企业 RAG 知识库怎么防资料外泄？从文件上架到权限稽核的 5 个实务

RAG 的风险不只在模型回答错误

RAG 让 AI 可以依据最新的 SOP、合约、产品规格与内部资料回答问题，因此很适合作为企业知识库的起点。不过，资料一旦经由上传、同步或批次汇入进入检索流程，也会带来新的攻击面：过期版本可能被取回、不同部门资料可能被混查，文件中甚至可能夹带试图改变模型行为的文字。

OWASP 将提示注入、敏感资讯揭露、资料与模型污染，以及向量与嵌入弱点列为生成式 AI 需要处理的风险。RAG 的价值在于提供资料依据，不代表它能取代授权、输出验证或资安治理。

第一步：文件上架必须有拥有者、版本与失效规则

每一份会进入知识库的 SOP、报价、规章或技术文件，都应标示拥有单位、生效日期、版本与审核状态。当制度更新时，旧版文件应下架、封存或明确标示为历史资料，避免 AI 同时取回互相矛盾的规范。

• 指定文件拥有者与核准流程，避免任何人都能直接上架正式资料。
• 以文件类型、部门、有效期间与敏感等级建立中继资料。
• 保留删除、替换与重新建立索引的纪录，让答案可以追溯。

第二步：权限要在检索前生效，而不是交给模型判断

业务、财务与人资即使都在同一个 AI 系统中提问，也不应看到相同的文件集合。正确作法是沿用企业帐号、部门、角色或专案权限，在检索阶段先过滤可取回的内容；模型只处理使用者本来就有权阅读的资料。

权限规则不能只写在提示词里。提示词可以协助引导回答，但真正的资料存取限制必须由身分验证、资料库查询条件与文件存取控制共同执行。

第三步：把检索到的文件视为不可信输入

文件中可能包含看似正常、实际上却要求 AI 忽略规则或执行外部动作的内容。系统应明确区分系统规则、使用者问题与检索文件；检索内容只能作为事实依据，不能拥有改写权限、执行工具或覆盖系统规则的能力。

若 AI 后续可建立订单、修改主档、付款或发送通知，模型建议更不应直接成为执行命令。高风险动作应具备独立授权、栏位验证与人工确认。

第四步：答案要附来源，找不到依据就拒答或转人工

对制度、合约、报价与技术规格等重要问题，回答应能指出来源文件、版本与相关段落。若检索结果不足、来源互相冲突，或问题超出知识库范围，系统应清楚说明无法确认，并提供人工窗口，而非以看似流畅的文字补足答案。

第五步：建立稽核与测试回路，持续验证权限边界

上线前应以不同角色帐号测试：是否能检索到其他部门、其他客户或历史失效资料；上线后则保留必要的查询身分、时间、文件范围与处理结果，用于异常追查与品质改善。记录应遵循最小化原则，避免将完整敏感内容再次复制到日志。