涉及客户资料和内部知识库时，关键不是简单地给模型加一道登录，而是确保每次提问、检索和工具调用都只接触完成任务所需的数据。落实大模型服务审计、访问控制与敏感数据保护，应覆盖用户身份、应用服务、数据源、模型接口和调用记录，避免权限在这些环节之间失控。
先划清“谁能做什么”
把人员、服务和数据分别纳入授权范围。员工使用企业身份登录；应用服务以独立服务账号调用模型或检索系统；客户合同、工单和内部知识文档则按资料负责人、业务用途和敏感程度设定权限。不要让所有人共用一个管理员账号，也不要把员工的全部资料权限自动转交给模型应用。
采用最小权限原则：只读问答服务不应拥有修改源文件、导出整个资料库或访问无关业务系统的能力。用户只能检索自己本来有权查看的内容；服务账号也应单独授权，并定期检查长期未使用的权限。可以按岗位、团队或资料类别分组授权，同时对高敏感资料增加负责人审批。
为检索与模型调用设边界
让权限跟随资料
接入知识库前，先盘点文件来源、所有者、访问范围和更新方式。导入时保留原有访问标记；检索阶段依据当前用户权限过滤结果，而不是只在文档导入时检查一次。员工离职、调岗或客户项目结束后，身份系统与资料库的权限应同步撤销。
限制模型和外部工具
把模型接口、搜索、邮件发送、文件导出等能力分开授权。仅允许应用访问批准的模型和工具；外部工具按具体操作设定范围，例如允许创建工单，不等于允许读取全部客户记录。对发送邮件、批量下载、修改资料等有外部影响的操作，可要求用户确认或由负责人复核。
检索到的文档和用户输入都可能包含误导模型的指令。系统应把文档内容视为待处理数据，而非自动执行的命令；对可能触发转账、发送、删除或公开信息的请求，采用独立规则拦截并要求人工确认。提示注入防护不能替代资料权限检查。
保护敏感内容，并留下可用审计记录
在资料进入索引、模型请求和输出环节识别个人信息、账号凭据、合同金额等敏感字段。能通过字段筛选解决的，不必把整份资料送入模型；确需使用时，可按任务做数据脱敏，并限制输出中的原文摘录长度。脱敏可能影响模型对上下文的理解，应在准确性和暴露风险之间按用途评估。
审计记录至少应能回答：哪个身份在何时通过哪个应用调用了什么能力、访问了哪些资料标识、操作是否成功，以及是否触发拒绝或人工复核。记录应避免保存完整提示词、客户正文和密钥；确有排障需要时，可采用受限访问、字段遮蔽和较短保留期限。审计日志本身也要设权限，防止它成为另一份敏感资料库。
按顺序落地，持续验证
- 列清资产：登记模型接口、检索库、客户资料来源、外部工具、数据负责人和敏感级别。
- 定义角色：分别确定员工、管理员、服务账号和审计人员可查看、调用、修改或导出的范围。
- 设置默认拒绝：新用户、新资料和新工具默认无权访问；经审批后只授予必要权限。
- 验证权限边界：用不同角色测试同一问题，确认越权资料不会出现在检索结果、引用片段或模型回答中。
- 定期复核：在人员变动、资料范围变化和模型应用升级后复测，并检查异常调用、权限过宽和过期账号。
审计保留多久、是否记录请求正文，应依据业务排障需要、适用法规和内部制度确定；没有适用于所有团队的固定期限。可以先从记录调用元数据、限制日志访问开始，再评估是否需要短期保存经批准的脱敏样本。
常见问题
只控制知识库权限够吗？
不够。还要限制模型接口、服务账号、工具调用、导出能力和审计日志访问，避免绕开知识库权限直接取得数据。
模型是否应该看到完整客户资料？
仅在任务确有必要且权限获批时提供相关字段。优先缩小检索范围、删去无关信息，并检查回答是否泄露不必要的原文。
日志要保存完整对话吗？
不一定。很多审计目的可通过身份、时间、资料标识、操作类型和结果满足；是否保存正文，应结合风险、排障需求及保留规则决定。
团队可先从默认拒绝、逐项授权、检索结果权限过滤和最少化日志做起，再持续验证实际调用路径。把大模型服务审计、访问控制与敏感数据保护贯穿资料接入到结果输出，才能让客户资料和内部知识库的使用范围清楚、可查、可撤销。
