索引把所有部门文档混在一个向量库
语义相近的质量文件，会作为工艺问题的“有帮助上下文”出现。问法越模糊，越容易跨到邻居文档。
RAG 安全 · 知识库权限与部门数据CHENGDU, CN / 2026
模型没有决定泄密。
它只是总结了检索器给它的东西。
工艺工程师问返修流程，知识库 Agent 答得很完整，还附上了质量部一份不该出现的内部说明。问的人没有质量部权限。文件却作为“最相关片段”被检索出来了。RAG 的第一道门是哪些文档能进入候选；如果这一步只看相似度，后面的提示词、拒答策略、输出过滤都在补漏。夜船有明把知识库权限放进标准化 AI Agent 安全评估，用 KUROSHIO 作为验证引擎，核对检索命中、回答引用和事后还去了哪里。
这页写给谁
- 正在把多部门手册、制度、工单接进内部问答 Agent 的知识库与平台团队
- 需要证明检索层带着身份和部门标签、而不是只靠提示词保密的安全与合规
- 担心“没有下载按钮”仍然出现跨部门摘要的业务负责人与 CISO
01问题
问题
权限必须发生在检索，而不是发生在回答。模型看见了全文，再要求它假装没看见，不可靠。登录过的人是内部人员，也不等于他能看见所有切片。
检索只用语义分数
没有调用者身份、没有部门或租户过滤，候选集就是全库。应用层登录只约束了谁能打开聊天窗口，不约束检索器能取哪些切片。
把“请尊重权限”写在系统提示
提示词里的保密条款不是控制。检索服务账号如果能看到质量部文件，工艺问题就可能把质量部文件带出来。
引用无法回查
回答里用到的文档编号、权限标签如果打不开，说不清来源的答案就不能当生产知识，出了越权也无法定位是哪一次命中。
02风险
风险
泄露不一定长得像下载。一次正常问答，把不该看的段落做成摘要，已经是数据越权。聊天记录、审计日志、用于改进模型的反馈，还可能把这段摘要再存一份。
跨部门文件作为“相关片段”出现
检索器按相似度返回切片，其中一份来自提问者无权访问的内部说明。Agent 把切片一并总结，不会触发“权限拒绝”，因为调用本身只是检索。
万能服务账号打通全库
对话层是域账号，检索层是一个能读全部文档的服务身份。最小权限只写在设计文档里，运行时每个问题都继承最大读范围。
越权摘要进入会话与日志
即便界面没有导出按钮，越权内容已经出现在回答、会话历史和可能的评测反馈里。事后扩散和当次命中同样要看。
记忆和工单把一次命中变成长效上下文
检索结果若被写入记忆或工单摘要，后续不同用户的问题可能带着上一次的越权片段继续回答。
传统渗透通过，知识库仍可能越权
渗透测试看见的是闯入。RAG 事故常见的是走错门：系统承认这次检索，但切片不该进入当前身份的候选。两份报告测的不是同一件事。
03怎么测
怎么测
RAG 安全测试要同时看检索命中了什么、回答引用了什么、这些内容事后还去了哪里。夜船有明用带身份的业务问法走主路径，而不是只做一次全库扫描；KUROSHIO 留下命中、引用与是否过滤的证据。
- 01
用身份对照检索，而不是只用问题对照文档
准备至少两个部门或租户身份，问同一类业务问题。看候选切片和最终回答是否越出该身份的授权。
- 02
检查索引与命名空间怎么切
多部门是否混库、标签是否在取片段时生效、服务账号能否看到任务范围以外的库。做不到过滤，就不应把该库接进 Agent。
- 03
把模糊问法和点名文件名都跑一遍
模糊问法更容易跨到邻居文档；带明确文件名的提问用来确认过滤不是只对某一种说法生效。
- 04
核对引用、会话日志和下游存储
回答能否回到文档编号和权限标签；越权摘要有没有写入日志、记忆或反馈。说不清来源的答案，不能当生产知识。
- 05
修复后走同一条路径复测
加上检索过滤后，原问法不应再返回越权切片。这条路径进入回归集：以后索引变更，先跑它。KUROSHIO 用来保留命中与拦截记录。
05交付物
交付物
知识库评估要交给负责人的结论必须具体：问答窗口的登录，不能代表知识库的授权。不修检索层，Agent 越聪明，越权摘要越完整。
知识库信任边界图
对话身份、检索身份、索引/命名空间、生成模型、日志与记忆画在一张图上，标出数据从哪进来、从哪出去。
权限与命中对照
哪些部门语料在同一索引、检索是否带身份过滤、服务账号的实际读范围、跨权限命中是否告警。
越权路径
何种身份、何种问法、命中了哪类切片、回答引用了什么、事后写入了哪里。路径可复述、可回归。
验证证据
提问、检索候选（脱敏）、引用、回答摘要、过滤是否生效。可供未参加测试的人核对，而不是只存在演示口述里。
修复建议与复测
检索请求携带调用者身份并在取片段时过滤；按租户和部门分库或分命名空间；提示词保密降为辅助。附同一路径的复测结果。
管理层摘要
测了哪套问答与知识库、最重要的越权是否可复现、上线前必须补上的检索控制。
06评估怎么进行
评估怎么进行
KUROSHIO 作为验证引擎留下命中、引用和拦截记录。登录窗口的身份，不能代替检索层的过滤。
- 01画清对话身份、检索身份、索引切分与下游日志
- 02用至少两个部门或租户身份走真实业务问法
- 03记录命中切片、回答引用、会话与记忆里是否残留
- 04给出检索层修复，并用同一条路径复测后写入回归
查看 KUROSHIO 工作台
在交互演示中切换范围、探索、验证和报告四个阶段，了解授权范围、任务编排、关联证据与报告摘要如何组织在同一工作台。内容使用示例数据，展示通用评估流程。
07常见问题
开始之前。
01系统提示里写了“请尊重部门权限”，为什么还不够？
模型看见了全文，再要求它假装没看见，不可靠。权限必须发生在检索：请求携带调用者身份，取片段时过滤。做不到过滤，就不要把该库接进 Agent。
02没有下载按钮，算不算数据泄露？
算。一次正常问答把不该看的段落做成摘要，已经是越权。聊天记录和反馈日志还可能再存一份。评估会同时看命中了什么、回答引用了什么、事后还去了哪里。
03RAG 安全测试需要准备真实生产语料吗？
需要能代表权限边界的语料和身份，不一定是全量生产库。范围、数据驻留和脱敏方式会在评估开始前确认。实验室方法用于说明路径，不会把受控场景写成客户战果。
先修检索层，再谈知识库 Agent 上线。
夜船有明的标准化 AI Agent 安全评估覆盖 RAG 安全：知识库权限、部门数据越权和引用可回查。KUROSHIO 作为验证引擎，把命中与回答留成证据。从你正在接进 Agent 的那一个知识库开始。