零信任架构在企业大模型安全中的应用研究报告

零信任架构在企业大模型安全中的应用研究报告

1. 引言：大模型与智能体时代的网络边界坍塌与架构重构

随着全球数字化转型的不断深入，人工智能（AI）尤其是大语言模型（LLM）与智能体（Agentic AI）技术正以前所未有的速度重塑企业级IT架构。行业调研数据表明，人工智能正从概念验证走向核心生产力环节，超过91%的组织正在将大语言模型系统部署到关键业务流程中。然而，在企业充分享受生成式AI带来的生产力飞跃时，传统基于物理和网络拓扑的“边界安全防御”模型（如防火墙、VPN）已遭遇了底层逻辑的全面失效。

传统网络安全的基石建立在一个核心假设之上：企业内部网络是可信的，外部网络是不可信的。早期的网络安全架构（如“护城河”模式）试图通过强化边界来抵御威胁。随着云计算、移动办公和SaaS的普及，耶利哥论坛（Jericho Forum）以及随后谷歌主导的BeyondCorp项目证明了基于物理边界的安全控制已经不足以应对现代攻击威胁，网络流量不应因为其地理位置而被默认信任。这一思想催生了零信任架构（Zero Trust Architecture, ZTA），其核心原则是“从不信任，始终验证”。

进入大模型与智能体时代，传统架构面临的挑战被指数级放大。在传统的软件工程中，代码（指令）与数据（输入）占据着完全隔离的运行域。例如，传统的SQL注入攻击可以通过参数化查询得到有效缓解。然而，大模型架构打破了这一清晰的边界。对于大语言模型而言，自然语言指令与外部读取的数据在同一个上下文中被处理，模型本身无法从根本上区分“合法系统指令”与“数据中夹带的恶意注入”。这种代码与数据边界的坍塌，创造了一种传统软件中不存在的全新漏洞类别。

与此同时，伴随AI智能体的广泛应用，AI系统不再仅仅是被动地接收提示词并生成文本（如早期的聊天机器人），而是拥有了意图理解、工具调用、长期记忆和自主执行多步任务的能力。这种系统性的自主权意味着，一旦模型或智能体遭到劫持，其引发的级联破坏将以机器速度在企业内网中蔓延。面对这种“默认不可信”且“动态高风险”的计算环境，零信任架构不仅是应对复杂网络环境的利器，更成为了唯一能够适配大模型底层逻辑的安全范式。本报告将系统性地探讨大模型时代的安全威胁演进，深入剖析零信任架构在检索增强生成（RAG）、智能体身份认证、模型网关等核心链路中的技术实践，并结合主流科技巨头的落地案例与最新合规标准，为企业构建内生安全的AI基础设施提供详实的架构参考。

2. 大模型与智能体时代的安全威胁演进

要构建有效的零信任防御体系，必须首先深刻理解企业大模型所面临的独特安全威胁。大模型应用的安全风险已从单纯的“内容生成合规”，演进为复杂的“自治行为失控”与“数据越权访问”。开放全球应用安全项目（OWASP）针对大型语言模型应用发布的Top 10安全风险（2025版），为业界提供了一个标准化的威胁分类框架。

2.1 智能体架构带来的新攻击面

传统大模型应用（如基础的ChatGPT或Copilot扩展）通常是被动的：它们接收输入并生成输出，依赖人类用户来决定是否采纳这些输出。然而，现代智能体系统是主动且自治的，它们在循环中运行，保持对先前行动的记忆，并持续提示大模型以达到预定目标，同时通过工具（Tools）和应用程序接口（APIs）与外部系统进行交互。

这种从“被动生成”到“主动执行”的范式转变，极大地扩张了安全风险的爆炸半径。智能体的能力很大程度上来自于其接入的工具链，如果一个智能体可以访问企业数据库、邮件系统、客户关系管理（CRM）系统或代码仓库，那么攻击者无需攻破这些系统本身的防御，只需通过巧妙的提示词诱导智能体合法地调用这些工具，即可完成数据窃取、越权操作或资源消耗。多源信任域的交叉使得问题更加复杂。一个典型的AI智能体在单次任务执行中，可能需要同时持有大模型提供商的API密钥、企业SaaS应用的OAuth令牌、云数据库的托管身份凭证以及本地遗留系统的访问凭证。这种跨协议、跨边界的并发访问，使得单点身份管理和传统的网络隔离技术完全失效。

2.2 OWASP Top 10 for LLMs (2025版) 深度解析

OWASP在2024年底至2025年初对LLM应用安全风险清单进行了重大更新，以反映智能体AI的快速增长、真实世界安全事件的教训以及新型攻击技术的出现。更新后的风险列表更加关注运行时行为、工具调用以及RAG系统特有的脆弱性。

表 1：OWASP 大模型应用Top 10安全风险（2025版）及其零信任缓解策略分析

深入分析上述风险可以发现，无论是提示词注入、数据越权还是过度代理，其本质都在于大模型系统在处理复杂交互时缺乏内建的强制边界。如果企业仅仅在应用层增加一些静态的过滤规则，或者依赖模型自身的系统提示词（System Prompt）来“约束”其行为，这种防御是极其脆弱的。安全防御的重心必须转移到大模型外部的基础设施层，通过实施体系化的零信任架构来构建确定性的安全控制边界。

3. 零信任架构的演进：从最小权限到最小代理权

零信任（Zero Trust）并不是一项单一的技术，而是一套演进的网络安全范式，其将防御的焦点从静态的网络边界转移到了用户、资产和资源本身。在云安全联盟（CSA）发布的《在LLM环境中利用零信任保护企业信息》及美国国家标准与技术研究院（NIST）的SP 800-207标准中，零信任架构被定义为“假设不存在天然可信的网络区域，任何主体访问资源之前都必须经过认证和授权”。将这一理念映射到大模型与智能体环境，意味着企业必须放弃对模型输出的盲目信任。

3.1 零信任架构在AI环境中的适配性原则

在传统的企业网络中，一旦用户通过了VPN或边界防火墙的认证，往往能获得广泛的内部网络访问权限。这种“一劳永逸”的信任机制在面对凭证盗窃或内部威胁时显得无能为力。零信任架构通过实施以下核心原则来打破这一僵局：

首先是“永不默认信任，始终验证（Verify Explicitly）”。在AI环境中，这意味着不应仅仅因为请求来自企业自建的模型或是经过认证的员工账号，就默认该请求是安全的。每一个由用户发起或由AI智能体自主触发的交互，都必须根据身份、设备健康度、地理位置以及当前业务上下文进行实时、持续的评估与认证。

其次是“假设已被攻破（Assume Breach）”。安全团队必须假设系统内部已经潜伏着威胁——无论是被污染的微调数据集，还是已经被间接提示词注入劫持的智能体。在此前提下，系统的安全控制不能依赖于大模型内部的推理逻辑或护栏（因为模型本身可能已不可信），而必须依赖于外部确定性的基础设施控制，例如API网关的硬性阻断、网络层的微隔离（Micro-segmentation）以及数据库层的参数化查询限制。

3.2 范式升级：从“最小权限”向“最小代理权”跃迁

在身份与访问管理（IAM）领域，最小权限原则（Least Privilege）一直被奉为圭臬，其核心是限制用户仅能访问其执行当前任务所必需的最少数据和资源。然而，在智能体AI时代，传统的最小权限原则已经不足以完全覆盖新出现的行为风险。

研究机构Zenity的报告指出，尽管传统身份治理关注资源的访问控制，但这并不能约束智能体的自治行为。数据显示，高达80%的组织报告其AI智能体曾执行过超出预期范围的操作，包括访问未授权系统、不当分享敏感数据以及泄露凭证。传统权限模型假设“只要用户有权限读取数据，其行为就是安全的”。但对于智能体而言，它可以在完全合法的权限范围内，执行违背既定业务意图的操作。

因此，零信任架构在AI环境中必须演进出“最小代理权（Least Agency）”原则。最小代理权不仅仅关注“能访问什么”，更关注“能做什么、何时做、以何种频率做，以及在何种上下文中做”。

最小代理权的实施依赖于几个关键维度的约束：

1. 决策预算（Decision Budgets）：为智能体分配有限的决策和执行额度。例如，一个自动化营销智能体可能被允许每天发送不超过100封邮件，超过此阈值必须触发人工审批。这限制了单次失控可能造成的爆炸半径。
2. 运行时动态作用域（Runtime Scoping）：摒弃静态分配的全局权限，转而采用及时（Just-In-Time）和恰好（Just-Enough-Access）的动态授权模式。智能体在执行任务时临时申请最小化作用域的令牌，任务完成后立即收回。
3. 行为边界监控：建立智能体行为的基线模型，持续评估其操作轨迹是否符合预期目标，一旦发生行为漂移（Behavioral Drift），立即触发零信任策略引擎进行降级或阻断。

通过将零信任的核心原则升级为以“最小代理权”为核心的治理框架，企业能够在释放智能体自动化潜力的同时，有效遏制其自治能力带来的内生风险。

4. 零信任大模型安全的核心架构与技术实现

要将零信任理念真正落地于大模型业务系统，企业需要摒弃修修补补的传统思路，从知识库检索、身份验证、请求网关到底层网络基础设施四个关键维度，进行端到端的架构重构。

4.1 RAG知识库：向量层的细粒度权限管控

检索增强生成（RAG）是目前企业落地大模型最普遍且价值最高的应用模式。然而，由于将公共网络RAG模式原封不动地移植到私有组织中，几乎所有早期的企业RAG部署都遭遇过同一种故障模式：越权检索。例如，一名普通员工通过向内部AI助手提问，系统利用语义相似度匹配，返回了该员工本无权查看的机密HR薪酬文档或高管会议纪要。

这种安全故障的根源在于，公共网络的数据语料是同质且无需访问控制的，而企业内部的数据（分散在Confluence、Slack、ERP系统等）具有高度交叉且不一致的权限模型。当企业将这些异构数据统一索引到向量数据库（Vector Database）后，如果没有额外的控制手段，检索层就成了权限提升的绝佳攻击面。

许多开发团队试图采用最直接的修复方案：“在应用代码层过滤结果，即在大模型生成回答之后，再判断用户是否有权查看该内容。”这在零信任原则下是完全无效的。因为一旦未授权文档被检索并提交给模型处理，数据暴露的损害已经产生，攻击者极易通过提示词技术绕过应用层的应用过滤。

权限感知检索（Permission-Aware Retrieval）的零信任实现

真正的零信任RAG架构必须将访问控制的边界下推至向量检索层（Vector Layer），从底层机制上实现强制的细粒度数据隔离。其具体实现过程分为三个关键阶段：

1. 入库与元数据打标阶段：在文档解析、切分（Chunking）并生成向量存入数据库（如Chroma, FAISS）时，系统必须为每一个数据块打上代表其访问策略的元数据（Metadata）标签。这些标签应详细反映该数据块的归属部门、机密等级、角色白名单（RBAC属性）以及相关环境属性（ABAC属性）。
2. 查询与上下文注入阶段：当前端用户发起请求时，零信任拦截网关首先调用统一身份认证系统获取当前请求用户的详细权限凭证及身份上下文（例如，在阿里云百炼平台上，可通过框架获取当前用户的权限组）。
3. 检索前置过滤（Pre-retrieval Filtering）：系统将用户的身份属性转化为硬性过滤条件，注入到向量数据库的相似度查询语句中。这样，向量存储在执行语义匹配时，从一开始就会剔除当前用户未获授权的文档块。由于模型在推理时永远无法“看见”这些越权数据，这就从物理层面上杜绝了模型生成越权内容的可能性。

这种单库多分组、基于标签的轻量化鉴权服务方案，不仅避免了复杂的微服务重构，还能在保持高性能检索的同时，实现跨部门强隔离和文档白名单级别的细粒度管控。

4.2 AI Agent的动态身份验证与多协议授权

传统微服务架构中，工作负载通常只需使用单一凭证连接少数几个固定API。然而，AI智能体的工作流异常复杂。一个高级智能体在执行任务时，可能需要通过模型上下文协议（MCP）并发连接大模型提供商（使用API Key）、企业级SaaS应用（使用OAuth令牌）、云端对象存储（使用托管身份凭证），以及内部遗留系统。

摒弃静态凭证，建立机器非人类身份（NHI）治理

主流的AI开发工具包（如OpenAI SDK、Anthropic SDK）在设计上默认要求在客户端初始化时提供静态API密钥，并将其长期保留在应用内存中。在零信任架构下，这种长期驻留的静态凭证是极度危险的攻击面，一旦内存被转储或日志泄露，企业将面临灾难性后果。

解决这一问题的核心在于建立完善的机器非人类身份（Non-Human Identities, NHI）管理体系：

1. 独立加密身份：企业必须像对待人类员工一样对待AI进程，为每一个Agent或模型实例分配独立的、可验证的加密数字身份凭证，并绑定专有的角色和权限集。
2. 基于任务的短效授权机制：彻底淘汰长效静态密钥。Agent不应直接持有底层资源的长期凭证，而是通过安全认证层，采用OAuth 2.1等行业标准协议。在需要调用特定工具时，Agent发起授权请求，认证服务器下发仅针对特定操作、有效时间极短的访问令牌（Access Token），任务结束后令牌自动失效。
3. 所有权证明（Proof-of-Possession, PoP）安全绑定：为了应对令牌窃取威胁，请求不仅需要携带访问令牌，还必须在密码学上与发起调用的Agent绑定（例如通过双向TLS或签名校验）。即使令牌被窃取，缺乏私钥的攻击者也无法重放请求。
4. 代理链与身份传递：在多Agent协同（一个Agent调用另一个Agent）的复杂交互链条中，必须支持RFC 8693等令牌交换协议，确保原始用户的身份上下文、限制条件和凭证能够沿着交互链路无缝传递和强制执行，确保全流程的身份可审计性。

4.3 持续信任评估与大模型安全网关 (LLM Gateway)

在零信任的“持续验证”原则下，认证不应是一次性的静态门禁。大模型安全网关（LLM Gateway）作为企业网络中关键的策略执行点（PEP），承担了保障动态安全的核心角色。传统API网关的设计假设服务端是确定性的，且主要处理模式化故障，这显然无法应对Agentic AI系统带来的动态意图和难以预测的模型幻觉。因此，部署专属的AI安全网关成为必然选择。

实时动态信任评分机制 (Real-time Trust Scoring)

现代大模型网关能够在微秒级对所有双向交互流量进行深度检测，实施动态信任评分。计算逻辑通常涵盖以下维度：

• 多维上下文分析：网关实时收集并评估请求的地理位置、时间戳、请求频率（Velocity）、设备指纹以及网络环境。
• 行为轨迹与漂移检测（Behavioral Drift）：结合机器学习模型，系统会实时分析Agent的当前操作路径是否符合其既定角色的历史基线。例如，若一个被授权进行“数据摘要”的助手突然高频调用“数据库全表扫描”接口，系统将立即判定其行为发生严重漂移。
• 自适应策略执行：根据实时计算的信任分数（Trust Score），网关采取相应的自适应措施。对于低风险常规调用，流量无缝放行；对于中高风险调用，可能触发升维认证机制（如要求人类在环审批或推送MFA二次验证）；而对于明确违反安全策略或检测出严重注入特征的请求，则直接在协议层予以阻断。

突破零信任性能瓶颈：AI网关的延迟评估

企业在引入零信任流量拦截与深度包检查机制时，最主要的顾虑在于其可能引入不可接受的性能损耗（Latency Impact）。然而，根据最新的行业基准测试数据，专为大模型业务优化设计的高性能网关不仅解决了安全顾虑，还在很大程度上提升了系统的整体性能表现。

传统API网关由于未针对大模型流式传输特点及高并发场景进行底层重构，响应延迟较高且波动较大。而基于Rust或Go语言研发的现代AI原生网关（如Bifrost，在每秒5000并发的高压下仅引入约11微秒的极低开销；TrueFoundry引入约3-4毫秒开销；TrustGate控制在2.5毫秒左右）在提供全方位拦截防护的同时，几乎不对用户体验产生任何感知影响。更为关键的是，这些网关内建了智能语义缓存（Semantic Caching）机制，对于结构相似或意图重复的提示词请求，能够直接返回历史安全结果。这不仅将响应延迟降至接近于零，还有效抵御了资源枯竭攻击，并为企业节省了高达80%的模型推理Token成本。这种“以安全促性能”的架构创新，使得网关成为企业不可或缺的基础设施。

4.4 基础设施与协议层的纵深防御

大模型的零信任不应仅仅停留在提示词注入过滤或应用代码的护栏设计上，必须坚决地将其下沉至网络和系统架构的底层逻辑中。

实施细粒度微隔离（Micro-Segmentation）

微隔离技术是应对数据中心内部东西向（内部资源间）流量横向移动的核心武器。在AI环境中，微隔离不仅针对网络节点，更深入到租户、模型实例及特定知识库层级。通过为模型服务器、向量数据库、MCP工具接口及外部API调用通道建立动态隔离边界，即使某个被过度信任的AI智能体遭到攻击者彻底控制，其也无法突破预设的网络微区段访问其他核心系统。这种基于身份和角色的细粒度微分段隔离，有效地将单点失陷的爆炸半径压缩到极限。

确定性外部控制原则（Deterministic External Controls）

这也是构建大模型安全体系中最为重要的一条原则：绝不能依赖大模型自身的推理能力来进行安全访问控制。大模型是概率引擎，容易被诱导和欺骗，因此不能依靠它自己去判断“我是否应该执行这段可能具备破坏性的系统命令”或“用户是否有权限查询这条敏感数据”。

组织必须在智能体的推理循环之外，通过确定性的基础设施控制来强制实施安全策略。这意味着所有的API权限校验、数据库读取限制（如行级安全控制RLS）、应用身份认证和出站网络边界防火墙等传统安全机制必须被保留甚至加强。将生成模型置于一个严格限制动作空间的沙箱中执行，是遏制大模型幻觉与越权攻击的最后且最有效的防线。

5. 全球科技巨头与行业的零信任大模型实践

全球主流的云计算提供商和安全厂商已敏锐洞察到大模型带来的安全挑战，正加速将零信任能力与AI生态进行深度融合。根据IDC的最新报告，2024年中国零信任网络访问（ZTNA）解决方案市场规模已达26.4亿元人民币，并以超过13.5%的年增速稳步扩张。深信服、奇安信、腾讯等国内核心厂商均在积极推动“AI赋能零信任”以及“将零信任融入大模型保护”的双向战略落地。

5.1 云计算巨头的大模型零信任平台建设

微软 (Microsoft Azure)：ZT4AI架构的全局整合

微软不仅是零信任理念的积极倡导者，更将其深度融入其庞大的AI产品线中。微软推出了专属的“AI零信任参考架构（Zero Trust for AI, ZT4AI）”，旨在为企业安全团队提供统一的思维模型与部署指南。

在具体实践中，微软紧紧依托其核心身份中枢Microsoft Entra ID。对于企业部署的每一个自主或半自主AI智能体，系统均通过Entra Agent ID为其分配专属的托管机器身份，并通过访问包（Access Packages）对其可用资源进行严格框定。微软还将Entra的条件访问（Conditional Access）能力延伸至智能体范畴，实时评估每个智能体发起的工具调用请求。更为出彩的是其数据保护的协同效应：借助Microsoft Purview，企业可以为内部数据打上敏感度标签，AI智能体在检索并生成包含这些标签内容的摘要或报告时，输出文件将自动继承原始数据的防泄漏（DLP）策略。这一机制完美实现了数据资产在AI处理流转全过程中的溯源与继承保护。

谷歌云 (Google Cloud)：网关级防护与智能体审计

Google在保障其Vertex AI平台的安全性上采取了极其严密的零信任框架。它不仅仅提供身份验证，更强调全生命周期的威胁检测。

Google推出了强有力的AI防护组件——Model Armor。Model Armor充当AI专属安全网关，与Vertex AI直接集成。它能够在提示词与模型响应的双向链路上，实时发现并屏蔽越狱攻击、恶意URL及敏感数据。针对智能体生态的蓬勃发展，Google进一步增强了Security Command Center（SCC）的审计能力，不仅能实现AI智能体及MCP服务器的自动化盘点，更能实时拦截针对智能体交互的运行时攻击，有效阻断了工具链层面的非法利用。通过Chrome Enterprise Premium，Google实现了终端用户向云端AI应用发起请求时的强制情境感知身份验证，从而彻底消灭了隐式信任。

国内厂商实践：华为云、阿里云与奇安信

国内领先云厂商同样走在前列。华为云将其盘古大模型的安全实践经验总结并服务化，打造了覆盖模型环境、数据流转、内容安全与统一运营的全栈解决方案。该方案通过专区多样化隔离与全链路加密机制，确保在数据流转过程中极低的性能损耗，同时，其意图行为检测引擎能够精准识别超过90%的提示词攻击及智能体行为偏离。

阿里云在RAG系统权限控制方面贡献了极具借鉴意义的实战案例。在百炼大模型平台上，阿里云通过底层标签技术对知识库进行细粒度网格化管理。借助魔笔（Mobi）等企业级前端应用框架，开发者可以轻松地将企业原有的RBAC权限组与向量数据库底层检索接口打通，实现了查询环节的强制权限前置过滤。

奇安信等安全专业厂商则推出了如“大模型卫士”等垂直安全产品，从合规评估、输入输出安全管控等维度，为金融、政务等高合规要求行业提供全生命周期的AI安全保护支撑。

5.2 金融行业AI驱动的零信任案例剖析

金融行业因其极高的数据敏感度、严苛的合规要求以及面对的持续高级攻击（APT），成为了检验零信任大模型架构效能的“试金石”。

以网络安全服务商Armorstack协助一家资产管理规模（AUM）达120亿美元的财富管理公司实施的零信任改造项目为例。该金融机构曾饱受针对其高净值客户资产和顾问账号的定向钓鱼攻击与账户接管威胁之苦。面对高级别攻击，其传统的、依赖“护城河”式虚拟专用网络（VPN）的安全防御体系显得力不从心。

该机构果断推进架构重构，部署了基于零信任理念且深度融合AI安全驱动引擎的综合平台。改造的核心措施包括：

1. 废除隐式网络信任：全面拆除永远在线的VPN隧道，以SASE/ZTNA（安全访问服务边缘/零信任网络访问）取而代之。对所有请求执行基于“每次会话、每个应用”的持续性身份与上下文校验。
2. 微隔离遏制威胁蔓延：在网络内部署细粒度微隔离策略。网络被划分为极小的安全区段，访问控制策略随设备健康度和用户身份动态调整，极大削弱了攻击者横向移动的能力。
3. 部署AI反钓鱼引擎：引入经过微调的AI异常检测模型，专门识别针对金融业务场景的复杂欺诈模式，如高度仿真的电汇指令伪造、顾问域名仿冒等高级商业电子邮件妥协（BEC）攻击。

该项目的实施成效极为显著：全新架构上线后，该机构实现了高达99.4%的钓鱼攻击拦截率；总体安全事件警报数量骤降85%（过滤了大量低优先级的误报，极大减轻了安全运营团队的压力）；成功拦截了一次企图通过已受损内部账户发起的数据窃取事件并将影响限制在单一隔离区内；最终，该机构以“零缺陷（Zero Findings）”的完美成绩，一次性通过了针对机构服务商极其严苛的SOC 2 Type II合规审计。这一真实案例充分证明了，以零信任为底座、结合AI安全增强的架构，是金融及其他高安全需求领域应对新一代网络威胁的核心密码。

6. 大模型安全的监管合规与标准化进程

任何颠覆性技术的健康发展都离不开标准化体系的支撑与前瞻性监管的约束。面对大模型系统的高度复杂性及其对国家安全、社会伦理可能构成的深远影响，全球监管机构与标准化组织正密集出台相关标准与指引。

6.1 中国国家标准：TC260《生成式人工智能服务安全基本要求》

为有效规范生成式AI服务的合规发展，中国全国网络安全标准化技术委员会（TC260）在2024年初正式发布了重磅国家标准《网络安全技术 生成式人工智能服务安全基本要求》（TC260-003）。该标准为大模型服务提供者制定了详尽的准入底线及合规评估框架，许多条款的设计初衷与零信任的数据管控理念高度契合：

• 语料安全与物理隔离存放：标准在训练与微调数据管理上提出了极高要求。服务提供者不仅需要针对“功能性”和“安全性”分别制定独立的标注规则，还特别强调“安全性标注数据应进行隔离存储”。这种在物理和逻辑层面对高危、敏感语料进行的切分管理，正是零信任数据微隔离（Micro-segmentation）原则的体现。
• 31种明确安全风险与90%合格率红线：标准的附录中详细列举了高达31种生成内容安全风险，并规定服务提供者在上线前必须保证模型生成内容的抽样合格率不得低于90%。特别是针对违法不良信息、偏激言论及明显诱导等内容，模型必须具备严格的“拒答机制”。为此，企业被要求建立规模不少于500题的专门针对安全风险的“应拒答测试题库”。
• 强制的持续监测拦截机制：标准明确规定，“在每次对话中，应对使用者输入信息进行安全性检测，引导模型生成积极正向内容”。这一条款从合规角度确立了在对话双向链路中部署持续检测网关（LLM Gateway）的必要性，使得动态拦截成为开展AI业务的法定前提。

6.2 零信任向供应链与AI-BOM的延伸

在大型语言模型与智能体的生态系统中，组件的来源极为繁杂，包含开源模型权重、来自各个机构的预训练语料、外部托管的向量数据库以及由第三方维护的智能体操作插件。正如Anthropic发布的《AI Agent零信任框架》白皮书所指出的，传统的软件供应链安全手段已经捉襟见肘，管理供应链风险必须被置于实施零信任架构的早期核心阶段。

为此，业界提出了“AI物料清单（AI-BOM）”的概念。AI-BOM旨在全面、不可篡改地记录大模型业务系统的所有组件血缘，包括基础模型提供商信息、模型架构版本、训练和微调数据集的出处、RAG知识库的外部数据拉取源，以及所有集成的MCP插件与API的依赖关系。

在零信任策略引擎做出访问控制决策时，系统可以通过校验AI-BOM中记录的数字签名和哈希值，实时核准当前调用的插件或访问的特定微调模型是否在企业的安全白名单内，是否遭到了第三方的隐蔽投毒或篡改。构建统一规范的AI-BOM，并将其与零信任持续验证机制相融合，标志着大模型安全治理正向着极度透明、可追溯和不可抵赖的高级成熟度演进。

此外，中国信息通信研究院（CAICT）等权威智库也在积极推动零信任技术向更广阔场景的赋能。在其牵头制定的零信任能力提升计划与洞察报告中，将零信任视为数字建设的关键，明确倡导利用AI技术反哺零信任体系（AI-Driven ZTNA），通过AI的强大分析能力辅助安全运营中心（SOC）动态优化访问控制策略，实现安全运营效能的数量级提升。

7. 总结与前瞻：构建AI原生的企业安全战略

企业架构从“人工配置规则”向“AI智能体高度自治”的跨越，代表了IT生产力的又一次深刻革命。然而，随着大模型系统能力的边界被不断拓宽，其带来的未知威胁、数据泄露及权限滥用风险同样呈现出非线性的指数级飙升。面对能够混淆指令与数据、具备多维交互能力的AI系统，建立在“内外网边界”与“单次授权”假设之上的传统安全防护理念已然彻底失效，甚至可能成为阻碍企业全面拥抱人工智能的重大隐患。

综合行业理论研究与实践案例分析，本报告得出核心结论：零信任架构（ZTA）绝非大模型应用过程中的一项“可选附加组件”，而是保障AI系统正常、安全运行所必不可少的“内生基础底座”。通过实施零信任，企业能够在最大程度释放AI创新能力的同时，确保业务系统处于确定性的控制之下。

针对正处于大模型业务系统建设期或计划引入智能体的企业，本报告提出以下体系化的战略安全建设建议：

1. 重构RAG知识检索的底层权限边界：企业必须摒弃在应用层对大模型生成内容进行事后过滤的侥幸心理。应严格落实“权限感知检索”，在数据入库向量化（Embedding）的源头即完成元数据级别的标签化配置，将RBAC/ABAC（基于角色/属性的访问控制）策略强行下压至底层向量数据库检索层（Vector Search Layer）。实现“无身份不检索”，从物理上阻断大模型接触越权数据的可能。
2. 全面践行智能体“最小代理权（Least Agency）”：针对高度自治的Agent系统，严禁向其授予硬编码的静态API凭证。企业需依托统一身份管理平台，建立以机器非人类身份（NHI）为核心的管理闭环。利用OAuth 2.1、MCP等协议分发具备所有权证明的动态短效令牌，精确框定智能体可调用的工具子集，并通过严格设定的“决策预算”机制限制其执行单次异常任务可能造成的最大爆炸半径。
3. 强制部署高性能AI安全专属网关：在充分考量业务响应性能（选择将延迟开销控制在个位数毫秒级的现代网关）的前提下，全面部署AI安全网关。以此作为整个企业AI架构的统一零信任策略执行点（PEP），实现所有LLM相关流量的集中合规审计、提示词恶意注入过滤、输出结果的细粒度脱敏（DLP）拦截，以及基于Token消耗的成本管控防线。
4. 构建基于异常检测的持续信任评估引擎：静态授权已不足以应对大模型幻觉与行为偏离。企业应将现有安全运营中心（SOC）的日志审计、用户实体行为分析（UEBA）与大模型系统的操作路径监控进行深度整合。建立智能体操作基线，一旦检测到高风险的工具调用偏离或违规的数据嗅探行为，由信任引擎实施毫秒级的动态降级强制审批，甚至物理阻断。

随着网络形态的消融与应用重构，基于持续验证的身份与数据隔离已成为企业在数字时代新的坚固护城河。唯有将“从不信任，始终验证”的零信任基因深植于大模型的语料准备、知识检索、模型推理与外挂工具调用的每一个微小环节中，企业才能在席卷全球的人工智能技术风暴中，不仅走得快，而且走得稳。