安全透视 | 知识库成了新的数据副本，权限还停在原系统
检索增强生成在企业里已不是新概念。把内部制度、产品文档、工单记录、项目方案导入知识库，让模型基于自有资料作答，这套做法在不少组织里已经落地。落地之后暴露出一个共同的问题：原系统里管得住的权限，进了知识库之后未必继续起作用。
切片把文档拆散了，权限没有跟着拆
构建知识库的第一步，是把文档切成片段再向量化入库。原系统的访问控制通常是文件级或目录级的，一份文档对应一组授权对象；切片是内容级的，主要承载内容本身。切片可以携带元数据，但在不少 RAG 实现中，默认写入的是内容与向量，权限信息并未一并写入。权限元数据一旦缺位，检索阶段就失去了判断依据。同时，向量库中通常还存有原文片段，构成原文档之外的另一份数据副本，往往不在原系统的权限体系与审计链路内，在数据资产清单上也常常没有对应条目。
越权未必在打开文件，可能在回答里·传统越权会在日志上留下痕迹，谁访问了哪个文件、是否命中权限策略，通常可以回溯。知识库改变了这一形态：用户提出问题，检索命中若干片段，模型把这些片段重组成一段通顺的回答。很多场景下，回答不展示完整来源，用户难以判断结论出自哪份文档、自己是否有权查看。同级部门之间可能互相可见，普通岗位可能问到管理层材料，对外服务界面也可能把内部资料呈现给外部访客。这些情形不必然产生“打开文件”动作，常规审计未必能完整捕获。
缺口不止一处，缺一环难闭环
从落地情况看，缺口通常出现在以下几个环节。
入库环节，文档未做分类分级、未核对原有权限就整批导入，缺口从这里开始。检索环节，若按默认配置，向量检索按相似度取前若干条，若不结合用户身份过滤，可检索范围就不随身份变化。输出环节，敏感内容可能被模型改写后带出，输出侧若不做内容检测，这条路径无法拦截；检测本身也可能通过改写、编码等方式被绕过，不宜作为唯一防线。
还有一个易被忽略的环节：文档删除、权限收回后，已入库切片是否同步失效。若只增不删，可能残留“幽灵切片”，同样构成越权来源。任一环节缺失，其余环节做得再细，整体也难以闭环。
把知识库当作一个数据系统来管
较为可行的做法，是把知识库按一个数据系统来管理。先摸清家底：有哪些知识库、哪些文档已经入库、由谁维护，将知识库及其向量数据列入数据资产台账。入库前对齐权限，把原系统的授权关系映射到切片元数据：文档级授权要继承到切片级，用户身份要与既有身份源（如 AD 域、LDAP 目录）对齐，权限变更还需增量同步。检索时结合提问者身份过滤候选片段，而不是统一取前若干条。输出侧对回答内容做检测，降低模型改写敏感信息后带出的风险。同时保留检索日志与问答记录，出现争议时能够还原谁在何时问了什么、命中了哪些片段。涉及个人信息或重要数据的，还需对照《数据安全法》《个人信息保护法》等要求，确认处理依据与授权范围。落地可先覆盖敏感信息、对外服务、跨部门共享的知识库，再逐步扩展。
知识库常常被当作一个 IT 项目来交付，落地之后才发现它是一个新的数据汇聚点。原来管数据的那套办法，需要跟着一起搬进来：入库前把权限对齐，检索时按身份过滤，输出时对回答做检测。
下一个
下一页
