授权问诊智能体访问核心病历：医院网络隔离策略

在医疗数字化转型的深水区，以大语言模型（LLM）为底座的生成式人工智能（GenAI）与多智能体（Multi-Agent）系统正重塑医疗服务形态。2025年至2026年间，医疗行业的智能化焦点已从单纯的“模型参数竞赛”全面转向“智能体驱动的业务重构”与“Agent-Ready（智能体就绪）能力建设”。国际数据公司（IDC）的预测表明，到2027年，通过应用智能自动化技术优化临床与运营工作流，中国医疗行业将节省高达400亿美元的费用。诸如清华大学智能产业研究院（AIR）推出的虚拟医院“Agent Hospital”以及医学智能体自我进化方法“MedAgent-Zero”，已经证明了由大模型驱动的自主智能体能够完成从分诊、挂号、问诊到诊断、开药的“院前-院中-院后”闭环流程。

然而，这种深度的业务融合意味着医疗问诊智能体不可避免地需要直接调用或生成电子病历（EMR）、临床决策支持系统（CDSS）及医院信息系统（HIS）中的高敏感数据。授权跨网运行的智能体访问核心病历数据库，直接挑战了医院长期建立的传统物理网络边界与安全基线。当智能体具备读取本地文件、调用网络API接口、跨越安全域执行结构化查询的极高系统权限时，传统基于静态规则的网络隔离与访问控制模型已显现出严重的“资产盲区”与“失控风险”。本报告将深入剖析医院核心病历系统在接入AI智能体场景下的网络隔离策略演进，结合零信任架构（ZTA）、现代化身份验证框架（PBAC与Workload Identity）以及跨网数据脱敏交换技术，构建一套内生于医疗业务工作流的安全防护体系，为医疗机构提供前瞻性的技术蓝图与战略指引。

1. 医院核心网络的演进与传统隔离策略的瓶颈

医院网络架构的复杂性源于其承载业务的异构性与高并发性。随着远程医疗、医疗物联网（IoT）和移动互联网业务的爆发，传统以物理隔离为核心的安全护城河正面临“互联互通”与“数据孤岛”之间的深刻矛盾。

1.1 物理与逻辑隔离的传统架构设计

我国医院网络的传统建设模式普遍采用内网（承载HIS、EMR等核心业务）、外网（互联网应用）、智能化专网（安防监控等）及无线物联网等多套网络物理隔离的模式。依据《综合医院建筑设计规范》（GB51039-2014）与《医疗建筑电气设计规范》（JGJ312-2013）的指导原则，信息重要级别及安全程度不同的网络宜分别设置专用网与公用网，且核心交换机应采用冗余设置（如三级医院核心交换机采用1+1冗余）。在典型的“五网合一”融合网络架构中，园区网络采用万兆主干、千兆到桌面的核心-汇聚-接入三层架构，并通过“多虚一”虚拟化技术满足可靠性要求。

在物理隔离模式下，网络通过专用的隔离硬件（如安全隔离与信息交换系统、网闸）实现链路层的彻底断开。网闸设备通常采用“2+1”安全体系架构，即由内网处理单元、外网处理单元及隔离数据处理装置组成。其核心机制在于利用专有的电子开关ASIC芯片实现协议剥离与无协议GAP反射技术，彻底阻断TCP/IP等网络层级的已知与未知攻击，通过P2P非TCP/IP协议传递原始数据，确保两端网络不产生直接的物理连接。物理网闸还支持丰富的工业协议（如OPC、Modbus）与视频协议（SIP/GB28181），以满足现代医院物联网设备与监控系统的跨网需求。

然而，尽管物理隔离满足了极高的保密规定与等保合规要求，但其高昂的建设成本、复杂的运维管理以及低下的设备利用率，使其成为智慧医院跨网流转实时大数据的严重障碍。为了在成本与效率间寻找平衡，逻辑隔离技术被广泛采用。逻辑隔离通过VLAN（虚拟局域网）、防火墙及微隔离技术，在共享物理硬件资源的基础上划分出相对独立的子网（如内网数据中心、DMZ区、对外互联区等）。逻辑隔离的优势在于预算友好，支持通过修改软件规则快速调整隔离范围，且无需重复部署物理线路。但是，逻辑边界的模糊性也带来了致命弱点：一旦内网前置机或特定终端被利用弱口令或未修复的系统漏洞攻破，勒索病毒（如WannaCry）即可通过蠕虫式传播横向移动，直接操纵EMR或PACS等核心系统，造成不可估量的内网安全危机。

1.2 医疗大模型部署模式对网络边界的冲击

医疗问诊智能体的引入，使得内外网数据交互的流量特征与风险面发生了质变。医疗机构在部署AI智能体时，通常需要在“云端调用”与“本地私有化”之间进行战略抉择，这直接决定了网络隔离架构的设计走向。

云端部署模式（如依托Google Cloud、阿里云等提供的全栈式AI能力）具有无需前期硬件投入、模型迭代迅速、开箱即用等显著优势。然而，将敏感的患者诊疗数据长距离传输至第三方云端服务器，面临着极高的隐私泄露风险与《网络安全法》、《数据安全法》的合规挑战。特别是《人口健康信息管理办法(试行)》明确规定，不得将人口健康信息在境外的服务器中存储，这对数据跨境流动提出了严格管控。

相比之下，本地私有化部署成为众多三甲医院的首选。本地部署将AI模型、推理引擎及智能体运行环境全部安装在医院自有设备或私有云中，数据完全保留在本地设备，不出内网，从而在根本上保障了隐私安全。例如，蚂蚁集团联合华为、阿里云等推出的“蚂蚁医疗大模型一体机”，基于国产算力底座（如KunLun G5580）实现了“训推一体”的私有化部署。该方案结合可信执行环境（TEE）技术，实现了数据可用不可见及诊疗过程的全程可溯源。尽管本地部署需要较高的一次性硬件投入（如采购高性能GPU集群），但在长期运营中，其在数据绝对控制权、离线可用性以及规避单次Token调用计费方面展现出显著的综合效益。

无论是哪种部署模式，问诊智能体不仅需要接收患者通过互联网终端发起的非结构化病情描述，还需要实时跨网向内网核心CDSS与EMR系统发起患者历史病历、检验检查报告的检索请求（即RAG架构的检索增强生成）。这种高频、实时、细粒度的跨域API调用，使得原本设计用于单向同步或定时批量摆渡的跨网网闸面临极高的并发延迟压力与深度应用层协议解析的挑战。

2. 跨越边界：零信任架构（ZTA）与智能体身份治理

面对AI智能体可能引发的越权访问、横向移动与恶意指令执行，传统的“基于边界防护”安全模型已宣告失效。业界普遍共识是将零信任架构（Zero Trust Architecture, ZTA）作为下一代医疗网络建设的新基座。零信任概念最早源于耶利哥论坛（Jericho Forum），后经谷歌的BeyondCorp项目实践，确立了“从不信任，始终验证”的核心原则。该架构要求默认情况下的任何请求——无论其发起于内网还是外网——都不可信，必须对每一个访问请求进行设备合规性检查、身份认证与最小权限授权。在Anthropic发布的《Zero Trust for AI Agents》安全白皮书中，零信任架构被细化为基础层（Foundation）、企业层（Enterprise）与高级层（Advanced）三层结构，并规划了八个阶段的实施路径，全面应对智能体带来的新型风险。

2.1 智能体身份危机与主客体混淆问题

在探讨AI智能体的权限分配前，必须认知到一个深层的安全痛点：主客体混淆问题（Confused Deputy Problem）。在传统网络环境中，安全理论假定发起请求的是具有明确意图的自然人。然而，当多智能体协作系统（Multi-Agent System）开始介入复杂任务时，智能体不仅需要充当信息检索的工具，更成为独立决策与执行任务的实体。

若采用传统的OAuth 2.0授权体系，智能体在被触发时往往直接继承了用户的全部权限范围。这种架构存在极大隐患。在一个对话回合中，智能体的“角色”可能会从单纯的只读查询转变为具备写入能力的代码执行状态。由于智能体既不是人类，其行为模式也不稳定，这种静态角色的继承导致了极大的漏洞攻击面。若攻击者在输入端植入恶意提示词（Prompt Injection），就能欺骗继承了高权限的智能体，滥用其权限横向移动，执行非授权的病历窃取或系统破坏操作，而目标系统由于看到的是完全合法的用户凭证，不会采取任何拦截措施。

为了解决这一问题，必须将AI智能体视为独立的安全主体，为其建立专属的工作负载身份（Workload Identity）。工作负载身份是专为自动化任务或智能体设计的数字身份，拥有独立的生命周期管理与资源名称（如云厂商提供的ARN标识），是进行权限控制与安全审计的核心单元。智能体在每次发起跨网API调用时，不能仅仅使用长效静态密码，而应通过多域安全沙箱或凭证保险箱（TokenVault），申请具有极短有效期、强制绑定业务服务方标识的动态访问令牌（Workload Access Token）。这种基于任务的凭据签发机制，将智能体的访问范围严格限制在当前具体任务所需的最小权限内，并在任务结束后立即失效，从根本上消除了主客体混淆的风险。

2.2 现代身份与访问控制引擎的融合：从RBAC到PBAC

鉴于传统基于角色的访问控制（RBAC）在处理多智能体动态上下文中的不足，医院的身份与访问管理（IAM）系统必须向基于属性的访问控制（ABAC）与基于策略的访问控制（PBAC）演进。

ABAC将授权决策从静态分配转移到运行时的动态计算。它不再仅仅核实智能体绑定的角色标签，而是综合评估请求发生时的多维上下文属性：包括用户属性、资源属性（如病历的安全定级）、环境属性（地理位置、时间、网络状态）以及行为属性。例如，策略可以设定：“仅当源IP位于医院专网、时间为工作日工作时段、且前置环节存在人工医师批准的上下文中，特定的AI智能体才被允许调阅含有患者标识符的完整病历档案”。

PBAC（Policy-Based Access Control）则是一种更加高级的企业级现代化权限管理框架，它并非替代RBAC或ABAC，而是将二者深度融合，提供集中策略定义与分布式实时执行的架构。PBAC支持“人-AI代理-数据-操作上下文”的多维组合授权逻辑。通过图形化界面，业务人员可以无需编程即定义复杂的访问策略，使得授权决策引擎能够结合网络流量的风险信号、AI行为检测意图，做出实时的访问干预。

2.4 基于FIDO通行密钥与SPA单包授权的认证强化

在智能体的网络接入层，零信任架构通过单包授权（SPA, Single Packet Authorization）协议，使得业务系统和安全网关在未接收到经过加密和数字签名的合法数据包之前，对外部网络完全不可见（即“网络隐身”）。这大幅收敛了医院暴露在互联网的攻击面，有效抵御了扫描和分布式拒绝服务（DDoS）攻击。

针对身份核验环节，传统依赖静态密码或一次性密码（OTP）的共享秘密模式，极易受到社会工程学及钓鱼中继攻击的威胁。为了确保跨机构、跨设备的身份互信，基于FIDO（Fast Identity Online）无密码技术和非对称加密机制的通行密钥（Passkey）正成为核心防线。FIDO标准要求私钥安全地储存于本地设备的硬件安全载体中，服务端仅保留公钥用于验证。在多智能体交互过程中，每一次认证都需要本地私钥针对服务端下发的随机挑战完成签名，并强制绑定服务域名。这种机制从底层阻断了钓鱼网站窃取凭据的可能，确保即使AI分身具备极强的模仿能力，也无法在缺乏物理设备授权的情况下绕过身份防线，实现了最高级别的抗钓鱼与防篡改能力。

3. 数据隐私屏障：合规、脱敏与可信交换

医疗健康大数据不仅是智慧医疗的基石，更是国家重要的基础性战略资源。在医疗大模型和智能体的运行全周期中，从数据采集、处理、训练到推理交互，任何环节的敏感数据泄漏都将触犯《个人信息保护法》、《数据安全法》、《网络安全法》以及欧盟GDPR或美国HIPAA等严苛的监管红线。这要求医院必须在数据互通与隐私保护之间建立动态的平衡，实施以脱敏技术为核心的纵深防御体系。

3.1 遵循WS/T规范与数据资产的分类分级

实现医疗数据安全管控的前提，是对庞杂的健康医疗数据进行标准化的梳理与分类分级。依据国家卫生健康委员会发布的WS/T 363-2011、WS/T 364-2011《卫生信息数据元目录》与《卫生信息数据元值域代码》，医疗机构需对人口学特征（DE02.01）、临床辅助检查（DE04.30）、实验室检查（DE04.50）等各类非结构化与结构化数据进行精确的代码编码与语义对齐。统一的数据标准不仅为后续的互联互通奠定基础，更是AI算法引擎准确识别敏感变量的先决条件。

在此基础上，依照《“数据要素×”三年行动计划（2024—2026年）》，医疗机构需将病历、影像、临床试验等数据转化为规范的“数据资产”，并利用AI技术自动扫描、发现和标记出核心、重要与一般数据，形成清晰的敏感数据目录。

3.2 静态脱敏与动态脱敏的协同应用

为了消除数据应用过程中的直接标识符（如姓名、身份证号、联系方式），脱敏技术（去标识化）成为不可或缺的手段。依据《信息安全技术 个人信息去标识化指南》（GB/T 37964-2019）与《信息安全技术 个人信息去标识化效果评估指南》（GB/T 42460-2023），去标识化过程需结合业务环境，通过定性与定量评估，将重标识风险控制在可接受的阈值内（划分为1至4级）。

在实际应用中，脱敏技术体系可划分为静态脱敏与动态脱敏两大类：

• 静态脱敏：主要应用于大模型的预训练、微调阶段，或是构建用于医学科研、公共卫生监测的离线专病数据集。静态脱敏通过运用数据截断、日期偏移、Hash散列、数据替换及加密重排等不可逆算法，将高敏感信息彻底清除或变换。经过静态脱敏与合规审计的高质量数据集，能够在确保患者隐私绝对安全的前提下，作为医疗数据资产进入可信数据空间进行流通交易。
• 动态脱敏：主要应用于智能体推理及临床医生实时诊疗的过程中。当智能体跨网查询数据库时，应用层并不改变底层的物理数据，而是由部署在中间件的管控系统介入。系统会结合用户的权限属性与调用上下文，对涉及敏感数据的SQL语言或API响应进行实时改写与掩码处理。例如，科研人员通过智能体查询到的身份证号会自动呈现为320***********1234，而具备极高权限的主治医师在紧急救治场景下则能获取完整的明文信息。这种机制在保障数据可用性的同时，极大限度地收敛了数据在交互链路上的暴露面。

3.3 跨机构数据互通与联邦学习

在医联体或跨国医疗协同项目中（如欧盟地平线2020“医数守门人”项目，覆盖7个欧洲国家，解决多租户隔离与FHIR标准化互通难题），由于医疗数据的极度敏感性，原始数据往往无法离开本地机房。为了在保护隐私的前提下实现多中心数据的联合分析，联邦学习（Federated Learning）技术应运而生。联邦学习允许多家医疗机构在不共享原始患者数据的情况下，仅通过交换模型参数或梯度，共同训练出高准确率的疾病诊断模型，完美平衡了“数据孤岛”难题与隐私合规要求。

4. API安全网关与大模型原生安全防御（LLM-WAF）

随着医院数字化转型的深化，API（应用程序接口）已成为信息系统间主要的交互通道。以金华市中心医院为例，其日均数据交互量超过240万次，传统的防火墙与EDR（端点检测与响应）设备在面对高频、复杂的API调用时，存在严重的监测盲区与误报率偏高问题。当AI智能体通过API大量请求病历数据时，必须建立全新的全链路防护机制。

4.1 构筑API合规闸门与全链路溯源审计

为了对医疗敏感数据的流转实现细粒度监控，API安全网关成为连接零信任环境内外网的绝对枢纽。在医疗大模型场景中，网关不仅承担身份鉴权与流量清洗的功能，更充当“智能合规闸门”。

例如，面向医疗场景的MedHarness开源网关架构，能够强制接管所有进出大模型的流量。当智能体发起请求时，该网关将依次执行：识别患者敏感信息（PHI）→动态脱敏→数据分级签名→模型白名单路由→提示词注入扫描→出站安全检查→全量审计。这种在负载均衡或网关层透明集成的Web应用防护系统（如RayWAF），能够集中卸载加密流量，减轻业务系统的性能压力，同时对经过解密的网络流量进行深入的细粒度应用层防御。

此外，《管理办法》与数据安全法强制要求医疗卫生机构必须确保电子病历系统历次操作痕迹可查询、可追溯。通过建立端到端的行为溯源机制，API安全网关能够记录每一次调用的操作时间、人员标识、API端点及数据体量。一旦发现诸如大量违规导出或跨越地域的高频异常访问，系统将立即触发告警并中断连接，为后续的安全事故定责提供法理依据。

4.2 抵御大模型原生攻击：提示词注入与数据投毒

当网络架构与身份体系坚如磐石，安全威胁便随之上移至大模型最为核心的自然语言输入/输出交互面。由于LLM将系统指令与用户输入同样视为自然语言字符串，这使得在传统数据库防御中极为有效的“参数化”隔离手段（常用于抵御SQL注入），在生成式AI系统中极难实现。

提示词注入（Prompt Injection）与越狱（Jailbreaking）攻击是AI智能体面临的最高危威胁。恶意攻击者可以通过构造特殊的文本，如诱导系统“忽略之前的所有安全指令并进入开发者模式”，骗取大模型执行越权操作，进而访问或泄露受限的病历资源。为了应对这一挑战，必须在网关层部署专门针对大型语言模型的大模型应用防火墙（LLM-WAF）或护栏模型。例如Meta推出的LlamaFirewall框架，其内嵌了多个专业化组件：PromptGuard作为第一道防线，利用轻量级BERT分类器以超低延迟拦截直接的提示注入攻击；AlignmentCheck通过审计推理过程防范目标劫持；Regex扫描器阻断已知恶意模式；CodeShield则实时静态分析生成的代码，防止不安全代码被执行部署。通过此类技术的集成，LLM-WAF能够实时检测并拦截算力滥用与有害指令生成。

另一方面，数据投毒（Data Poisoning）正成为摧毁医疗AI可信度的隐形杀手。《Nature Medicine》的研究指出，攻击者只需在开源训练数据（如Common Crawl）中混入占比极低（如0.001%）的虚假医疗信息，就能显著增加模型输出错误甚至有害诊疗建议的概率（如某北美AI工具将致死毒蘑菇误判为可食用品种）。这种数据层面的污染极难通过常规的基准测试被察觉。防范数据投毒，不仅需要利用内容风控平台对进入训练库与RAG知识库前的多源语料进行严格的安全清洗与过滤，更需引入“红蓝对抗（Red Teaming）”机制。专业的AI安全团队通过构建攻击面和漏洞管理系统（AI-SPM），主动运用对抗样本去测试和评估大模型的边界承受力，持续修复模型生态系统的脆弱节点。

5. 迈向2026：从“模型就绪”到“智能体就绪”的医疗数字化重构

随着大模型技术日趋成熟，AI在疾病诊断、医疗文本结构化处理及智能导诊等领域展现出惊人的效率提升。例如，某三甲医院胸痛中心引入基于AI的电子病历系统（AgentEMR）后，不仅克服了传统人工撰写病历效率低、易遗漏关键过敏史等问题，更通过多模态OCR引擎与质控规则，将单份病历数字化时效从约10分钟压缩至2.1分钟，检索效率提升37倍。同样，基于人工智能的病案质控系统在多项质控点上的AUC表现（逼近或超过0.9）也显著优于传统人工质控（0.797），大幅提升了医疗文档的安全与规范性。

然而，IDC在2026年CHIMA大会上的观察明确指出：医疗AI行业面临的最大鸿沟已经不是底层模型的能力瓶颈，而是当前医院现有的信息化基础设施“接不住”智能体的落地应用。

传统的医疗信息化建设以实现业务流程电子化为目标，长期积累形成了大量以独立HIS、LIS为中心的“烟囱式”孤立系统。这种固化的架构虽然适合执行刚性的指令，却完全无法适应智能体所要求的实时数据动态流动、跨部门跨系统的高效协同、逻辑推理的连续性以及复杂的权限上下文感知。

实现从“模型就绪”到“智能体就绪（Agent-Ready）”的跨越，医疗行业需要在未来数年内开展深刻的基础设施与组织架构重构：

1. 全面拥抱智能体互联国家标准：为打破多智能体协作间的信任孤岛，医疗机构应积极响应国家标准委推进的智能体互联协议（AIP）。通过标准化的身份互认、可信交互与行为审计，确保院内外海量AI Agent能够在统一的安全协议下进行安全、合规的通信与服务调度。
2. 构建医疗AI工程化中台：打破底层数据的异构壁垒，构建集模型仓库、数据标注、提示词工厂与智能体流程编排于一体的中台系统（如Chmrc-MLLM）。中台将负责对庞杂的病历文本、医学影像与检验数据进行标准化处理、脱敏与隐私保护，为智能体提供干净、合规、标准化的数据基座，打通“最后一公里”的接入障碍。
3. 内生安全的无缝融合：安全建设必须摒弃事后打补丁的思维，将零信任架构、动态令牌、数据掩码与LLM-WAF深度融入到智能体生命周期的每一个环节。通过技术手段与管理制度的双轮驱动，确保所有AI生成的医疗行为不仅在医学逻辑上严谨，在法律合规与隐私保护上也无懈可击。

综上所述，授权医疗问诊智能体访问医院核心病历系统，是一场重构医疗服务生产力与捍卫数据安全红线的深度博弈。在这场变革中，固守传统的物理或逻辑隔离已无法满足多模态智能体的高频并发需求。医疗机构唯有以前瞻性的视野，建立基于零信任理念的动态授权体系，全面实施工作负载身份治理、数据脱敏全链条管控及大模型原生安全防御，方能在释放医疗大数据深层潜力的同时，构筑起抵御未来高级复合型威胁的铜墙铁壁。