灵言妙语安全AI能力白皮书专章

专章定位

本专章围绕灵言妙语在企业级应用中的安全能力建设，系统说明数据保护、模型安全、智能体治理、算力协同与评估审计之间的关系，为技术选型、方案设计、项目验收及持续运营提供统一的讨论框架。专章面向政府与企业管理者、技术负责人、安全团队及行业合作伙伴。

核心判断

安全边界应覆盖一次 AI 任务的完整生命周期。模型输出之外，检索数据、工具权限、执行身份、跨域流转和结果使用同样需要控制。安全机制应部署在模型外部的身份、策略与执行系统中，不能仅依赖提示词约束。

安全建设宜从可落地、可复测的控制措施开始，以数据分级、最小权限、敏感操作审批和任务审计建立基础，再按密码迁移需求评估后量子密码及特定量子通信技术。量子辅助计算与密码安全应分别论证，不能互相替代。

适用范围与能力边界

本专章描述安全能力框架与工程建设要求，具体功能范围以产品版本、项目配置和验收记录为准；图示为参考架构或应用场景示意，不构成已部署案例证明。任何安全机制都不能消除全部风险，模型辅助结果仍需按业务风险设置复核责任。

指标应在明确样本、场景、环境和统计方法后进行验证。附录保留的数值作为指标核验输入，不视为已达到的产品性能、服务等级协议或认证结论。行业合规须结合适用要求、实际数据流与组织管理措施专项评估。

阅读路径

文档名称：灵言妙语安全 AI 能力白皮书专章  |  版本：V1.0  |  编制时间：2026 年 9 月

CONTENTS

第一章  安全目标与边界 4

1.1  风险范围与能力思维导图 4

1.2  安全目标与责任边界 5

第二章  总体架构与全栈协同 6

2.1  分层架构与贯穿式治理 6

2.2  全栈组件与控制责任 7

第三章  核心安全技术 8

3.1  分布式数据保护 8

3.2  模型安全与智能体受控执行 9

3.3  量子安全技术路线与边界 10

3.4  跨域协同与安全容灾 11

第四章  行业应用场景 12

4.1  五大行业应用总览 12

4.2  政务与金融场景 13

4.3  医疗 公共安全与工业场景 14

第五章  评估指标与验证方法 15

5.1  指标口径与度量设计 15

5.2  测试流程与证据管理 16

第六章  实施路线与运营治理 17

6.1  分阶段建设路线 17

6.2  运营责任与交付要求 18

附录 A  指标验证清单 19

附录 B  术语与参考资料 22

CHAPTER 01

1.1  风险范围与能力

企业将大模型接入知识库、业务系统和执行工具后，安全风险会沿任务链路传播。外部文档中的恶意指令可能影响模型计划，错误的身份传递可能放大工具权限，未经复核的生成结果也可能进入后续业务流程。安全设计应同时关注数据、模型、智能体、算力及组织治理。

                                         图 1  安全 AI 能力思维导图

本专章以五个能力维度组织建设内容：数据保护约束信息的采集与流动；模型安全管理模型、检索与输出；智能体治理约束实际行动；算力与跨域协同保护运行环境；评估与合规建立可追溯的证据和责任。

安全范围包括文本、图像、音视频及其派生信息。技术措施需按真实数据类型与业务风险选择，不以单一“安全模型”替代系统治理。

CHAPTER 01  /  BOUNDARIES

1.2  安全目标与责任边界

安全目标应转化为可执行规则和可验证证据。业务团队定义允许完成的任务，安全团队制定控制策略，平台在调用与执行阶段实施约束，审计人员通过记录与测试确认控制是否有效。

应明确的四类边界

数据边界：加密并不自动等于“数据不出域”。应同时管理模型输入输出、向量索引、日志、缓存、备份及运维访问；跨域协同仅传递完成任务所必需且已获授权的信息。

执行边界：模型可以提出行动计划，但不应自行授予权限。删除、交易、生产控制、敏感信息导出等操作须通过独立的权限校验与业务审批。

结果边界：签名、哈希和审计可以帮助发现内容被修改，但不能证明模型结论正确。专业判断、影响个人权益或涉及人身安全的结果应设置人工复核。

声明边界：密码保护、系统安全和行业合规是不同层面的问题。不能以量子计算研究、某项算法或单次测试结果，推出全系统安全保证、长期绝对安全或全面合规。

CHAPTER 02

2.1  分层架构与贯穿式治理

灵言妙语安全 AI 参考架构采用分层控制与贯穿式治理：数据安全、模型安全和智能体安全共同支撑行业应用，算力运行底座提供隔离与恢复能力；跨域协同及审计治理贯穿各层。量子安全作为密码体系的扩展路线，应按部署条件逐步验证。

                                               图 2  安全 AI 全栈参考架构

架构中的连接表示安全依赖与治理关系，不代表所有业务请求必须按固定顺序经过全部组件。各层应通过明确接口交换身份、授权范围、任务标识和审计事件，避免上下游使用不同的安全语义。

图中各项为参考设计能力。项目采用的组件、实现方式、密码算法及服务边界应记录在部署清单中。

CHAPTER 02  /  INTEGRATION

2.2  全栈组件与控制责任

安全能力应与主白皮书中的算力、调度、模型接入及行业智能体体系衔接。下表给出的控制落点，不代表各产品在所有版本中均已实现这些功能。

统一身份与策略

调用链应保留真实用户、服务及智能体身份之间的关联，不以智能体名称或自然语言声明替代认证。授权应限定到数据范围、工具动作、资源和有效期，并在实际执行端再次验证。跨域调用不得扩大原始授权。

共享审计与证据

以任务标识串联模型调用、知识检索、工具执行和审批事件。审计记录应包含必要的版本、时间、调用主体与处置结果，并对敏感正文采取最小化记录、脱敏和访问限制。留存周期和访问责任按项目要求确定。

故障与变更控制

模型、工具、策略和路由的变更可能影响安全边界，应执行变更审查与回归测试。关键控制不可用时，系统应停止相关高风险操作或进入受限模式，不得通过默认放行维持业务表面连续性。

CHAPTER 03

3.1  分布式数据保护

分布式数据云应以数据分类分级和授权为前提，对存储、传输、检索及使用全过程实施保护。各节点保留本域的数据管理责任，通过统一策略和可审计接口协作；“数据不出域”应被定义为可检查的数据流约束。

                                              图 3  数据生命周期与密钥管理

密钥管理应覆盖生成、分发、使用、轮换、撤销和销毁，明确密钥与数据的访问分离、备份恢复及责任主体。算法名称、参数、证书、密码模块及协议实现应纳入资产清单，具备后续迁移与替换能力。

派生数据与出域检查

向量、摘要、模型输出和日志仍可能包含敏感信息，应与原始数据一并评估。出口检查应依据数据类别、接收方、用途和授权范围决定放行、脱敏或阻断，不能将所有派生数据默认视为可公开信息。

部署时应核验数据驻留、访问与备份路径。采用加密或本地推理不等于已完成全部数据保护要求。

CHAPTER 03  /  CONTROLLED EXECUTION

3.2  模型安全与智能体受控执行

模型安全应覆盖来源与版本、知识检索、输入处理、输出检查及外部工具连接。用户输入、外部文档和工具返回内容应作为待处理数据，不能直接提升为系统指令；提示注入防护需要配合权限隔离与执行端验证。[4][5]

                                             图 4  智能体受控执行与审计流程

模型负责理解任务和提出计划，独立策略组件验证调用范围、权限和参数。高风险动作应在执行前获得明确审批，工具仅持有完成当前任务所需的最小权限，并限制可访问的网络、文件和业务对象。

输出复核应根据场景检查事实依据、敏感信息和业务影响。工具执行失败、权限变化或结果异常时，应停止后续动作、保留必要证据并转人工处置；需要撤销的操作应在上线前明确可回退方式。

最小权限、人工审批与外部策略校验参考 OWASP 智能体安全建议。[4] 这些控制不能以模型的自我判断替代。

CHAPTER 03  /  QUANTUM SECURITY

3.3  量子安全技术路线与边界

“量子安全”应落实为明确的威胁模型、密码机制和实现证据。本专章区分后量子密码、量子密钥分发与量子辅助计算，避免将计算能力研究、密钥生成技术和系统安全效果混为一谈。

后量子密码迁移

NIST 已发布 ML-KEM、ML-DSA 和 SLH-DSA 的相关标准，分别用于密钥封装和数字签名。[3] 它们可作为技术研究参考，不代表项目已采用这些算法，也不替代项目所在地及行业适用的密码要求。迁移应先盘点现有算法、协议和长期敏感数据，再完成选型、互操作测试与受控切换。

量子通信与研究方向

QKD 应作为具备链路和设备条件时的专项技术路线评估，需同时保护认证、密钥存储和终端系统。[6] 开放量子系统、非厄米耗散调控、量子增强求解及量子感知可保留为研究方向，但应通过独立原型、对照实验与安全分析确认工程价值。

密码抗量子性不等于模型推理正确性。不得以“量子级加密”“量子增强推理”等名称代替算法、协议、边界和测试报告。

CHAPTER 03  /  CROSS DOMAIN

3.4  跨域协同与安全容灾

跨域协同应先确定可共享的任务、数据和结果，再建立身份互认、授权传递及传输保护。调度系统负责选择满足数据域和安全策略的执行节点，不能因资源紧张而自动绕过地域、组织或数据边界。

                                           图 5  跨域安全协同与信任边界

每个域独立维护本域授权与密钥，跨域网关对请求用途、接收主体及输出内容进行检查，并用统一任务标识关联双方记录。未经授权的原始敏感数据不得因任务转发、日志汇聚或容灾复制而出域。

容灾目标应分别定义恢复时间目标（RTO）与恢复点目标（RPO）。演练不仅检查节点是否切换，还应检查业务是否恢复、授权是否有效、密钥是否可用，以及数据与审计链是否一致；跨中心网络条件须纳入测试。

密码保护、网络时延与业务恢复是不同指标。不能把一次链路切换时延直接等同于整个应用系统的恢复时间。

CHAPTER 04

4.1  五大行业应用总览

行业应用以共享安全能力为基础，同时保留不同业务的责任边界。以下场景用于说明安全设计与任务流程，不表示已有全部客户案例、部署规模或实测收益。落地时应选择数据可界定、操作可控制、结果可验收的具体业务。

                                            图 6  五大行业安全 AI 应用场景图

跨行业复用的重点是身份、授权、审计与恢复机制，不能直接复用未经验证的行业决策规则。政务强调流程和授权责任，金融强调交易与风险复核，医疗强调患者信息及专业判断，公共安全强调事件核实，工业强调生产控制边界。

CHAPTER 04  /  GOVERNMENT AND FINANCE

4.2  政务与金融场景

政务场景

面向政策问答、政务服务、城市治理、综合执法与应急管理，智能体可辅助检索、材料整理及任务分派。涉及行政处理或对外发布的内容应经过业务审核，跨部门协作应保留来源、授权依据、办理状态及责任人员。

金融场景

面向风控辅助、交易审计、资产信息分析及营销材料审核，应隔离客户数据与交易权限，明确模型辅助分析与最终决策之间的边界。模型不能自行批准交易、调整授信或对外作出收益承诺。

上述为场景建设要求，不表示已取得行业认证；适用要求应由项目业务、安全及合规责任人共同确认。

CHAPTER 04  /  SECTOR CONTROLS

4.3  医疗 公共安全与工业场景

医疗场景

临床辅助、用药风险提示、病历结构化及区域医疗协同应以患者信息保护与医务人员复核为前提。系统应保留资料来源与输出依据，对不确定结果明确提示，不以模型生成内容替代诊断、处方或治疗决定。

公共安全场景

视频分析、巡防辅助、风险识别与应急调度应限定监测用途、访问范围和留存期限。识别结果属于待核实线索，需结合人工和其他证据确认；不得由模型单独作出影响个人权益的处置决定。

工业场景

设备巡检、生产预测、能耗优化及跨工厂协同应区分建议生成与现场控制。初期可采用只读接入，在完成风险评估、仿真或受控测试后，再按明确权限开放执行功能；生产控制操作保留人工审批和安全回退。

CHAPTER 05

5.1  指标口径与度量设计

安全评估应同时度量控制覆盖、识别效果、业务影响与运行稳定性。每个指标应明确评估对象、分母、数据集、运行环境及统计窗口，避免将覆盖率、准确率、成功率和系统可用性混用。

TP：正确识别的风险样本；FP：正常样本被误判为风险；FN：风险样本被漏检。

密码与数据保护评估

密码能力应通过算法与参数清单、协议配置、实现及密钥管理检查验证，不能用模型准确率衡量。数据驻留应依据真实流量、日志、缓存、运维和备份路径核验；脱敏效果需结合再识别风险评估。

所有结果均应关联模型、提示模板、知识库、工具、策略及测试环境版本。报告中应同时披露失败案例和残余风险，不能仅展示最优结果。

CHAPTER 05  /  VALIDATION

5.2  测试流程与证据管理

评估依次完成范围确定、样本准备、测试执行、问题修复与复测。业务、平台和安全团队共同确认通过条件；未达到条件的功能应保持关闭或限制在试点范围内。

高精度指标的报告要求

99.999% 等指标需要足够的观察规模和清晰的统计口径。少量测试中未发现失败，不能直接证明生产环境达到相同水平。应报告样本量、失败次数、测试时长、负载分布及估计不确定性，并区分请求成功率与时间可用性。

证据包与复测触发条件

证据包至少包含测试计划、环境清单、输入样本、预期判定、实际结果、问题记录和复测结论。对敏感样本与日志进行访问控制，防止评估资料形成新的泄露渠道。

模型、知识库、工具权限、路由策略、密码配置或运行环境发生实质变化后，应重新评估受影响的控制。审计发现、实际事故和新攻击方式也应触发测试集与控制策略更新。

CHAPTER 06

6.1  分阶段建设路线

安全能力建设宜采用范围受控的渐进方式，将每阶段产出与可核验的验收条件对应。建设周期取决于系统复杂度、数据敏感程度、现有安全基础和业务风险，不设置脱离项目条件的统一工期。

                                                 图 7  安全 AI 分阶段实施路线

CHAPTER 06  /  OPERATIONS

6.2  运营责任与交付要求

持续安全依赖明确的责任和可执行的运营流程。每次上线及变更均应确认谁定义业务规则、谁批准风险操作、谁维护技术控制、谁保管证据，以及谁有权暂停服务。

发布与验收的必要清单

项目交付应包含架构与数据流图、实际功能清单、权限与审批矩阵、密码及密钥管理方案、测试与容灾报告、日志留存规则、应急响应流程以及残余风险清单。量子相关功能另附算法或设备版本、适用链路及专项验证材料。

异常处置与持续改进

发现越权、异常导出、工具滥用或密钥事件时，应按风险停止相关操作、隔离受影响组件、撤销必要凭据并保全证据。恢复前确认问题已处置且关键控制有效，事后复盘应转化为策略、测试集和运行流程的更新。

灵言妙语安全 AI 的建设价值在于使能力边界、执行过程和验证证据保持一致。产品能力、业务场景与组织责任共同构成可信运行基础，任何单项技术都不能取代这一体系。

APPENDIX A  /  VALIDATION REGISTER

以下保留专章原始指标表中的数值，统一作为待核验的指标输入。它们不是已达到的产品性能、承诺指标或验收结论。项目应先修订指标定义、确定适用性，再约定目标并开展测试；不适用的指标不得直接移作其他能力的证明。

A.1  数据与密钥指标

A.2  模型安全指标

核验重点：密钥长度不能单独代表抗量子安全强度；熵值应明确熵类型、单位和估计方法；“量子验证”“扰动灵敏度”须给出具体机制与判定条件。数据驻留、脱敏和审计覆盖率应定义对象全集。

APPENDIX A  /  VALIDATION REGISTER

A.3  智能体与算力指标

智能体安全

算力与跨域协同

所有百分比阈值应补充样本总量、失败计数、统计周期与适用场景；识别及拦截指标同时报告正常业务误判。毫秒级时延应明确测量起止点、网络距离、并发负载和分位数，不能将单组件测试直接推广到端到端业务。

本页与上一页均为待核验清单，不代表华智已具备表内全部量子相关机制或达到所列数值。

APPENDIX A  /  VALIDATION REGISTER

A.4  行业指标与验证记录

“合规覆盖率100%”应对应明确、适用且完整的检查项清单，并提供逐项验证证据。它不等同于获得认证或对所有业务全面合规。“量子安全验证成功率”应先确定验证对象与机制，不能作为诊断正确性、风险判断正确性或生产安全性的替代指标。

建议使用的验证记录字段

验证状态

建议按“待定义、待测试、已测试、已复核、持续监测”记录状态。只有经复核且适用范围明确的结果，才可进入对外技术参数或项目验收文件；环境及版本变化后重新确认其有效性。

APPENDIX B  /  TERMS AND REFERENCES

参考资料

[1] 华智未来：《灵言妙语 · 安全 AI 能力白皮书专章》，本专章内容基础资料。

[2] 华智未来：《华智未来灵言妙语大语言模型应用白皮书》，体系与内容参考。

[3] NIST. NIST Releases First 3 Finalized Post-Quantum Encryption Standards, 2024. https://www.nist.gov/news-events/news/2024/08/nist-releases-first-3-finalized-post-quantum-encryption-standards

[4] OWASP. AI Agent Security Cheat Sheet. https://cheatsheetseries.owasp.org/cheatsheets/AI_Agent_Security_Cheat_Sheet.html

[5] OWASP. LLM Prompt Injection Prevention Cheat Sheet. https://cheatsheetseries.owasp.org/cheatsheets/LLM_Prompt_Injection_Prevention_Cheat_Sheet.html

[6] NCSC. Quantum networking technologies. https://www.ncsc.gov.uk/paper/quantum-networking-technologies

外部资料用于技术定义与设计原则参考，不构成对华智产品的认证或测试背书。访问日期：2026 年 9 月 17 日。