 授权：OPA/OpenFGA/Cedar。
• 输入 Guardrails：提示注入、越狱、PII 检测。
• 路由到 LLM/Agent/RAG，记录 trace。
• 输出 Guardrails：有害内容、PII、代码安全。
• 审计日志到 SIEM，支持告警与溯源。

13. 如何在零信任架构下保护模型训练集群？

答案要点：

• 训练集群与生产网络隔离，egress 严格受限。
• 工作负载使用 SPIFFE/SPIRE 身份。
• 数据湖、模型仓库、训练任务之间 mTLS + 细粒度授权。
• 数据静态加密，敏感字段加密。
• 训练镜像签名、模型输出签名。
• 审计所有数据访问与模型导出。

14. 欧盟 AI Act 对中国企业出海 AI 服务有什么影响？

答案要点：

• AI Act 按风险分级，高风险系统需满足透明度、人类监督、数据治理、记录保存等义务。
• GPAI 义务已于 2025-08-02 生效（技术文档、版权政策、训练数据摘要）；2026-08-02 全面适用，第 50 条透明度义务（AI 交互告知、深度伪造披露、合成内容标记）开始执行。
• Digital Omnibus（Reg. 2026/1744，2026-07 生效）把高风险系统的合规截止推迟到 2027-12-02，但 GPAI 与透明度义务不受影响。
• 需在服务条款中披露 AI 生成内容、版权训练数据摘要等；系统性风险模型需评估、红队测试与事件报告。
• 可能需要在欧盟指定授权代表。

15. 如何评估 Guardrails 的误杀与漏检？

答案要点：

• 建立标注数据集，包含正常样本、注入样本、越狱样本、有害输出样本。
• 计算精确率、召回率、F1、误杀率、漏检率。
• 按业务场景设定可接受阈值。
• A/B 测试新规则，观察用户投诉与自动指标。
• 持续用红队结果补充测试集。

16. 你所在团队发生模型权重泄露事件，请给出 24 小时响应清单。

答案要点：

• 第 0-1 小时：隔离模型仓库访问，吊销相关凭证，通知安全与法务。
• 第 1-4 小时：审计访问日志，确定泄露范围与时间线，确认是否有外发痕迹。
• 第 4-12 小时：通知受影响客户/监管（如法规要求），启动事件响应小组。
• 第 12-24 小时：收集证据，准备技术根因，启动模型水印追踪，制定修复与复盘计划。

17. OWASP Agentic Top 10 与 LLM Top 10 是什么关系？设计防御时有什么差异？

答案要点：

• LLM Top 10（2025 版）覆盖单次模型调用：Prompt Injection、敏感信息泄露、供应链、投毒、Excessive Agency、系统提示泄露、向量/Embedding 弱点等。
• Agentic Top 10（ASI:2026，2025-12 发布）覆盖多步编排系统：目标劫持（ASI01）、工具滥用（ASI02）、身份与权限滥用（ASI03）、Agent 供应链（ASI04）、意外代码执行（ASI05）、记忆投毒（ASI06）、不安全 Agent 间通信（ASI07）、级联失败（ASI08）、人机信任滥用（ASI09）、失控 Agent（ASI10）。
• 差异：LLM 列表问"这句话安不安全"，Agentic 列表问"这个执行体在开放环境里会不会失控"；防御从"输入输出过滤"升级为"身份、委托链、工具注册管控、行为审计、预算限制"的组合。
• 落地：含 Agent 的系统两者都要做威胁建模；Guardrails 从一次性拦截变为持续行为监督（trace 审计、意图校验、运行时工具描述 diff）。

18. 多租户 GPU 平台如何防止租户间数据泄露？机密计算在其中扮演什么角色？

答案要点：

• 隔离层级：节点级隔离（调度约束，最可靠）> MIG 硬件分区 > MPS/时间片（无显存隔离，仅限同信任域）。
• VRAM 生命周期：租户切换时彻底清零；监控侧信道（算力混部时间侧信道已被多次复现）。
• 机密计算：NVIDIA CC 模式（H100/H200/Blackwell）用芯片内引擎加密 VRAM，密钥主机不可见；结合 CPU TEE（SEV-SNP/TDX）与 NRAS 远程证明，租户可验证硬件与固件状态；大矩阵运算开销可低至约 3%。
• 工程落地：K8s 侧用节点标签/准入控制把敏感负载调度到已证明开启 CC 的节点；权衡是约 5-15% 端到端开销与可观测性下降，只对高敏感负载开启。

小结

AI 安全面试不仅考察概念，更关注如何在真实系统中把身份、策略、网络、数据、模型与审计串成闭环。准备时建议结合自己项目中的具体决策与 trade-off 来回答。