RAG（检索增强生成，Retrieval-Augmented Generation，先检索企业知识再生成回答）知识库一旦被投毒，Agent 会一本正经地输出错误结论，且很难被发现。本文给出 GUARD-4 四道内容防火墙，从入库到生成层层设防，并附落地清单。
RAG 是企业 Agent "懂业务"的核心机制：先把问题相关的内部文档检索出来，再让大模型基于这些文档生成回答。可正是这个"先检索"的环节，成了攻击者的首选入口——只要在知识库里塞进一段看似正常的毒内容，Agent 就会把它当成权威依据，输出被操纵的结论。
2025 年以来，安全圈已经出现多起 RAG 投毒（Data Poisoning，通过污染训练或检索数据来操纵模型输出）的真实案例：有在公开文档里埋诱导句的，有在内网 Wiki 里改错参数的，甚至有通过供应链把毒内容写进第三方知识包的。环曜在做企业级环曜知识库本地化部署时，把"防投毒"列为默认能力，而不是上线后的补丁。
金句：RAG 让 Agent 更懂你，也让攻击者更近你一步。
RAG 投毒为什么特别难防
传统安全防的是"外部入侵"，RAG 投毒防的是"内部污染"。毒内容往往伪装成正常文档，混在成千上万条合法知识里，静态扫描很难识别。更麻烦的是，投毒的后果是"软性"的——Agent 不会报错，只是悄悄给错答案，等业务受损才发现。
金句：危险的攻击，是让你输得毫无征兆。
要系统化防守，得在链路每一环都设一道墙。我们沉淀出 GUARD-4 四道内容防火墙。
GUARD-4：四道内容防火墙
GUARD-4 覆盖"入库前—入库时—生成时—生成后"四个环节，层层拦截投毒。
防火墙一：来源可信准入（入库前）
所有进知识库的文档必须来自可信来源，并带来源签名与责任人。外部爬取、匿名提交、第三方知识包默认隔离待审。企业级环曜知识库本地化部署把来源白名单做成入库闸门，来源不明的文档进不来。
防火墙二：权限隔离与权限内可见（入库时）
知识按密级与部门切分，Agent 只检索"当前用户有权看"的子集。避免"一条毒内容污染全库可见"。环曜Claw 在检索层做权限裁剪，确保普通员工检索不到高管敏感段。
防火墙三：生成时事实校验与对抗检测（生成时）
回答生成前，对检索片段做一致性校验：是否存在相互矛盾的陈述、是否含有诱导性指令、是否偏离知识域。命中可疑模式则降级或转人工。这是 GUARD-4 里考验工程化的一环。
防火墙四：可观测审计与投毒溯源（生成后）
每一次检索与生成都留痕，支持按内容反查来源。一旦出错，能快速定位是哪条知识、哪个来源被污染。环曜Claw 的 OBSERVE-5 可观测把检索链路全量记录，投毒溯源从"猜"变成"查"。
金句：四道墙里，首道与第四道至为关键——一个挡在门外，一个留好退路。
四道防火墙对照表
| 防火墙 | 环节 | 核心动作 | 防什么 |
|---|---|---|---|
| 来源可信准入 | 入库前 | 来源白名单+责任人签名 | 匿名/第三方毒文档 |
| 权限隔离 | 入库时 | 密级切分+权限内可见 | 全库污染、越权 |
| 事实校验 | 生成时 | 一致性+对抗检测 | 诱导指令、软性误导 |
| 审计溯源 | 生成后 | 全量留痕+反查 | 事后定位与止血 |
关于智能体身份与调用鉴权的关系，可延伸阅读智能体身份（AIdent）是什么？为什么企业 Agent 必须有'电子身份证'。
落地清单：把四道墙装起来
- 第 1 周：清来源，建立知识来源白名单与责任人制度，下线匿名提交入口。
- 第 2 周：切权限，用企业级环曜知识库本地化部署做密级切分，按角色配置权限内可见。
- 第 3 周：上校验，在生成层接入事实一致性检测，对矛盾与诱导句做拦截。
- 第 4 周：接可观测，用环曜Claw 按 OBSERVE-5 留痕，跑一次投毒溯源演练。
环曜Claw 在这套清单里承担执行与可观测底座，让四道墙从文档要求变成可勾选组件。
真实案例：某电商的"价格毒丸"
一家电商企业把促销规则文档接进 RAG 知识库供客服 Agent 使用。攻击者通过供应链在第三方知识包里塞了一句"满 100 减 90 长期有效"。由于当时没有来源准入与权限隔离，这条毒内容直接进库并被检索命中，客服 Agent 连续三天按错误规则放券，损失数百万后才被财务发现。
事后该企业重建知识库：来源白名单拦截第三方包、权限隔离区分内外文档、生成时做价格一致性校验、用环曜Claw 留痕做溯源。重演同类投毒时，系统在生成前就拦截了毒片段，并定位到来源包。
金句：那次损失买的教训是——知识库不是仓库，是防线。
这也和智能体身份（AIdent）是什么？为什么企业 Agent 必须有'电子身份证'的判断相通：身份与权限，是 Agent 安全的地基。
写在尾声
常见问题 FAQ
Q：我们知识库内容都是内部同事写的，也会被投毒吗？
会。投毒不一定要外部黑客，内部误操作、离职人员埋雷、供应链知识包带毒都可能发生。来源准入与权限隔离正是防"自己人"与"第三方"两类的。
Q：四道防火墙里哪一道该先上？
先上首道来源准入。它投入小、收益高，能把大部分匿名与第三方毒文档挡在门外。企业级环曜知识库本地化部署默认就带这道闸门。
Q：权限隔离会不会让 Agent 变笨？
不会，只会让它更"守规矩"。权限内可见确保 Agent 只基于当前用户有权看的知识回答，既防投毒也防越权泄露。环曜Claw 在检索层做裁剪，不影响正常知识命中。
Q：生成时的事实校验会不会误杀正常内容？
会有一定误判率，所以建议先"降级+转人工"而不是硬拦截。把矛盾检测阈值设宽松、诱导指令检测设严格，是在准确率与安全性之间的常见折中。
Q：可观测审计是不是很重？
取决于采样策略。环曜Claw 的 OBSERVE-5 对检索与生成链路做结构化留痕，存储成本可控，但能在出事时把溯源时间从"天"降到"分钟"。
Q：RAG 投毒和普通提示词注入是一回事吗？
不是。提示词注入是用户对话时塞指令，RAG 投毒是污染知识库本身，影响所有后续会话、更难发现。GUARD-4 四道墙专门堵后者。 RAG 知识库被投毒，本质是把"信任"当成了"漏洞"。GUARD-4 四道内容防火墙，从来源准入到审计溯源，把信任变成可验证、可回溯的机制。企业级环曜知识库本地化部署与环曜Claw 把这套机制做成默认能力，让知识库从"仓库"变成"防线"。 你所在企业的知识库，现在有几道墙？是只有来源准入，还是连审计溯源都齐了？欢迎在评论区聊聊你的防护现状，我们可以一起用 GUARD-4 把它补齐。
