AI 大模型安全架构构建与落地实践

原创

小安伴你行
小安伴你行

小安伴你行

2026年11月1日 10:00
北京

去阅读

引言：模型会“思考”，架构来“设防”

大模型应用与传统系统存在一项本质区别：它不仅会“处理数据”，还能“理解并生成内容”。攻击者的目标不再仅仅是攻破单台服务器，而是设法诱导模型“说错话、做错事、泄露信息、产生偏差”——具体手段包括通过提示注入操纵模型输出、投毒污染训练数据、从模型中提取敏感信息。要守住大模型应用的安全防线，必须为其专门设计一套安全架构，从基础设施到模型、数据、应用、治理逐层设防，并将架构方案落到可执行的实践当中。

本培训材料面向公司全体员工以及安全、研发、运维岗位人员，设定了三个目标：第一，讲清大模型需要防御的风险内容，明确其攻击面与风险类型；第二，介绍大模型安全架构的分层设计思路，落地纵深防御理念；第三，指导实践落地，明确“以安全网关与安全护栏为核心，结合外挂式安全与平台原生安全”的方案，并给出企业落地路径与员工行动清单。建议大家带着一个问题阅读本材料：我们公司的大模型应用，目前是处于“无防护裸奔”还是“有架构设防”的状态？

1  大模型安全：它要防的是什么

1.1  大模型的安全风险全景

大模型应用的安全风险横跨多个层面：包括模型层面的提示注入、对抗样本、数据投毒、隐私提取，数据层面的训练与推理数据泄露、敏感信息不当带出，应用层面的越权调用、内容滥用，基础设施层面的算力、容器、网络被攻破，以及供应链层面的基础模型、插件与数据源被污染。任何一个层面被突破，都可能让本就具备自主生成能力的大模型，变成引发安全事故的风险源头。

1.2  为什么传统安全手段不够

传统安全防护主要针对“外部入侵”，但大模型还需要额外防御“针对模型本身的操作”：攻击者不必攻破整个系统，只需精心构造一个提示词，就可能诱导模型执行非预期动作；大模型还可能“一本正经地编造内容”，也就是产生幻觉，这些内容会被当作可信信息进一步放大错误；对抗样本会导致模型识别失准；数据投毒则会让模型“被教坏”。这些风险都不是传统的防火墙、杀毒软件能够覆盖的，需要专门设计安全架构与防护手段。

表1 大模型主要攻击面与风险

2  安全架构的分层设计

2.1  分层原则：纵深防御

大模型安全架构的核心原则是纵深防御：不依赖单点防护，而是在每一层都设置防护，即便一层被突破，还有下一层兜底。通常可按基础设施、模型、数据、应用、治理分为五层设计，每层承担不同职责，彼此配合形成完整的整体防线。

2.2  基础设施层

作为大模型安全运行的基础底座，基础设施层的核心防护内容包括：对算力资源、容器与沙箱落实隔离机制与最小权限配置，强化网络分区与访问控制，避免模型服务被劫持或发生横向渗透；同时为模型推理与训练环境启用监控与审计机制，完整记录异常访问与异常操作。

2.3  模型层

做好模型本身的防护：对训练数据开展安全审查，防范数据投毒；在模型正式部署前完成安全评估，覆盖对抗样本、越狱、毒性测试等维度；同时规范模型版本与发布的全流程管理，避免模型被篡改或替换；在运行阶段还要持续监测模型行为，及时发现偏离预期的异常情况。

2.4  数据层

做好模型进出数据的管控：对输入输出数据开展分类分级与脱敏处理，配置数据防泄漏（DLP）工具与敏感信息识别机制，对数据访问落实基于角色的最小权限控制，并留存完整的数据访问日志以便后续溯源。

2.5  应用层

做好模型与用户交互环节的管控：在应用侧部署输入过滤（提示注入检测、越狱识别）与输出过滤（内容审核、敏感信息拦截），接入身份认证与授权机制，并对每一次调用进行审计与流量限制，避免模型被用作越权工具。

2.6  治理层

做好规则与流程的管理：建立大模型风险分级分类标准，对接合规要求（如《生成式人工智能服务管理暂行办法》要求、AIGC内容标识规定等），制定应急预案并组织演练，明确安全责任与审批流程，由治理层统筹决定前面四个层级的管理方式与责任主体。

表2 大模型安全架构分层与要点

3  落地实践一：以“安全网关与护栏”为核心

3.1  输入侧防护

在模型入口部署安全网关与安全护栏，遵循“先审核，再准入”的原则：通过规则与模型组合的方式识别提示注入与越狱行为，例如试图绕过指令的请求、隐藏的恶意载荷、异常的令牌爆发；同时对输入内容设置长度限制与速率限制，对超出风险阈值的提示予以拒绝或隔离；不少方案还会采用更轻量、受约束的“护栏模型”预先对输入内容进行安全评分。

3.2  输出侧防护

在模型出口增设一道审核关卡：对模型生成内容开展安全审核，拦截敏感信息、违规内容与疑似外泄数据，识别并阻止模型违规带出非授权数据；输出防护需与输入防护相互配合，形成“出入全受控”的安全闭环。

3.3  全链路防护

更成熟的实践是覆盖“输入—处理—输出—溯源”的全链路防护：从数据进入AI系统的入口到输出交互的出口，逐层开展检测与拦截，同时留存全过程日志以便溯源追责。这类网关方案强调对每一个token进行实时检测与拦截，而非仅完成简单的转发流程。

表3 大模型安全护栏/网关防护要点

4  落地实践二：外挂式安全与平台原生安全

4.1  外挂式安全：以模治模、独立护栏层

外挂式安全，是在大模型之外叠加独立的护栏与防护层：采用“AI对抗AI”的思路，借助另一个受控模型完成风险检测与拦截，例如对训练数据开展安全审查、对模型进行安全测评、对输入提示做实时检测、对生成内容做实时识别，京东JoySafety正是以“AI对抗AI”构建了四道这样的防线。这类方案的优势在于架构相对独立、支持可插拔部署，能够适配不同模型的使用需求。

4.2  平台原生安全

平台原生安全，是由模型服务商或平台在自身体系内内置安全能力，在模型、平台、应用多个维度原生提供安全防护，将安全能力嵌入整条服务链路，最终实现“全球合规、原生安全”的目标。对大多数企业来说，直接选用具备原生安全能力的模型服务，能够显著降低自行搭建防护体系的成本与难度。

4.3  双轨结合与企业选型

360《大模型安全白皮书》提出的“外挂式安全+平台原生安全”双轨治理方案，是当前大模型安全落地的重要思路：对外构筑“以模治模”的动态屏障，对内夯实“平台原生”的安全底座。企业选型时应结合自身场景判断：风险等级高、定制化需求强的场景更适合采用外挂式独立护栏；追求低成本、快速上线的场景优先选择平台原生安全，二者结合即可形成完整的全链路防护防线。

5  从架构到日常：企业落地路径与员工行动

5.1  落地步骤

大模型安全落地不可能一蹴而就，建议按照五个步骤推进：第一步开展现状评估，盘点梳理现有大模型应用和潜在风险；第二步完成风险分级，明确哪些应用涉及敏感数据、影响范围与程度；第三步敲定架构选型，确定分层防护与网关、护栏方案；第四步推进试点上线，先在小范围完成验证再逐步推广；第五步落实持续运营，开展监控、审计、演练与复盘迭代。每个步骤都需要明确对应的责任人。

5.2  对接标准与框架

落地推进过程中，可以对接权威标准与框架开展建设：国内可参照《生成式人工智能服务安全基本要求》（TC260-003，已升级为国标 GB/T 45654—2025），以及《生成式人工智能服务管理暂行办法》《人工智能生成合成内容标识办法》、网络安全等级保护等要求；国际可参照NIST的AI风险管理框架（AI RMF）、OWASP的大模型应用Top 10风险、MITRE ATLAS对抗战术知识库。只有将标准要求转化为企业可落地的执行清单，才能兼顾合规要求与实际可执行性。

5.3  员工在大模型安全中的角色

架构再完善，也离不开人的防线值守：员工是“输入侧”的第一道关卡——不得将敏感数据输入未受管控的模型，不能绕过护栏进行“越狱”式提问，发现异常输出要及时上报。员工规范正确的使用行为，本身就是大模型安全架构的组成部分。

表4 企业大模型安全落地路径

表5 员工在大模型使用中的安全行动清单

结语：架构设防，人人守线

大模型为企业带来全新能力的同时，也开辟了新的攻击面。想要安全地落地应用大模型，依靠单点工具远远不够，需要构建一整套完整安全架构：从基础设施、模型、数据到应用、治理逐层布设防护，以安全网关与护栏守住“输入”“输出”两道关口，采用外挂式安全与平台原生安全双轨结合的方案，再对照国家与国际标准将要求落地为制度。而架构防护的最后一环，正是每一位企业员工——做到规范使用、及时上报，就能守住输入侧这道最容易被忽视的防线。架构设防、人人守线，才能让大模型安全地为企业所用。