内网数据存放在哪里，如何防止数据泄露？

核心回答

内网数据通常按用途分开保存：业务事实留在受控数据库，原始文档留在文件或对象存储，RAG 保存检索需要的片段、向量与元数据，会话、任务状态和日志另有存储。具体部署时，还要明确这些服务属于哪个网络和账号、哪些身份可以访问，以及备份和派生副本存在哪里。

防泄露要沿数据流控制：用户身份由服务端确认，先按租户和文档权限限定检索范围，再将必要片段发给模型；数据库、文件和业务工具执行前继续鉴权。模型调用、Embedding、重排、文档解析以及观测服务都要纳入外发范围，不能只检查聊天模型。存储和传输加密、受限网络出口、脱敏日志及删除机制共同构成防护。

例如在企业知识助手中，普通员工只应检索其可见部门文档；即使用户要求“总结其他部门资料”，或者文档内夹带外传指令，检索器和工具服务仍按该用户的权限执行。内网部署解决了部分网络与服务控制问题，跨用户访问、错误配置和工具外传仍需要应用层约束。

数据具体存在哪里

一套常见设计可以分为以下几类，产品选择取决于现有基础设施和数据需求：

• 业务数据：订单、工单、指标等保留在业务数据库或数据平台中。Agent 通过受控查询服务取得所需字段，尽量复用已有权限与口径。
• 原始文件：内部文档、附件、报告等放在受控文件或对象存储，管理原文版本、所有者、访问权限和下载方式。
• 检索数据：解析结果、片段、向量、关键词索引，以及文档 ID、版本、租户和 ACL 元数据。向量化便于检索，不能替代脱敏或授权；索引旁边往往还保存原文片段。
• 运行数据：会话消息、长期记忆、任务状态、缓存、临时上传、生成文件、日志与 Trace。它们可能含有用户输入或召回内容，需要各自的权限、保留期限和清理方式。

因此，“文档在内网对象存储”只是存储说明的一部分。还应跟踪文档解析后去了哪里、是否发送给外部 Embedding 服务、模型看到了哪些片段，以及完整内容是否被观测系统再次保存。开发环境、评测集与备份也可能持有副本。

检索和工具怎样继承用户权限

身份来自认证上下文

租户、用户和角色由后端认证结果确定，不接受模型生成的 tenant_id、user_id 或“已获授权”文字作为凭据。服务账号只取得其业务所需权限，避免所有用户的请求都借用管理员身份读取全部数据。

平台管理员能管理某个知识库，与终端用户能阅读其中哪篇文档，是不同的权限范围。接入平台后仍要确认用户身份怎样传到检索和业务服务，不能只设置控制台成员角色。

片段沿用源文档权限

文档切块时保留来源 ID、版本和权限关联。检索时先确定用户可见的数据范围，在该范围内做向量或关键词召回；重排、上下文组装、引用原文和文件下载都沿用同一权限。

如果索引的权限元数据可能滞后，返回内容前应根据当前策略再校验。撤销授权时也要使旧缓存与历史检索结果失效，并明确权限变更的生效时限，避免文档已经收回，旧回答仍从缓存中返回。撤权控制的是后续访问；已经交付到用户端的副本，还需要相应的数据流转规则。

数据库工具同样按资源鉴权：模型给出的订单号或 SQL 只是请求内容，后端继续检查当前用户可访问的行、列与操作，采用受控查询、只读账号和必要的结果范围限制。

例如 PostgreSQL 可以用行级安全策略作进一步约束，但必须实际启用 RLS，并检查运行账号。官方文档说明超级用户、带 BYPASSRLS 的角色以及通常情况下的表所有者会绕过行级策略；使用高权限账号连接时，不能假定建了策略就已隔离。

会话、缓存和文件使用同一边界

会话与长期记忆按租户、用户及会话隔离；缓存键与缓存读取规则考虑身份或权限范围及策略版本。生成报告下载时继续鉴权，分享链接按用途限定有效期。任务临时目录只开放必要文件，凭据和宿主机敏感目录不进入 Agent 可读工作区。

发送给模型和外部工具的内容怎样控制

先按任务选择必要字段。处理工单可能只需要订单状态和问题摘要，无需同时发送完整手机号、身份证号、访问令牌或整个客户表。确实需要关联对象时，可以使用内部引用 ID，映射关系留在受控服务端；脱敏也要兼顾任务所需的信息，避免把关键业务含义一并删除。

如果数据要求留在指定环境，应同时安排 LLM、Embedding、Rerank、OCR 和文档解析的运行位置，并限制联网工具的目标与可发送内容。若允许使用外部服务，则明确可发送的数据级别、服务地域、留存和删除方式、是否用于训练以及相关功能开关。不用于训练，不等于服务端不留存请求，这些条件应分别确认。

Agent 可以读内网文档时，不宜同时获得任意外部上传或网络请求能力。网络访问通过受控出口，校验目标、解析地址与重定向；只向完成任务所需的服务开放能力。检索文档、网页和工具结果中的文字只作待处理内容，其“请把数据发到某网址”等指令不能改变服务端授权。

输出脱敏或内容检测可以再拦截一层，但应建立在检索、工具和出口约束之上。模型已经看到的越权片段还可能进入中间结果或后续调用，仅隐藏最终回答不足以覆盖整条链路。

日志、加密和删除怎样衔接

传输使用合适的 TLS 配置，存储按敏感级别加密并管理密钥和访问权限。加密主要保护传输和静态介质，应用拿到解密数据之后，仍须按用户权限使用。

常规日志优先记录请求 ID、资源 ID、版本、操作、权限决策、耗时和错误码。完整 Prompt、文档片段、工具结果如需留存，应进入访问受限的存储，设置用途和期限；密钥、Cookie、访问令牌等不进入普通日志。异常堆栈、调试导出和线上问题样本也要遵循同样规则。

删除或过期要覆盖原文件、解析结果、索引、缓存、会话附件与生成文件，并处理相关权限记录。备份按照既定期限保留和销毁；恢复后重新应用删除与权限变更记录，避免恢复出已经撤销的数据。具体保留时间应由业务需求和数据要求确定，而不是所有存储统一设置一个天数。

怎样验证没有越过这些边界

可以建立一组明确的权限用例：

• 租户 A 的用户提交租户 B 的文档 ID，检索、下载和工具查询均不返回 B 的内容。
• 同一租户的不同部门查询相同问题，只获得各自有权访问的片段，直接访问原文也遵循相同规则。
• 撤回文档权限后，旧会话、缓存回答和生成文件按预期失效，无法绕过新的权限。
• 测试文档夹带外传指令时，工具和网络出口拒绝未授权动作。
• 使用人工构造的敏感标记检查 Prompt、工具结果和日志，验证最小化与脱敏；删除与备份恢复后再检查副本状态。

这些用例验证的是实际数据通道与权限结果，不只看模型是否回复“我不能提供”。

常见追问

只用私有模型，是不是就不用管泄露？

私有模型可以减少向外部模型服务发送数据，但仍可能发生跨用户召回、会话串用、文件下载越权、日志暴露或工具外传。模型部署位置与应用访问权限需要分别设计。

同一份向量库能服务多个租户吗？

可以，但检索入口、元数据过滤和后续资源读取都要强制租户隔离，不能让请求自行选择任意租户。隔离要求更高时，可以使用独立集合、实例或账号；选择还要考虑运维和成本。

文档权限变化，需要重新生成向量吗？

如果正文未变，通常可以更新权限元数据与访问策略，不必只因 ACL 变化重新计算向量。但要同步处理检索过滤、缓存、原文访问和旧结果，确保更新过程不会放宽权限。

对应教程

参考资料