人工智能调用一次模型，不是接一个普通接口。你送出去的每段内容都是一次数据决定。路上可以加密，库里的日志和微调材料可以加密，推理正在算的那一刻不行：计算节点必须看见明文，明文就在内存里。节点不属于你，这就是主要暴露面。只写「走的是加密通道」，方案作废。

人工智能数据痛点在把三态收成一句已经加密

传输中是从你的程序到推理地址这一段，通道加密是常规做法，大多数人会做。静止时是落盘的东西：对话日志、拿去微调的材料、向量索引。这里用常规的加密和权限，也是多数团队以为的全部。使用中是第三态：为了算出下一个结果，提示必须在处理器内存里解开。普通加密到这里停。谁掌管这台机器，谁就在这一刻能看见内容。

把活交给别人的推理服务，是在信任对方的机器、权限、人员和合同。这可以是合理决定，但要把信任写出来：哪些材料允许进入别人的内存，哪些不允许。不写，就等于所有提示都被默许。自己掌管节点，暴露面回到自己的机房，合同信任变成内部权限，仍然要写谁能登录那台机器。

长会话把问题放大。持续办事的系统会把工具用的登录凭据、检索到的客户记录、数据库连接串、上一轮工具返回的真实数据，一起放进当前上下文。上下文在使用中就是明文。网关可以不直接碰模型，这是好的分层，但网关挡不住上下文里已经放进的秘密。秘密一旦进了上下文，就跟着这次推理走。

人工智能暴露验收五步：三态分开、使用中写谁看见、静止数据单列、上下文先清点、不许默认全送

1. 每次调用标明传输、静止、使用中三态。缺使用中这一态，评审退回。
2. 使用中写明推理节点是谁的，以及谁能在那一刻看见明文。
3. 日志、微调材料、向量索引单独列表。禁止假设「没人会去翻」。
4. 长会话开跑前清点上下文：凭据、客户记录、连接串不得进入。进入了就先拿掉再调用。
5. 没有允许清单的材料，默认不送。禁止先接上再补决定。

上表把「加密了」拆成三态。三态里最容易被漏写的是使用中。

人工智能现场怎么做这次决定

每个调用点有一张允许卡：字段名、能否进入别人的内存、能否进日志、能否进微调。卡上没有的字段，程序拒绝发送，而不是发送后告警。告警说明已经送出去了。

推理节点变更要重签这张卡。从自己的机器改到外部服务，或反过来，都是新决定，不能沿用旧卡。长会话每天抽样一段上下文，查有没有凭据和客户记录。查到就当事件，不是当配置小问题。事件关闭的条件是那段上下文的来源被改掉，不是把日志删掉。

合同里写对方是否把提示用于再训练、保存多久、谁能调阅。写不出这三句，该调用只能走不许含客户字段的卡。我们见过通道加密的勾打得很满，提示里夹着连接串，因为工具返回值被整段拼进了下一轮。

人工智能常见翻车是先打通再问安全

接口先通，产品先上，六个月后才有人问提示去了哪。那时日志和微调材料已经堆起来，使用中的暴露每天都在发生。决定要在第一通调用之前。

另一类翻车是只禁「明显的密码」，放行整段客户档案。档案比一条密码更常出现在提示里。允许卡按字段列，不按「看起来像不像秘密」列。

外部推理若临时扩容到新的地域或新的分包，允许卡自动失效，直到重签。失效期间调用走拒绝，不走「先放行再补签」。补签人要看到那次扩容的节点名单，看不到名单就不签。名单只写节点编号也要能对上合同里的主体。对不上的编号视为未知节点，调用继续拒绝。拒绝原因写进当周的暴露记录，不写进普通错误日志。普通错误日志不进入安全评审，评审只看暴露记录。

结论：人工智能每一次模型调用，都要先决定明文可以出现在谁的内存里

路上加密和库加密都要做。它们做完，使用中仍是明文。节点不是你的，这份明文就不在你手里。

你下次接一个模型调用，先写三态、允许进入的字段、以及长会话里有没有凭据。三格空着，先不要当普通接口接上。

本文侧重全链路风控方法论。落地时请用自身业务单据做回放验证，不要把示例阈值直接当生产策略。 相关：风控体检 · 方案资源