引言：当大模型对话成为攻击面——输入污染与输出泄露已成现实威胁
2024年第二季度，某头部金融SaaS平台上线AI客服助手后，72小时内遭遇17起提示词越狱攻击。攻击者用嵌套Unicode编码加语义混淆绕过关键词过滤，成功诱导模型输出内部API密钥格式模板；同期，某政务大模型在市民问答中意外泄露3名居民身份证号片段——不是训练数据残留，而是用户自己输入了真实PII，系统未经脱敏就直接渲染到前端页面。这说明一个问题：LLM应用的安全边界，早就不是模型本身那层静态防线了，它已经前移到了每一次对话的流动过程中。WAF和API网关认不出语义级恶意输入，靠后处理过滤输出又太晚——数据已经出去了。真正有效的防护，得从请求进来那一刻就开始，到响应出去那一瞬就结束。本文不讲概念，只说企业里真实跑通的方案：怎么让输入和输出两边都守住。
一、为什么单向防护注定失效？——三个真实案例告诉你断在哪
输入侧：越狱不是黑客炫技，是系统没把住门
MITRE ATLAS今年6月实测发现，92%的开源LLM微调模型，只要看到<|im_end|>被伪装成合法分隔符，再混进一句/ignore_previous_rules，就会直接放弃系统提示词约束。这不是攻击者多高明，是输入通道根本没验指令本身合不合法。某电商AI导购系统就吃过亏：没对用户输入做结构化解析，结果被诱导生成含恶意JavaScript的HTML片段，XSS脚本在上千个导购页同时执行。
- 检测不能只靠关键词：Unicode混淆、Base64隐写、中英混输、上下文逃逸指令都得盯住
- 延迟必须压在300ms内，否则流式体验就断了
- 规则得能私有化：比如医疗问诊里“忽略隐私条款”这种话术，得自己配，不能靠通用模型硬扛
输出侧：合规只是底线，数据主权才是关键
《生成式AI服务管理暂行办法》第十二条写得很清楚：“防止生成内容侵害个人信息权益”。但某省级人社厅的AI政策解读机器人上线第一个月，因为没部署实时PII识别，127次把带姓名、住址的模拟案例原样返回给用户。真正的输出防护，得做到三件事：第一，准确识别身份证、银行卡、手机号、病历号等10类以上敏感信息；第二，脱敏要懂上下文——比如“张三的身份证是110***1990”，得保留出生年份逻辑，但抹掉主体；第三，原始字段绝不能进前端DOM。
“输出防护如果等到模型推理完才启动，泄露已经发生了——安全必须卡在数据离开GPU显存之前。”
——中国信通院《大模型应用安全白皮书》（2024.03）
全链路断点：日志和监控，反而成了二次泄露口
某车企智能座舱语音助手出过一次事故：ASR把用户口误说的“帮我查王五的驾照号”直接送进大模型，触发PII提取；更糟的是，它的日志系统把原始输入和完整输出全记下来了，等于又存了一份敏感数据。双向防护必须跟可观测性绑在一起：输入日志要标清越狱类型（比如“角色扮演型”），输出日志得记下用了哪个掩码策略、上下文哈希值是多少，确保每一条风险事件都能精准回溯到具体Session ID和时间戳。
二、双向输入输出防护怎么落地？——不是堆规则，是工程取舍
流式检测架构：低延迟和高吞吐，真能兼得
正则匹配在5000QPS下平均延迟850ms，根本扛不住流式对话。唯客AI护栏用的是双通道异步流水线：输入侧用蒸馏版BERT-Tiny（参数<12M）做首Token预测，输出侧用状态机驱动的NLP审计引擎，整条链路P99延迟压在280ms以内。某保险集团实测：200并发流式对话下，恶意URL识别准确率99.2%，比旧版高37个百分点。
- 输入流按标点、换行、语义块切片，长文本不卡队列
- 越狱检测、PII识别、敏感词匹配三路并行校验
- 单会话连续3次高危触发，自动降级为只读模式
多模态防护协同：从文本扩展到PDF、JSON、图片
用户上传一份PDF合同，问“提取甲方银行账号”，防护就得穿透到底：先扫PDF元数据防恶意JS，OCR阶段按坐标定位敏感区域，最后LLM输出JSON时，强制把account_number字段替换成掩码值。某律所AI尽调系统上了这套能力后，合同审查环节敏感信息漏检率从11.3%降到0.4%。
- 支持PDF/DOCX/CSV/JSON Schema
- JSON脱敏不破坏Schema结构
- 图片上传前先验EXIF头，拦住带恶意载荷的文件
三、真实战场：200多家企业跑出来的数据
金融行业：每天实时拦截50万+风险请求
某股份制银行把唯客AI护栏接入手机银行AI助手，部署第一周就拦下：
- 提示词越狱23,841次（包括“你是一名黑客”这类角色注入）
- PII明文输出1,207次（主要是测试场景下生成的身份证号）
- 恶意短链892次（伪装成“查看账单”的钓鱼链接）
风控团队确认：所有拦截用户毫无感知，Dashboard能按攻击类型、渠道、时段生成合规审计报告，完全满足银保监会《智能风控系统安全评估指引》要求。
四、实践建议：四步走，别一上来就堆模型
- 先画清地图：把所有LLM接口列出来（Dify/自研/第三方API），标清楚输入从哪来（Web/APP/IVR）、输出往哪去（前端/数据库/邮件）
- 分级上策略：核心业务用ML+规则双引擎，边缘场景用轻量规则集就行
- 红队真验证：拿历史攻击样本建测试集，P95拦截率必须≥99.5%
- 人得配到位：安全团队管策略，AI团队反馈语义问题，合规团队审日志模板
总结：双向输入输出防护不是加个模块，是重写安全逻辑
模型能力还在飞速进化，双向防护早已不是“要不要上”的选择题，而是“不上就可能出事”的生存线。它要求安全能力下沉到Token粒度，防护逻辑嵌进每一次对话的呼吸节奏里，响应速度得跟得上人说话的节拍。当某政务平台靠它把市民咨询中的隐私泄露压到零，当某跨国药企靠它同时满足GDPR、CCPA和《个保法》——这背后不是技术多炫，是企业开始真正把数据主权当回事了。AI安全，从来不是靠模型多聪明，而是每一次输入都多一分审慎，每一次输出都多一分敬畏。
立即体验 唯客 AI 护栏
面向中国企业的 LLM 运行时安全防护系统，以双向防护、毫秒响应为核心，为每一次AI对话筑起动态防线。 申请部署评估