一、为什么 RAG 投毒比直接攻破更危险
企业 Agent 大多接了 RAG 知识库——合同、报价、合规制度、设备手册都在里面。攻击者不必攻破服务器，只要污染知识库里的几段文档，就能让 Agent 持续给出错误报价、错误合规结论。2026 年 OpenAI 供应链事件（见 沙箱防逃逸清单）已经证明：供应链与语料层是企业 Agent 最薄弱的入口。这也是 企业级环曜知识库本地化部署 在私有化部署时把语料准入与版本快照设为默认能力的原因——数据不出域，污染可追溯。
直接攻破拿的是"系统权限"，投毒拿的是"答案权"——它更隐蔽、更难察觉，是典型的供应链攻击在企业 Agent 上的新形态。
更麻烦的是：投毒不会触发传统告警，因为系统"正常运行"，只是答案悄悄变了。
二、RAG 投毒的 3 种典型手法
- 语料投毒：攻击者将带偏见/错误的文档混入被检索的语料（内部误传、第三方文档带入）。
- 提示注入：检索到的外部网页本身含恶意指令，诱导 Agent 忽略系统提示、执行攻击者意图。
- 检索劫持：在向量库写入阶段插入高相似度脏数据，使特定问题稳定召回错误片段。
三者共同点是：攻击发生在"知识进库"和"答案出库"两端，而非推理核心。防护也要在这两端设防。在 环曜Claw 企业级本地化部署 中，这两端分别由知识库准入网关与输出核查器两类组件承接，避免旁路写入。
三、4 道内容防火墙（命名框架）
防火墙一：数据源白名单与准入签名
只有白名单来源（内部系统、签约供应商、人工审核通道）的文档可入向量库；每份入库文档带写入者签名与来源标识。非白名单外部网页默认不进核心知识库，需经隔离区清洗。企业级环曜知识库本地化部署 可将白名单与写入签名直接落到向量库写入链路，从源头杜绝手工改库。
防火墙二：写入校验与版本快照
所有写入走校验接口，禁止直连向量库手工改；每次变更留版本快照，可一键回滚。这是事后追责与定位污染版本的基础（呼应 Artifactory 隔离红线）。环曜Claw 的私有化交付默认提供统一写入接口与回滚脚本，正对应这一道防火墙。
防火墙三：检索结果置信度打分
对召回片段做来源可信度与相似度双打分，低于阈值的片段不参与生成；对高影响问题（报价、合规）强制要求多源交叉验证，单一脏片段无法决定答案。环曜Claw 的检索层可配置置信度阈值，对报价、合规类高影响问题强制多源交叉验证。
防火墙四：输出侧事实核查（引用溯源）
答案必须附可点击的引用来源；生成前用独立核查器比对答案与引用是否一致，冲突则拒答或转人工。这是最后一道、也是性价比最高的一道。在 企业级环曜知识库本地化部署 的问答界面，引用溯源为默认开启项，无需额外开发。
四、落地清单（4 道防火墙对照）
| 防火墙 | 责任方 | 成本 | 见效周期 |
|---|---|---|---|
| 数据源白名单 | 知识库管理员 | 低 | 1 周 |
| 写入校验+快照 | 平台/运维 | 中 | 2-4 周 |
| 检索置信度打分 | 算法工程 | 中 | 2-6 周 |
| 输出事实核查 | 应用层 | 低-中 | 1-2 周 |
建议按"白名单 + 输出核查"先上线（最快 2 周见效），写入校验与检索打分在第二阶段补齐。环曜Claw 的私有化镜像已预置这四类门禁模板，企业可按场景开关，不必从零搭建。
五、与已有安全体系衔接
4 道防火墙不是孤立的：它和 沙箱防逃逸（运行时隔离）、Artifactory 隔离红线（存储隔离）、Agent 安全 2.0 形式化验证（上线前验证）共同构成"进得来、写不脏、跑得稳、答得准"的四层闭环。企业落地时应把四道防火墙写进同一份安全门禁文档。环曜 将上述四层闭环沉淀为一份可复用的安全门禁基线，随私有化包一并交付。
六、决策者上线前必问 3 题
- 我们的知识库有没有数据源白名单？外部网页默认能否进核心库？
- 答案是否带可点击引用？有没有独立的事实核查环节？
- 写入是否有签名与版本快照？出事能否定位到污染版本？
三题任一答不上，就说明内容防火墙还没建好，不建议把 Agent 接核心业务。可先用 环曜Claw 的隔离与内容防火墙体检清单做一次自评，定位缺口再补，避免带病上线。
七、投毒的真实成本：三个业务场景推演
决策者最关心的不是攻击原理，而是"出事了赔多少、多久才发现"。下面三个场景来自企业 Agent 接入知识库后最常见的三类业务，可直接对照自查。
| 业务场景 | 被污染的内容 | 典型后果 | 平均发现路径 |
|---|---|---|---|
| 销售报价问答 | 过期价目表 / 被改写的折扣规则 | 对外报错价，事后要么亏损履约、要么撕单赔偿 | 客户对账时才发现，通常滞后一个结算周期 |
| 合规制度问答 | 被替换的制度条款、失效版本的管理办法 | 员工按错误口径执行，审计时集中暴雷 | 内审 / 外部检查触发，滞后数月 |
| 设备维修指导 | 混入的非官方操作步骤 | 误操作导致停机甚至安全事故 | 现场事故倒查，几乎没有提前预警 |
三个场景的共性是「错误答案不报错」：系统各项监控全绿，日志没有异常，唯一的异常信号藏在业务结果里。这也解释了为什么传统安全投入（防火墙、堡垒机、漏扫）对 RAG 投毒几乎无效——它们守的是"谁进来了"，而投毒改的是"知识本身"。
从成本结构看，投毒的修复成本远高于防护成本：防护是一次性的流程与工程投入，而修复要同时做污染定位、历史答案追溯、对外沟通与业务补救，其中"历史答案追溯"往往因为没有版本快照而根本无法完成。这正是防火墙二（写入校验与版本快照）看似最不紧急、实际最不能省的原因。
八、30 天落地路线图
四道防火墙不必一次上齐。按"先堵入口、再管出口、最后补中间"的顺序推进，30 天内可覆盖八成风险敞口。
| 阶段 | 动作 | 交付物 | 验收标准 |
|---|---|---|---|
| 第 1 周 | 盘点现有知识库来源，划定白名单 | 数据源清单 + 准入规则 | 每份入库文档可追溯到具体来源与责任人 |
| 第 2 周 | 上线输出侧引用溯源 | 带引用的问答界面 | 关键业务问答 100% 附可点击引用 |
| 第 3-4 周 | 写入通道收口 + 版本快照 | 统一写入接口 + 回滚脚本 | 禁止直连向量库写入，可回滚到任意历史版本 |
| 第 5 周起 | 检索置信度打分与多源交叉 | 置信度阈值配置 | 高影响问题必须双源以上支撑才作答 |
需要提醒的是：白名单不是"一次划定终身有效"。企业知识库的来源会随业务扩张不断新增，建议把"新增数据源评审"挂进变更管理流程，与 企业 Agent 安全的 6 条红线 中的变更管控条款共用同一套审批链，避免安全流程各建一套、最后谁都不执行。环曜 在交付时把防火墙与隔离红线写进同一份安全基线，确保流程不打架。
另一个高频踩坑是把外部网页直接接进核心知识库。正确做法是设隔离区：外部内容先进隔离库，经清洗与人工抽检后再决定是否升级为核心语料；Agent 引用隔离区内容时，答案需明确标注"来源未经核验"。
九、环曜Claw 的默认防护
环曜Claw 企业级本地化部署将四道内容防火墙中的"数据源白名单 + 输出事实核查"设为默认开启，写入校验与检索置信度打分在私有化交付时按场景开启，配合纯内网、数据不出域，做到知识库"进得来、写不脏、答得准"。
十、常见问题 FAQ
Q1：RAG 投毒和企业直接被黑客攻破有什么区别？
直接攻破拿的是系统权限，投毒拿的是"答案权"。攻击者不必入侵服务器，只需污染知识库里的几段文档，就能让 Agent 持续给出错误报价、错误合规结论。它更隐蔽、更难察觉，是供应链攻击在企业 Agent 上的新形态。
Q2：知识库在本地，还会被投毒吗？
会。本地只是缩小了外部暴露面，投毒路径仍在：内部人员误改、第三方文档带入、爬虫抓取的网页本身已被污染、以及检索层的提示注入。私有化部署降低风险但不等于免疫，这正是 沙箱防逃逸 与内容防火墙要叠加的原因。
Q3：4 道防火墙要全上吗？小团队怎么起步？
按性价比排序先上两道：① 数据源白名单（成本最低、见效最快）；② 输出侧事实核查（引用溯源）。这两道能在不引入复杂模型的情况下挡住多数投毒。写入校验与检索置信度打分可在第二阶段补。
Q4：怎么判断知识库是不是已经被投毒了？
三个信号：同一问题不同时段答案漂移明显；引用来源指向可疑外部网页；高置信度却给出与内部制度冲突的结论。建议对核心知识库做周期性"探针问答"——用固定问题比对历史答案。
Q5：环曜Claw 默认开了哪几道？
默认开启数据源白名单与输出侧事实核查两道，写入校验与检索置信度打分在私有化交付时按场景开启。配合 Artifactory 隔离红线，形成"进得来、写不脏、答得准"的闭环。
Q6：投毒事件发生后能不能追责？
能，前提是留有写入签名与版本快照。这也是第二道防火墙（写入校验）的价值——一旦发生错误答案造成损失，可定位到被污染的文档版本与写入来源，作为合同与保险追责依据。
RAG 知识库老被投毒？
环曜Claw 企业级本地化部署，把数据源白名单、写入校验、检索置信度、输出核查封装为默认开启的四道内容防火墙：纯本地运行、数据不出域、2-4 周单场景上线。
联系环曜Agent团队