私有化AI安全与运维：模型、数据、权限、日志和升级

从威胁模型开始

先画出用户、业务应用、API网关、推理服务、知识库、模型文件、日志和外部工具之间的数据流，标出每个身份能够读写的内容。没有这张图，很难判断敏感数据在哪里被缓存、复制或导出。

风险评估要包括内部误用、被盗账号、提示注入、模型供应链、第三方插件、日志泄露和错误自动执行。不同业务的重要性不同，不能只安装一个内容过滤器就宣布安全。

模型文件与依赖的供应链控制

• 只从发布者正式网站或经过确认的官方组织仓库获取模型。
• 固定仓库Commit或明确版本，不在正式环境自动跟随最新版。
• 优先检查safetensors文件，并谨慎处理需要执行自定义代码的仓库。
• 保存许可证、模型卡、文件清单、哈希和下载日期。
• 镜像与依赖包也要扫描、签名并进入版本清单。

数据与权限不能交给提示词

应用必须在检索和工具执行之前校验用户身份与权限。模型收到“不要泄露”指令并不等于访问控制；缓存、向量索引、临时文件和调试日志也不能绕过原有数据等级。

生产日志应默认脱敏，只保留定位故障和评测所需字段。需要保存完整输入输出时，应说明目的、访问者、保存期限和删除方式。

限制模型能够执行的动作

• 读取、写入、发送邮件、调用支付或修改业务数据使用不同权限。
• 高风险动作要求明确确认、参数校验和可追溯审批。
• 外部网页、上传文件和检索片段都视为不可信输入。
• 工具返回值经过格式和范围校验后才能交给下一步。
• 设置速率、Token、时间和费用上限，避免失控循环。

升级、监控与回滚

模型、量化、推理框架、聊天模板和知识库索引都可能改变输出。每次升级应在固定问题集上回归，记录正确性、拒答、延迟和安全行为，再进行小范围切换。

服务监控至少覆盖可用性、排队、显存、错误、异常输出和权限拒绝。旧版本权重、配置与镜像要保留到新版本通过验收，并准备明确的回滚步骤。