企业官网建设流程全解析

引言：当AI不再只是一个模型

很多人以为“AI安全”就是保护那个大语言模型本身。但真正在生产环境里跑过的安全工程师知道，模型只是冰山一角。你看到的ChatGPT、Copilot、企业知识库问答系统——它们背后是一整套复杂的系统工程：检索器、向量数据库、数据连接器、工具调用层、编排逻辑、可观测性组件……每一个环节都是一个潜在的信任边界，每一处连接都可能成为攻击者的入口。

OWASP在2026年的LLM Top 10中，Prompt Injection连续第四年稳居第一。而2026年9月披露的ChatGPT Gmail数据泄露事件，更是揭示了一个残酷的现实：攻击者根本不需要“黑掉”模型，他们只需要利用模型所连接的基础设施，就能实现跨账户的数据窃取。

要真正理解AI安全，就必须先理解AI系统长什么样。本文从威胁全景、架构防御、治理合规三个维度，系统梳理大模型安全的核心议题与落地路径。

第一部分：大模型安全的威胁全景

一、Prompt注入与越狱

Prompt注入长期位居OWASP LLM Top 10风险榜首。它的本质是一种指令混淆攻击，通过精心构造的输入文本覆盖或绕过开发者预设的系统和上下文指令。OWASP将Prompt注入分为两类：直接注入发生在用户提示直接以非预期方式改变模型行为的情况下；间接注入则发生在LLM从外部源（如网站或文件）接收输入时，外部内容中的数据被模型解释后改变其行为。

越狱（Jailbreak）是一种特殊的Prompt注入，攻击者提供输入导致模型完全无视其已有的安全协议。OWASP明确指出，虽然开发者可以在系统提示和输入处理中构建安全防护措施以辅助减轻Prompt注入攻击，但要想有效预防越狱则需要持续更新模型的训练和安全机制。一项覆盖2023-2025年的越狱研究综述将越狱技术归为五大类：基于提示的注入、角色扮演条件、多轮对话、多语言或多模态利用，以及优化驱动的流水线。有效的防御需要结合监督微调、RLHF、对抗性微调和输出过滤等多种手段。

随着多模态AI的兴起，模型同时处理多种数据类型，引入了独特的Prompt注入风险。恶意行为者可能会利用模态之间的交互，例如在伴随良性文本的图像中隐藏指令。这些系统的复杂性扩大了攻击面，多模态模型可能容易受到当前技术难以检测和减轻的新型跨模态攻击。

核心教训：Prompt注入之所以持续位居第一，是因为它是唯一一种没有完整技术修复方案的LLM特有漏洞类别。信任的指令和不可信的外部内容通过同一通道传递，而当前模型无法可靠地区分两者。OWASP的指导方针是纵深防御——输入/输出过滤、对模型可执行操作的特权限制，以及对后果性操作的人工确认。

二、数据污染与供应链攻击

数据污染是指在模型训练数据中混入错误、误导性或带有恶意目的的数据，导致模型学习到非预期的、有害的行为。OWASP 2026版将“Data and Model Poisoning”列为LLM05风险类别。这一风险不仅限于预训练阶段，还延伸到微调数据和嵌入数据。攻击者在预训练阶段污染数据后，下游任务即使进行安全微调，也可能无法消除后门。

供应链攻击则是一个更为系统性的问题。现代AI开发高度模块化：LangChain用于编排、Hugging Face加载模型、PyTorch进行计算、第三方连接器对接API，每一个组件都是潜在的攻击入口。OWASP 2026版将Supply Chain列为LLM04风险类别。

学术研究进一步证实了供应链攻击的严重性。一项ACM研究显示，在工具调用设置下，对Qwen-2.5模型进行5%的投毒即可达到99.68%的攻击成功率，且模型规模增大并未 inherently 缓解供应链投毒风险。语义触发器的攻击成功率（98.2%）远高于随机触发器（8.4%），说明攻击者可以利用自然语言模式实现更隐蔽的攻击。

核心教训：AI供应链安全与传统软件供应链安全是“继承”与“扩展”的关系。企业无需抛弃已有的软件供应链安全体系，而是在其基础上进行认知升级和能力扩展——将安全思维从“软件代码”扩展到“数据与模型”，从“单点防护”升级为“全生命周期治理”。

三、不安全输出处理与过度代理

不安全输出处理是LLM应用中最容易被忽视的风险之一。当LLM输出被直接用于下游系统（SQL查询、Shell命令、HTML渲染）而缺乏验证、净化或编码时，攻击者可以构造针对性的Payload。OWASP 2026版将Improper Output Handling列为LLM10风险类别。核心原则是：将LLM输出视为来自不可信用户的输入，对每个输出目的地应用边界控制。

过度代理是OWASP 2026版中排名第三的风险类别。它指的是LLM-based agent被授予了超出其任务所需的功能、权限或自主性，使得单次成功的Prompt注入可以级联为真实世界的行动。一个客服Agent连接了“取消订单”和“发放退款”功能，却同时拥有修改用户账户角色或直接写入数据库的权限——这是过度代理的典型场景。

OWASP在2025版中扩展了过度自主性的考量，“考虑到了越来越多使用自主架构的情况。在这些架构下，LLM获得了更多的自主权。随着LLM作为代理或在插件设置中运行，未经充分审查的权限可能导致意外或高风险操作”。

核心教训：过度代理的风险本质在于LLM的安全问题从“内容”层面扩展到了“行为”层面。当模型只能“说话”时，最大的风险是说错话；但当模型能够“做事”时，一次错误的指令——无论是恶意注入、幻觉，还是被操纵的输入——都可以造成真实世界的破坏。最小权限、人工审批、工具隔离——这些经典网络安全原则在AI Agent时代变得更加关键。

四、系统提示词泄露与向量嵌入安全

系统提示词泄露在OWASP 2025版中被新增为独立风险项（LLM07），2026版将其更名为Hidden Context Exposure（LLM08），以覆盖任何攻击者可读取的非面向用户上下文。OWASP明确指出，“许多应用曾假设提示信息是安全隔离的，但近期的事件表明，开发人员不能再安全地假设这些提示中的信息能够保密”。

系统提示词泄露的核心风险在于：凭据、API Key、数据库连接串不应出现在系统提示词中；内部规则（交易限额、审批流程）的暴露使攻击者可以精确设计绕过策略；过滤规则的暴露使提示注入可以精准绕过分级护栏。

向量与嵌入安全是OWASP 2025版新增的风险类别（LLM08），2026版维持这一类别（LLM09）。随着86%的企业采用RAG架构增强LLM，向量和嵌入的弱点需要独立的风险条目。OWASP指出，这些漏洞影响嵌入的生成、存储、检索方式，以及在整个管道中如何执行访问控制。

PoisonedRAG攻击的成功率高达90%——仅需在数百万文档中注入5条被投毒文本即可实现攻击。ConfusedPilot攻击已针对Microsoft 365 Copilot的RAG系统进行了演示。多租户隔离失败是另一个关键风险：向量查询中缺少租户过滤参数，可能导致一个用户检索到其他用户的机密数据。

核心教训：不要试图隐藏提示词，而要让它不值得被攻击。凭据永不在提示词中，提示词是用户可接触的文本，安全控制依赖架构而非提示词。

五、错误信息与无界消耗

错误信息（Misinformation）在OWASP 2026版中排名第七，从2025版的第九位提升。OWASP 2026版将“Overreliance”重新定义为“Misinformation”，认识到幻觉内容不仅仅是准确性问题，而是具有法律和运营后果的安全风险。加拿大航空因聊天机器人提供错误退款政策信息而被成功起诉；律师在法庭文件中引用了ChatGPT编造的案例；攻击者以幻觉的包名注册恶意包。

LLM错误信息不是模型的“bug”，而是概率生成系统的固有特征。它跨越客户服务、法律、医疗和软件开发，攻击面之广令人警醒。正如OWASP所强调的：“别再试图造一个无法被欺骗的模型。围绕它搭建系统，当模型被欺骗的那一天——而它一定会被欺骗——关键的东西也不会崩坏。”

无界消耗（Unbounded Consumption）在OWASP 2026版中排名第六，从2025版的第十位大幅提升。这一风险类别已从简单的拒绝服务扩展到包括拒绝钱包攻击（利用按使用付费定价）、通过系统性API查询进行的模型提取，以及资源耗尽导致合法用户服务降级。

Sourcegraph事件（2023年8月）演示了API限制操纵如何 enables DoS攻击。Alpaca模型复制实验显示，研究人员可以使用API生成的合成数据重现LLaMA的行为——这是一种通过消耗进行的模型窃取。OWASP的缓解措施包括：实施输入大小限制、速率限制、配额、超时、节流，以及全面的日志记录、监控和异常检测。

核心教训：无界消耗的威胁与传统DoS攻击有本质区别。传统DoS攻击追求让系统宕机；无界消耗中的拒绝钱包攻击追求让企业破产，模型提取攻击追求让知识产权贬值。防御需要从“保护可用性”扩展到“保护可持续性”。

第二部分：现代AI系统的安全架构

一、AI系统的组件与信任边界

一个典型的RAG系统包含以下核心组件：模型端点、检索器与嵌入存储、数据连接器、工具层、编排层、可观测层。这条链路看起来顺畅，但每一个步骤都是一次信任边界的跨越。

AI系统里没有单一的信任边界，而是多重信任边界：用户与模型之间，用户输入是不可信的，必须过滤；模型与检索数据之间，检索到的文档可能被投毒，必须验证；模型与工具/连接器之间，工具调用有真实世界影响，必须授权；AI系统与外部系统之间，API调用可能泄露数据，必须审计。

核心教训：攻击者不会试图“黑掉”大语言模型——他们知道那太难。他们会寻找模型所依赖的基础设施中的裂缝：一个配置错误的Artifactory、一个权限过大的修复Agent、一份被投毒的PDF。

二、运行时防护：AI防火墙与AI网关

AI防火墙是位于用户和模型之间的运行时安全层。它确保每一次用户与模型的交互都经过一个受控的、可审计的检查点，执行组织的规则、过滤风险内容，并提供对系统行为的深度可见性。

AI防火墙的防护体系分为三层：输入过滤在提示到达模型之前进行扫描和净化，检测隐藏指令、恶意命令和敏感数据；输出过滤审查模型的响应是否存在PII暴露、毒性或偏见语言、幻觉信息；工具调用门控确保外部调用只在明确允许时发生，验证模型是否有权限执行该操作、参数是否符合策略。

检测策略主要有三种：基于规则的方法提供确定性，适合合规要求高的环境；基于机器学习的方法具有自适应性，能从数据中学习识别新的攻击模式；混合方法结合两者，在实践中最为有效。

核心教训：当AI系统从“回答问题”进化到“采取行动”时，安全边界就从“模型是否被正确引导”扩展到了“行动是否被正确授权”。AI防火墙就是这道边界的守护者。

三、AI Access Control：从门禁到行为治理

传统访问控制主要控制“谁能进入”；AI访问控制还必须控制“模型能代表用户做什么”，并证明“模型本身是否可信、输出是否可追溯”。AI端点会行动，所以访问控制必须从“门禁”升级为“行为治理+身份验证+输出溯源”的完整链条。

AI Access Control的核心机制包括：按用户/按应用的API Key管理，建立身份与问责的起点；速率限制与滥用检测，防止过载和资源耗尽；Token Scoping与最小权限，收窄访问边界；审批流与Human-in-the-Loop，在高风险操作处引入人类判断；模型认证与响应溯源，确保模型真实可信、输出可追溯。

核心教训：没有密钥隔离，一个泄露的密钥可能瓦解整个AI系统的隐私、安全和合规态势。认证不等于授权——认证只回答“你是谁”，还必须用Token Scoping和最小权限回答“你能做什么”。

四、AI Security Posture Management

AI Security Posture Management（SPM）旨在为组织提供对AI系统安全与合规状态的持续可见性。传统网络安全工具是为监控网络、端点或云工作负载而构建的，但AI系统引入了一整套全新资产：模型、数据集、连接器和策略。如果缺乏治理，每一个都可能成为攻击面。

AI资产清单是控制与问责的基石。它本质上为组织AI生态系统的每个组件建立一张活地图：模型（版本、所有权、训练数据、访问权限）、数据集（来源、质量、使用条件）、连接器（连接目标、权限、监控方式）、策略（谁可以查询、可以检索什么、日志如何存储）。

风险评分与漂移检测构成主动安全管理的双引擎。风险评分评估数据敏感性、模型暴露度、访问权限、合规要求等因素；漂移检测持续监控数据漂移和模型漂移。两者共同回答：问题可能有多严重，以及问题何时、何地开始。

核心教训：在AI采用速度远超人工安全流程的时代，SPM不是可选项，而是可信、合规AI运营的基础。“看不见，就管不住。”

五、RAG数据安全与治理

RAG系统中的数据安全需要从数据流的角度系统思考。数据从源头到最终响应，经历源仓库、预处理与索引、检索、生成、审计的完整生命周期。数据一旦离开源仓库，治理便已开始。

数据级访问控制必须动态、实时。ACL显式定义谁可以访问哪条数据；ABAC根据用户、文档、上下文的属性动态决策；索引时过滤性能好但灵活性差；查询时过滤灵活适应企业权限变化；文档标记为每条记录嵌入结构化元数据。

数据保护需要加密、匿名化、令牌化三件套协同。加密保证机密性，匿名化保护隐私，令牌化维持可用性。嵌入不是无害的——它们承载知识产权与PII，需要同等严谨的保护。安全嵌入的五项原则包括：嵌入前净化、嵌入过程安全、存储与访问控制、查询时安全、知识产权保护。

核心教训：在AI中，信任不只建立在准确性上，更建立在对数据机密性与完整性的保证上。治理定义规则，SPM管理执行，防火墙实时执行——三者形成闭环。

第三部分：从威胁建模到AI SDLC

一、扩展STRIDE与LINDDUN的威胁建模

传统威胁建模框架STRIDE和LINDDUN是为确定性软件设计的。STRIDE的核心假设是输入和输出遵循开发者编写的显式逻辑，攻击者利用的是代码漏洞。但在LLM系统中，行为是概率性的，攻击面是语言层的，上下文是动态的。这些特性引入了STRIDE完全没有覆盖的攻击面：提示注入、上下文劫持、模型操纵。

正确的姿势不是抛弃STRIDE和LINDDUN，而是扩展它们。保留STRIDE的威胁分类框架，但增加AI特有的威胁类别（如提示注入、模型漂移）；保留LINDDUN的隐私分析逻辑，但重新定义数据流边界（从“存储记录”扩展到“生成过程”）；在提示层、模型层、工具层分别添加控制点。

生成式AI的六大新威胁类别包括：提示注入、数据泄露、工具滥用、缺乏熔断机制、人工在环缺失、模型漂移。

核心教训：威胁建模不是一次性的文档，而是一种持续的组织能力。它连接数据科学家、开发者和安全工程师，让他们从同一份“风险地图”出发，在CI/CD流水线中自动化执行安全检查，在运行时持续监控异常。

二、AI SDLC：从“保护代码”到“守护行为”

传统Secure SDLC保护的是“软件做什么”；AI SDLC还要保护“模型如何学习、如何行为、如何演化”。三个根本差异：保护对象从“代码”扩展到“数据+模型+提示词”；验证方式从“找Bug”扩展到“测行为”；协作模式从“开发+安全”扩展到“跨职能”。

AI SDLC的四大支柱：安全数据集构建与来源追踪——如果数据集被污染、有偏见或未经核实，整个模型就会继承这些缺陷；模型评估与安全测试——测试模型是否工作是不够的，必须测试它是否安全工作；提示词版本控制与变更管理——提示词已经成为新的代码，一行自然语言可以像一行代码一样强大且危险；密钥管理与多租户隔离——没有密钥隔离，一个泄露的密钥可能瓦解整个AI系统的隐私、安全和合规态势。

核心教训：AI SDLC不是Secure SDLC的替代，而是进化。核心理念不变：安全必须在设计阶段就嵌入，而非在事故后补救。在AI系统中，数据集是代码，提示词是逻辑，模型是运行时。

三、Observability与AI Evaluation

没有可观测性，我们实际上是在将AI系统当作黑箱运行。Observability的三大支柱是透明性、可复现性和可问责性。应该记录的内容包括：提示词、响应、工具调用、决策日志、用户反馈。

AI行为的关键评估指标包括：准确率（在生成式AI中需重新定义为相关性、连贯性和事实正确性）、安全性（避免产生有害、冒犯或机密内容）、偏见（检测和量化跨人口群体的不平等待遇）、幻觉率（模型产生自信但虚假信息的频率）。

评估不应是一次性事件，而必须成为持续过程。质量门是嵌入AI生命周期各阶段的检查点，在模型或提示词配置从一个阶段进入下一个阶段之前必须通过。反馈循环持续从真实世界交互中收集数据，并将信息反馈到评估系统中。

主流框架包括：Trulance（评估LLM质量和行为，特别是RAG应用）、LangSmith（提供LLM应用的端到端追踪）、Prompt Layer（提示词管理和版本控制）、Weights & Biases（机器学习可观测性的基石工具）。

核心教训：真正的AI质量不是通过一次性构建完美模型实现的，而是通过维护活的系统——每天学习、适应并保持可信。

第四部分：AI治理与合规

一、全球监管框架

《欧盟人工智能法案》于2024年8月1日生效，是全球首部系统性规制人工智能的综合性法律。它采取风险分级管理思路，将AI系统分为四个级别：不可接受风险（全面禁止）、高风险（合格评定、技术文档、人工监督、注册）、有限风险（透明度义务）、最小风险（无额外义务）。对于违反“不可接受风险”禁令的行为，罚款上限高达3500万欧元或全球年营业额的7%。

NIST AI风险管理框架（AI RMF） 是美国的自愿性指南，核心是四个功能：治理→映射→测量→管理。NIST在2024年7月专门发布了生成式AI配置文件，识别了12类GAI特有风险。

ISO/IEC 42001:2023是首个针对AI管理体系的国际标准，与NIST的自愿指南不同，ISO 42001是可认证的。ISO/IEC 23894:2023是AI风险管理的国际标准，与ISO 27001信息安全体系互补。

二、中国AI治理核心框架

中国AI治理采取“发展与安全并重”的立法基调，实行“急用先行、成熟先立、动态完善”的立法策略，形成法律、行政法规、部门规章、司法解释多层次协同的规范体系。

法律层面： 《网络安全法》（2026年修订）新增第二十条，首次以法律形式将人工智能纳入国家网络安全法律体系。《数据安全法》《个人信息保护法》为AI训练数据的合规使用提供基础性规制。

行政法规与部门规章： 《生成式人工智能服务管理暂行办法》（2023年8月15日施行）是中国首部针对生成式AI的专项部门规章，核心义务包括内容安全、反歧视、知识产权尊重、个人信息保护、透明度提升。《人工智能生成合成内容标识办法》（2025年9月1日施行）要求对AI生成合成内容实施显式标识和隐式标识双重制度。《人工智能科技伦理审查与服务办法（试行）》（2026年4月）明确需要专家复核的三类AI科技活动。

司法层面： 最高人民法院《关于依法审理涉人工智能纠纷案件的意见》（2026年9月7日）是首部由国家最高审判机构发布的涉人工智能司法裁判规则文件，核心立场是“坚持发展和安全并重”。

生成式AI产品上线合规“三部曲”： 算法备案（具有舆论属性或社会动员能力的算法推荐服务提供者应在提供服务之日起十个工作日内履行备案手续）、安全评估（覆盖内容安全、数据安全、个人信息保护等维度）、内容标注（对生成合成内容添加显式标识和隐式标识）。

三、可审计性与可追溯性

当AI系统在关键或受监管环境中大规模部署时，可审计性和可追溯性成为不可协商的要求。可审计性意味着AI系统的每一个重要决策或行动都能被事后重建、审查和解释。可追溯性关注的是追踪数据、模型和决策在整个AI生命周期中的轨迹。可审计性回答“What”，可追溯性回答“How”。

核心教训：从“李LUDA”的20天到欧盟AI法案的3500万欧元罚款，AI治理的进化揭示了一个核心真理：信任不能靠承诺，必须靠结构。原则告诉我们应该相信什么，政策告诉我们如何做到，问责确保有人对结果负责。

第五部分：大模型安全落地要点汇总

一、威胁识别要点

Prompt注入与越狱：区分直接注入与间接注入；关注多模态跨模态攻击；理解越狱是Prompt注入的特殊形式；防御需要输入过滤+上下文隔离+溯源追踪+对齐增强的纵深体系。

数据污染与供应链：训练数据来源验证与完整性校验；依赖固定与签名验证；模型权重安全检测；供应链攻击的语义触发器比随机触发器更隐蔽。

不安全输出与过度代理：将LLM输出视为不可信输入；每个输出目的地独立验证；工具权限最小化；高风险操作人工审批；熔断机制配置。

系统提示词泄露与向量嵌入：凭据永不在提示词中；敏感逻辑服务端强制执行；向量库访问控制与租户隔离；嵌入前PII移除与嵌入加密。

错误信息与无界消耗：承认模型会出错，构建容错系统；关键决策点人工审核；输入大小限制与速率限制；模型提取监控与水印技术。

二、架构防御要点

信任边界：明确所有信任边界的位置；每个边界配置对应的控制措施；检索内容经过来源验证和内容净化。

运行时防护：输入过滤覆盖语义检测（非仅关键词）；输出过滤检测敏感数据和合规违规；工具调用门控验证权限和参数。

访问控制：按用户/按应用密钥管理；Token Scoping与最小权限；审批流与Human-in-the-Loop；模型认证与响应溯源。

数据安全：ACL+ABAC+过滤+标记的多层防御；加密+匿名化+令牌化协同；嵌入安全五原则；RAG数据安全清单执行。

三、治理合规要点

治理架构：明确AI负责人、风险经理和安全工程师的角色；建立审计委员会或内部审查机制；定义升级流程和事件响应预案。

政策体系：书面的可接受使用政策；数据分类、加密和匿名化标准；基于数据类型的保留期限。

合规准备：算法备案（如适用）；安全评估；内容标识（显式+隐式）；评估《生成式AI暂行办法》《算法推荐规定》的适用性。

可审计性：记录模型版本、参数和提示词；不可篡改的审计日志；能够重建任何一次决策的完整链路。

总结

大模型安全的本质不在于恐惧，而在于控制、可见性和韧性。每一个工具、包装器和包都增加了便利，也增加了风险。将依赖视为威胁面的一部分而非可信默认值，将外部数据视为潜在攻击载荷而非无辜上下文，将模型输出视为决策草案而非执行指令——这些思维转变构成了负责任AI工程的起点。

从威胁全景来看，Prompt注入、数据污染、供应链攻击、过度代理、系统提示词泄露、向量嵌入弱点、错误信息、无界消耗——这些风险类别构成了OWASP LLM Top 10的核心框架，也映射了真实世界中已经发生的攻击事件。从架构防御来看，AI防火墙、AI Access Control、AI-SPM、RAG数据安全——这些控制措施正在成为企业AI架构的标准组件。从治理合规来看，欧盟AI法案、NIST AI RMF、ISO 42001、中国多层次规范体系——全球监管框架正在从自愿走向强制。

保护你的AI系统，意味着保护它所依赖的一切。因为在现代AI格局中，一个被攻陷的库就足以瓦解即使最强大的模型防御。安全是设计出来的，不是补出来的。

参考博客列表

1. 《大模型安全：Jailbreak》 大模型安全：Jailbreak_ai jailbreak-CSDN博客

2. 《大模型安全之二：Prompt注入》 大模型安全之二：Prompt注入_prompt注入攻击-CSDN博客

3. 《大模型安全之三：数据污染》 大模型安全之三:数据污染_模型数据集高污染-CSDN博客

4. 《大模型安全之四：供应链安全》 大模型安全之四:供应链安全-CSDN博客

5. 《大模型安全之五：LLM输出安全》 大模型安全之五:LLM输出安全-CSDN博客

6. 《大模型安全之六：LLM过度代理（Excessive Agency）》 大模型安全之六:LLM过度代理（Excessive Agency）_大模型过度代理漏洞-CSDN博客

7. 《大模型安全之七：LLM系统提示词泄露》 大模型安全之七:LLM系统提示词泄露-CSDN博客

8. 《大模型安全之八：向量与嵌入安全》 大模型安全之八:向量与嵌入安全-CSDN博客

9. 《大模型安全之九：LLM错误信息（Misinformation）》 大模型安全之九:LLM错误信息（Misinformation）_winters v. openai案-CSDN博客

10. 《大模型安全之十：LLM无界消耗（Unbounded Consumption）》 大模型安全之十:LLM无界消耗（Unbounded Consumption）-CSDN博客

11. 《大模型安全之十一：拆解现代AI系统的“骨架”：一份安全架构的完整蓝图》 大模型安全之十一：拆解现代 AI 系统的“骨架”：一份安全架构的完整蓝图-CSDN博客

12. 《大模型安全之十二：AI治理如何从原则走向可审计的实践》 大模型安全之十二：AI治理如何从原则走向可审计的实践-CSDN博客

13. 《大模型安全之十三：威胁建模》 大模型安全之十三：威胁建模-CSDN博客

14. 《大模型安全之十四：AI系统安全开发流程：从“保护代码”到“守护行为”》 大模型安全之十四：AI系统安全开发流程：从“保护代码”到“守护行为”-CSDN博客

15. 《大模型安全之十四：AI系统的运行时防护》 大模型安全之十四：AI系统的运行时防护_如何通过ai分析防火墙策略自动化运行本地模型-CSDN博客

16. 《大模型安全之十五：AI Access Control：当“门禁”遇上会思考的系统》 大模型安全之十五：AI Access Control：当“门禁”遇上会思考的系统-CSDN博客

17. 《大模型安全之十六：AI Security Posture Management》 大模型安全之十六：AI Security Posture Management-CSDN博客

18. 《大模型安全之十七：RAG系统中的数据安全与治理》 大模型安全之十七：RAG 系统中的数据安全与治理-CSDN博客

19. 《大模型安全之十八：AI常见漏洞类别与缓解策略》 大模型安全之十八：AI常见漏洞类别与缓解策略-CSDN博客

20. 《大模型安全之十九：从黑箱到透明：Observability与AI Evaluation Tool完全指南》 大模型安全之十九：从黑箱到透明：Observability 与 AI Evaluation Tool 完全指南-CSDN博客