给 AI 系上安全带：我们如何用「护栏」，让你敢把模型交到用户手里

上篇文章里，我们聊到：能调用的 AI 不稀奇，能看清的 AI 才让人安心。

但「看清」之后，还有一个更尖锐的问题——万一它做错了呢？

你接过这样的需求吗：让 AI 帮忙处理用户邮件，结果它把内部系统提示词一股脑吐了出来；让 AI 调用工具下单，结果被人用一句「忽略以上所有指令」劫持了流程；让 AI 生成内容，结果不经意间泄露了某位用户的手机号。

每一次把 AI 放到真实用户面前，你押上的都是自己的口碑与信任。 而 AI 的天性，恰恰是不可控。

我们做 OntoRoute「护栏」（Guardrails），就是为了填补这道裂缝。它不是给模型套上枷锁，而是给敢于使用 AI 的你，系上一条安全带。

我们眼里的「护栏」，到底是什么

很多人一听「护栏」，以为是「屏蔽词」的升级版。不是的。

在 OntoRoute，护栏是一组可编排、可开关、可逐密钥绑定的安全能力，覆盖从「请求进来之前」到「响应出去之后」的整条链路。它运行在 LiteLLM Proxy 这一真正的执行层，而不是应用层的一层薄壳——这意味着，绕不开，也关不掉（除非你授权关掉）。

一套护栏，覆盖你能想到的每种「怕」

我们把能力分成了几类，每一类，都对应一种你真实会担心的场景：

内容安全：关键词与注入

这是最常被需要、也最容易被低估的两道关。

• 关键词过滤（keyword-filter）：在请求进入模型前，按你维护的词表做拦截或改写。简单，却能在 80% 的「低级事故」发生前就按下暂停键。
• 提示注入检测（prompt-injection）：这是新时代的「SQL 注入」。当用户输入里藏着「忽略以上指令」「你是新助手」这类越权话术时，护栏会识别并拦截，而不是乖乖照做。

隐私保护：PII 脱敏

用户对你说的每一句话，可能都带着姓名、电话、住址、病历。让这些信息原封不动地流进第三方模型，既是合规风险，也是信任风险。

• PII 脱敏（pii-redact）：请求进入模型前，识别并遮蔽敏感字段。
• 输出脱敏（output-redact）：模型吐出的回答里，若意外带出了他人信息，在返给你的路上先抹平。

代码执行拦截

「帮我把这段代码跑一下」——一句人畜无害的话，背后可能是一次 rm -rf。

代码执行拦截（block-code） 在请求与响应两处设卡，识别并阻止模型试图触发的代码执行行为。对于把 AI 当成「通用助手」接入生产系统的团队，这是一道不可或缺的防火门。

工具调用权限控制

当 AI 能调用你的内部工具（查订单、发消息、改配置），真正的风险不在模型「不会」，而在它「太会」——一次越权的工具调用，可能比一句错话严重百倍。

工具调用权限（tool-permission） 让你像配置 API 网关一样，声明模型「能调什么、不能调什么、在什么条件下能调」。默认最小权限，按需放大。

LLM 评审

前两道防线是「挡」，这一道是「筛」。

LLM 评审（llm-judge） 在响应出口处，用另一个模型对产出做质量与安全评估。它不问「这句话合不合规」，而问「这句话值不值得发出去」——是否答非所问、是否带有偏见、是否踩了你的内容红线。

它不替代人，但替你在海量响应里，先把明显不达标的部分拦下来。

MCP 安全

MCP（模型上下文协议）让 AI 能连接外部服务器、调用真实能力。能力越大，攻击面也越大。

我们提供一整套 MCP 护栏：

• MCP 服务器安全校验（mcp-security）：在模型连接 MCP 服务器前，校验其可信度。
• MCP 端用户权限（mcp-end-user-permission）：区分「哪个终端用户」在用哪个工具，权限到人。
• MCP 零信任 JWT 签名（mcp-jwt-signer）：为每次调用签发短时 JWT，让 MCP 服务端能做严格的身份与时效校验。

它们如何工作：从 UI 到执行层

你只需要在界面上「勾选」，剩下的链路自动打通：

档位，随业务生长

我们不想让你为用不上的能力买单，也不想让你在出事时才发现「差一道墙」。

写在最后

上篇我们说，AI 是你递给用户的一双手，你有权知道它做过什么；这篇我们想补上一句：你也有权，让它别做不该做的事。

护栏不是束缚模型的锁，而是托住你的网。它让「大胆用 AI」这件事，有了底气。

看得见，守得住——这便是 OntoRoute 治理中心想交给你的两件事。