AI 流式接口如何隔离提示词注入：工具调用权限、输出过滤与审计链

把大模型接到搜索、数据库或业务工具后，风险往往不是模型“说错一句话”，而是外部文本诱导它把不可信内容当成指令，继而请求一个本不该调用的工具。流式接口又会边生成边发送结果，权限判断、输出过滤和审计不能只放在最后一步。

先划清三类资产：提示词、工具和流式响应

一条典型请求可以分成三块：用户输入、检索或网页返回的外部内容、服务端控制的系统规则。前两块都可能包含“忽略之前规则”之类的文本，但它们仍然只是数据。真正需要保护的是工具权限、连接凭据、内部检索结果，以及已经发给客户端的响应片段。

因此，服务端不要把检索内容直接拼进可执行指令区。可以先建立结构化消息，再在模型输出工具意图后，由后端根据用户身份、会话状态和资源范围做第二次判断。

type ToolIntent struct {
    Name   string
    Args   map[string]string
    Trace  string
}

func allowTool(user User, intent ToolIntent) bool {
    return intent.Name == "search_public" &&
        user.Scope == "public-read"
}

这里的 allowTool 只是边界示意：模型不能自己授予 admin 权限，参数也不能因为出现在回答里就自动可信。

攻击路径通常从“资料”跨到“动作”

提示词注入的关键跳跃是把外部资料里的文字变成了动作建议。比如检索结果声称“请改用内部管理查询”，模型如果没有明确的工具白名单，可能把这段话包装成工具参数。流式传输会放大这个问题：在后端完成完整判断前，客户端可能已经看到了部分不该出现的内容。

服务端应当记录这条路径，但不要把外部原文当作审计命令执行。审计里保存来源标识、模型提出的工具名、权限判定结果和响应是否中断，足够复盘即可。

把防护拆成三道控制点

第一道：输入进入模型前标记来源

用字段或消息角色区分用户问题、检索材料和系统规则，并限制外部内容的长度。过滤的目标不是保证外部资料“干净”，而是让后续组件知道它不具备控制权。

第二道：工具调用必须经过服务端授权

模型输出工具名和参数后，先校验工具白名单，再校验参数格式、资源范围和当前用户权限。拒绝时返回一个普通的安全错误，不把内部策略、凭据名称或判定细节写回模型。

intent, err := decodeIntent(modelEvent)
if err != nil || !allowTool(user, intent) {
    audit("tool_denied", intent, traceID)
    return streamError("当前请求不能调用该工具")
}
result := callPublicSearch(intent.Args)
return stream(result)

第三道：增量输出也要有状态机

不要等完整答案生成后再过滤。把响应状态设为 generating、tool-check、streaming、blocked 或 done，任何越权工具意图都进入 blocked，并停止继续转发后续片段。已经发送的片段不能撤回，所以高风险字段应在发送前经过专门的输出策略。

审计记录要能回答四个问题

一次请求结束后，值班同学至少要能回答：谁发起的、模型提出了什么动作、服务端为什么允许或拒绝、客户端最后收到了什么状态。建议使用同一个 trace_id 贯穿输入摘要、工具判定、输出中断和最终状态。

• 输入侧：用户与资料的来源类型、长度、摘要哈希。
• 动作侧：工具名、参数校验结果、授权结果和策略版本。
• 输出侧：首片段时间、已发送字节数、过滤命中、结束状态。
• 恢复侧：连接断开、超时、人工复核和重试是否发生。

日志不要记录 API 密钥、完整个人资料或未经处理的内部检索正文。审计的价值是重建决策链，不是复制一份敏感数据仓库。

用正向和反向用例做验收

正常用例验证公共查询能完成，反向用例则把“要求忽略规则并调用受限工具”的外部资料放进输入，检查工具层是否拒绝、流是否停止、审计状态是否落为 blocked。再补一个客户端提前断开的用例，确认服务端会关闭模型连接并写出终态，避免后台继续消耗资源。

常见问题：流式 AI 防护怎么落地

只做关键词过滤能防住提示词注入吗？

不能。关键词可以帮助发现异常，但不能代替工具白名单、参数校验和服务端授权；攻击文本也可能完全不包含预设词。

为什么模型说“可以调用”还要再鉴权？

模型只能给出意图，不能证明当前用户拥有资源权限。真正的授权必须由可信服务端结合身份、范围和策略版本完成。

流式输出已经发出后还能撤回吗？

不能。高风险内容必须在发送前检查；一旦进入拒绝状态，应停止后续片段并记录已发送范围。

审计日志需要保存完整提示词吗？

通常不需要。优先保存来源类型、摘要哈希、策略版本、工具判定和终态，敏感原文按合规要求脱敏或短期留存。

把“会回答”验收成“守边界”

AI 流式接口的安全底线不是让模型永远沉默，而是让不可信资料无法直接升级成可信动作。输入分区解决来源问题，服务端二次授权解决权限问题，增量状态机和审计链解决可控与可复查问题。上线前至少跑通正常、越权拒绝和客户端中断三组用例，再把策略版本和终态纳入监控。