企业 AI 安全治理的零信任原则

零信任用在 AI 场景里，指的是不再假设内网可信，而是对每一次调用做身份验证与授权判断。传统安全模型依赖网络边界，而 AI 服务恰好是穿透边界的常客 —— 它要跨多个系统取数，调用者往往还是自动化流程

为什么默认不信任

内网隔离假设的是「边界内的人可信」，而 AI 场景里的调用者常常是服务账户与定时任务，没有人在旁边判断它该不该取这份数据。一个请求背后可能牵动多个数据源，权限判断如果只能做在入口，沿途就是敞开的。

四条落地

• 身份：每一次调用都能对应到具体身份，而不是只知道「系统问过」。
• 最小权限：每个身份只能访问完成任务所必需的数据与接口，不默认继承全部权限。
• 持续验证：权限不是一次性授予，跨系统取数、访问新数据源时重新判断。
• 完整日志：输入输出、调用者、访问资源与时间戳都记录，便于事后追溯与异常检测。

四条的次序不能颠倒：先有身份，才谈得上权限；先有权限，才谈得上验证；有了验证，日志才有意义。缺了身份那一层，后面三条都会退化成形式。

与内网隔离的区别

• 隔离作用在网络层，零信任作用在每一次请求上。
• 隔离一旦被绕过，后面通常没有第二道判断；零信任假设第一道已经被绕过。
• 两者互补：隔离减少暴露面，零信任限定越界之后能走多远。

模型输出也要当成不可信输入

这一点在 AI 场景里是新增的。模型输出会被下游系统读取，甚至被执行，因此输出的可信度需要单独判断

• 对输出做校验与过滤，尤其是会被程序解析的结构化结果。
• 高风险输出经过人工复核，而不是直接进入业务动作。
• 输出触发外部动作时增加一道确认，避免模型错误被自动放大。

落地时的三个难点

零信任的每一条单独看都不新鲜，难的是让它们同时成立。实际推进时卡住的通常是下面三处

• 身份粒度：给每个场景单独开身份意味着更多配置与维护工作，很多团队因此退回到共用一套凭据，这一步退让会让后面的日志与权限审查一起失效。
• 遗留系统：部分内部系统只支持按人授权、不支持服务身份，需要额外加一层代理来承接判断，否则这部分数据只能整体开放或整体关闭。
• 权限复核：权限是会腐化的，人员调岗、场景下线之后如果不回收，最小权限会在几个月内变成最大权限。

验收

• 随机抽取的调用都能还原出身份、访问的数据与输出内容。
• 存在被权限拦下的真实请求，而不是所有请求都恰好通过。
• 权限配置有复核记录，人员或岗位调整后同步更新。
• 异常行为的响应流程被真实触发过，且有处置记录。