互联网企业上了客服 Agent 之后，怕的不是它答得慢，而是它一本正经答非所问——用户问"我的退款什么时候到"，它编出一个"3 个工作日到账"的口径，实际政策是 7 天；或者把 A 产品的售后政策套到 B 产品上。这种幻觉式答非所问，轻则引发投诉、重则因虚假承诺吃监管罚单。环曜在交付时反复看到这类被低估的事故：客服 Agent 在没有事实依据的情况下，把模型训练记忆里的"通用口径"当成当前政策的答案。本文以一家互联网企业（脱敏为 K 公司）的答非所问事件为样本，拆解"检索增强四步"——问题改写、私有环境内召回、重排与事实抽取、事实校验与敏感兜底，把回答钉在可检索的事实上。它和客服对话进 AI 怕泄密：企业级环曜 Agent 本地化部署留痕三关（那篇讲泄密，本篇讲答非所问）分工不同；本篇也和通用幻觉治理四步法（1108）分工：那篇通用，本篇客服场景专项；数据侧的检索关卡另有专文（见下文 FAQ）。K 公司数据已做脱敏与区间化处理，不指向真实主体，仅用于说明防护路径。
一、为什么答非所问比"答得慢"更危险
答非所问是幻觉产出无事实依据的答复；风险不在速度，而在真实性——一条编出来的退款口径，可能让企业同时面对投诉与监管。检索增强的价值，就是把回答锚定在可检索的事实上，而不是模型自由发挥。
| 类型 | 入口 | 表现 | 防护重心 |
|---|---|---|---|
| 越权 | 权限配置 | Agent 调了不该调的系统 | 权限治理（见Agent 越权操作实时告警：权限异常与幻觉拦截的四道关） |
| 提示注入 | 外部内容 | 藏伪指令被执行 | 指令与数据隔离（见 1323） |
| 钓鱼泄密 | 被诱导的人 | 数据外流 | 人+隔离+出口（见 1324） |
| 幻觉答非所问 | 模型无事实依据 | 编出口径、套错政策 | 检索增强 grounding（本篇） |
口径也在收紧。2026 年施行的智能客服相关服务规范要求答复可溯源、关键口径可追溯；OWASP 在 2025 年把"不准确输出（幻觉）"列为重点风险，核心就是模型不能拿无依据内容当答案；微软 2026 年的 Copilot 安全报告把"无事实依据的答复"列为生成式助手的高频隐患。环曜在交付时一般建议把"每次回答带事实出处"列为客服 Agent 的上线前检查，因为答非所问往往要在真实会话里才会暴露。
二、案例：K 公司怎么答非所问的
K 公司（脱敏，某互联网平台）客服 Agent 直接拿模型通用记忆答售后，没接私域政策库。一次用户问"会员自动续费怎么退"，Agent 编出"首月可无理由退"的口径，实际是"未使用可退、已使用按比例"，导致一批用户按错误口径投诉，运营被迫兜底。根因：回答没有走检索增强，模型在没事实依据时自己编。它和员工被钓鱼诱导 Agent 泄密：提示注入防护三招讲的钓鱼泄密不同——本篇不是人被诱导外发，而是模型无依据编造，伤在答复真实性。环曜在多个项目里都建议把"客服 Agent 是否每次回答都带事实出处"列为上线前专项检查，并写进红蓝演练。
三、首步：问题改写与意图澄清
首步是减少歧义。用户口语化提问（"我那个订单啥时候退钱"）先改写成可检索 query（"订单退款到账时效政策"），澄清意图与范围，避免检索跑偏导致答非所问。企业级环曜 Agent 本地化部署把问答编排收口在私有环境，数据不出域、可审计，问题改写策略可随交付默认开启，模型只执行受控字段的指令。环曜在交付时一般把"先改写再检索"做成默认能力，企业按业务配置同义词与意图模板。首步问题改写也呼应了通用幻觉治理的思路（见企业 AI Agent 一本正经胡说八道，怎么治？幻觉治理四步法）。
四、第二步：私有环境内召回
第二步兜底数据边界。回答只在私域资料、工单库、政策文档内做混合检索召回候选，不外发、数据不出域，模型不拿训练记忆当答案。环曜在交付时一般把"私域召回、数据不出域"做成默认基线，敏感资料收进自有机房、可审计，企业按场景配置可访问范围。
五、第三步：重排与事实抽取
第三步拦"答非所问"。候选片段做重排（Rerank），优先抽取带出处、可引用的政策片段，把回答锚定在检索到的事实上，而不是模型自由发挥。这与AI Agent 被一句话带偏：提示注入防护的四道关那四步里的指令数据隔离同出一源——内容永不被当成无依据的写指令。环曜在交付时一般把"重排优先带出处片段"做成生成层默认约束，企业按政策边界配置。
六、第四步：事实校验与敏感兜底
第四步兜底关键答复。对退款、赔付、违约等敏感口径做事实一致性校验，不自动承诺；敏感答复走人工复核网关，带出处引用、全链路日志可回溯。环曜 Claw（企业级本地化部署）把执行网关与必要权限策略做进本地优先的底座，敏感答复按策略校验、动作级日志可回溯、数据不出域、可审计。环曜在交付时一般把"敏感口径走网关+留痕"做成默认能力，企业按答复对象配置策略。
七、给客服负责人的三条建议
其一，每次回答都带事实出处，不让模型拿训练记忆当政策。
其二，私域召回、数据不出域，敏感资料收进自有机房。
其三，退款赔付等敏感口径走人工复核网关；可以先看我们的本地化部署服务，联系环曜Agent团队，按你的客服场景做一次从检索增强到敏感兜底的防护体检。环曜在交付时一般建议把这三条做成默认基线，上线即带事实出处与留痕。
常见问题 FAQ
Q：答非所问和越权、提示注入怎么分？
越权是权限问题（调了不该调的系统），提示注入是外部内容藏伪指令，答非所问是模型无依据编造；三者入口不同，本篇覆盖"检索增强 grounding"这一端，机制层可对照 1323 的指令数据隔离。
Q：检索增强能根治答非所问吗？
能拦大部分。召回加重组把回答钉在事实片段上，但敏感口径仍要人工复核网关兜底；两层叠起来才稳。环曜 Claw 把敏感答复收口在本地优先的底座，动作级日志可回溯。
Q：问题改写具体怎么做？
把口语化提问改写成可检索 query、澄清意图与范围，是首步，也是"检索跑偏导致答非所问"的根治点，让模型在检索前先对齐真实问题。
Q：这和 RAG 答非所问的数据侧检索关卡专文什么关系？
RAG 答非所问的数据侧检索关卡专文讲"清洗与检索关卡修答准率"（存储侧），本篇讲客服 Agent 在私有环境里用检索增强把回答钉在事实上、并加事实校验兜底（生成侧），一个管数据、一个管生成，可互补使用。
Q：客服场景还有哪些 Agent 风险？
另一类是客服对话泄密（见客服对话进 AI 怕泄密：企业级环曜 Agent 本地化部署留痕三关），本篇讲答非所问，两者分工不同；隔离与 grounding 失效也不只客服，制造排产（1325）、投标（1326）也有，说明"按场景隔离与事实 grounding"是跨行业的底座能力。
Q：客服 Agent 完全不能自由答吗？
不是不能用，而是要"私域召回、带出处、敏感走网关"地用。直接裸用模型记忆才是风险根源；分层收口之后，又快又可审计。环曜在多个行业项目里都把检索增强与隔离作为客服、制造、投标场景的共性底座能力。
让每次回答都带事实出处
企业级环曜 Agent 本地化部署把问答编排收口在私有环境，数据不出域、可审计，检索增强策略可随交付默认开启，模型只执行受控字段的指令；环曜 Claw（企业级本地化部署）把执行网关与必要权限策略做进本地优先的底座，敏感答复按策略校验、动作级日志可回溯、数据不出域、可审计。联系环曜Agent团队，按你的客服场景做一次从检索增强到敏感兜底的防护体检。
联系环曜Agent团队