企业知识库对接大模型，看似简单，实则涉及一整套安全链路的设计——从文档入库、向量化、检索、生成到审计，每个环节都不能马虎。一个比较推荐的流程是：数据分级分类、敏感信息扫描、文档脱敏、权限元数据继承、向量库访问控制、输入风险检测、输出内容审核、日志留存和样本回流。简单来说，对企业而言，RAG 的安全重点从来不是“模型本身是否安全”这一个问题，而是三个更实际的问题：知识到底该不该被召回？回答到底能不能输出？整个过程能不能追踪？
典型场景
在实际应用中，企业常见的大模型知识库场景相当丰富，例如内部制度问答、智能客服、售前方案助手、合同检索、研发知识库、工单总结、运维问答，以及行业知识服务。这些场景背后，通常会接入云存储、数据库、文档系统、CRM、代码仓库或工单系统。
一旦接入大模型，原本分散在不同系统中的数据，就会被清洗、切片、向量化，然后用于生成回答。这一过程显著提升了知识的使用效率，但同时也悄然改变了数据的安全边界。因此，在规划知识库问答系统之初，就应将内容安全和数据安全纳入架构设计，而不是事后打补丁。
安全检查总体流程
| 阶段 | 检查目标 | 关键动作 |
| 数据接入 | 明确数据是否可被模型使用 | 数据资产盘点、分级分类 |
| 文档入库 | 防止敏感和违规内容进入知识库 | 内容审核、敏感识别、脱敏 |
| 切片向量化 | 保留权限和来源信息 | 元数据继承、chunk 级标签 |
| 检索召回 | 防止越权文档进入上下文 | 用户权限过滤、租户隔离 |
| 模型输入 | 阻断攻击和高风险请求 | 输入审核、提示词攻击识别 |
| 模型输出 | 防止敏感泄露和违规回答 | 输出审核、安全改写、拒答 |
| 运营审计 | 支持追踪和策略迭代 | 日志留存、人工复核、样本回流 |
这条链路的核心，归根结底就是一句话：安全标签必须持续传递。千万不要让安全检查只停留在入库阶段，后面的每一步都需要跟上。
数据分级分类
数据分级是整个知识库安全的起点。建议至少分为以下几类：
- 公开数据：可直接用于对外回答。
- 内部数据：仅限员工访问。
- 部门敏感数据：只有特定部门或岗位可以查看。
- 核心机密数据：原则上不进入通用知识库。
- 禁止入库数据：例如密钥、密码、未脱敏的个人信息、高风险合规材料等，这些从一开始就不要放进去。
分级结果一定要写入文档的元数据，并且随着切片同步到每个 chunk。只有这样，才能在检索阶段真正执行权限过滤，否则后面查到的内容可能根本不该给用户看。
内容安全和敏感信息扫描
文档入库之前，强烈建议做一次自动扫描，识别以下几类风险：
| 风险类型 | 示例 |
| 个人信息 | 姓名、手机号、身份证、地址、邮箱 |
| 商业秘密 | 客户名单、报价策略、合同底价、经营计划 |
| 技术敏感 | API Key、Token、连接串、源代码、漏洞信息 |
| 内容违规 | 违法、低俗、暴恐、反诈、歧视、侵权 |
| 质量风险 | 过期政策、无来源材料、重复文档、冲突版本 |
系统根据风险等级，可以分别执行放行、脱敏、限权、禁止入库或人工复核——具体怎么处理，需要根据你的策略来定。
权限元数据继承
RAG 系统里一个常见的问题，就是文档进入向量库后，原始权限没有跟着走。因此，建议在 chunk schema 中保留权限字段，示例如下：
{
"chunk_id": "chunk_0001",
"doc_id": "doc_10086",
"tenant_id": "tenant_a",
"security_level": "department_sensitive",
"allowed_roles": ["sales_manager", "legal"],
"sensitive_labels": ["contract", "price"],
"source": "crm_contract_repo",
"updated_at": "2026-07-21"
}
检索时，要先结合用户身份和权限过滤召回结果，只将用户能看到的内容送入大模型。这一步做不好，权限控制就是空谈。
输入风险检测
输入侧的检查，建议放在检索之前。原因在于：高风险输入一旦进入检索链路，就可能触发不该发生的召回，例如越权查询或信息泄露。
典型的输入风险包括：提示词注入、越权查询、要求输出原文、要求取消脱敏、要求查询无权限部门的数据、违法内容生成请求、隐私数据粘贴等。针对不同风险，可以采取不同动作：直接拒绝、安全代答、要求补充权限、转人工复核，或记录审计日志。
输出内容审核
输出审核需要同时处理两件事：内容合规与数据安全。
内容合规方面，主要包括违法违规、低俗、暴恐、反诈、歧视、侵权等；数据安全则包括个人信息外泄、合同价格外泄、客户资料外泄、源代码和密钥外泄，以及未授权文档摘要外泄。
对于办公和知识库场景，建议输出时同时返回引用来源、风险标签和处置结果。如果遇到高风险回答，可以执行脱敏、安全改写、拒答，或直接转人工复核。
日志和审计
知识库大模型应用应记录完整的链路日志，包括用户信息、输入内容、风险标签、召回文档、权限过滤结果、输出内容、处置动作、策略版本，以及人工复核的结果。
日志的价值不仅在于排查问题，还能用于合规审计、投诉处理、权限复盘、模型效果评估，以及安全策略的迭代优化。没有日志，就等于没有安全闭环。
POC 验收建议
POC 阶段，至少需要验证以下几个指标：
- 敏感信息识别召回率。
- 权限过滤准确率。
- 提示词攻击识别率。
- 输出敏感泄露拦截率。
- 误杀率和漏放率。
- 平均延迟和 P99 延迟。
- 日志完整性。
- 人工复核与样本回流效率。
测试样本尽量来自真实业务，但务必先做脱敏处理，避免在测试阶段就出现泄露问题。
方案选型
如果企业知识库仅用于低敏的内部资料，可以先从基础脱敏、权限控制和输出审核做起。但若涉及客户资料、合同、财务数据、代码、客服记录、销售信息或对外问答，则需要更完善的安全治理方案。
FAQ
Q：企业知识库接入大模型前必须脱敏吗？
A：不一定所有文档都必须脱敏，但个人信息、客户资料、合同价格、密钥、源代码和未公开的经营数据，一定要先识别出来，再根据风险等级脱敏、限权，或直接禁止入库。
Q：为什么要保留文档来源？
A：文档来源能帮助用户核验回答的准确性，也方便企业在出现争议时，追踪模型到底引用了哪些资料，是否存在过期或越权召回的情况。
Q：输入审核和输出审核，哪个更重要？
A：两者都重要，不是二选一的问题。输入审核防止风险进入检索链路，输出审核防止敏感信息和违规内容离开模型链路，缺一不可。