4.1 纵深防御架构设计：多层过滤管线的组装

4.1 纵深防御架构设计：多层过滤管线的组装

前三章的零件——输入清洗、注入检测、输出审查、脱敏——单独看都有用，但堆在一起不等于系统。我见过一个团队把这些零件简单串起来上线，结果第一次遇到组合攻击就崩了：检测引擎超时，整条管线卡住，所有请求堆积超时，服务事实上瘫痪。问题不在单个零件，而在"怎么组装"——没有考虑层间接口、故障降级、性能与安全的平衡。这一节站在架构师视角，把它们编排成一条端到端、可观测、可运维的安全管线。

纵深防御的核心思想

"纵深防御"（Defense in Depth）借自军事，核心是不依赖单道防线，而是多层防线层层过滤，让攻击者必须同时突破多道独立防线才能得手。

为什么单道防线不够？因为任何单点检测都有漏报（攻击绕过）和误报（误伤正常请求）。规则引擎擅长已知模式，但对变体无能为力；意图分类模型能理解语义，但有置信度盲区；输出审查能拦结果，但拦不住过程里的副作用。多层异构防线（规则 + 模型 + 语义）互补，单一手法难以同时绕过——一个能骗过分类模型的注入，可能被简单的规则引擎抓住；一个能绕过规则的变体，可能在输出审查时露馅。一层被突破，下一层仍能兜底，降低单点失效的灾难性。

端到端管线架构

一个生产级 LLM 安全过滤管线，典型分为六层，按请求流向依次是：输入归一化、注入检测、结构化隔离、模型调用、输出审查、数据脱敏。每层职责单一、接口清晰：上一层的输出是下一层的输入，任何一层判定恶意都可短路返回（拒绝或降级），无需走完全程。

输入归一化是第一道关。用户输入里可能藏各种"隐形把戏"——Unicode 同形字符（用外观相似的特殊字符替换关键词，绕过关键词检测）、零宽字符、大小写混淆、控制字符。归一化把这些统一处理：同形字符还原、零宽字符移除、统一大小写。这一步看似简单，但能瓦解大量基于字符伪装的攻击，是后续检测能正常工作的前提。

注入检测是核心防线，通常由规则引擎、意图分类模型、越狱探针三层组成（2.2 节详述）。规则引擎快速命中已知模式（如"忽略之前指令"），意图分类模型判断语义层面的越狱意图，越狱探针对可疑请求做更深的检测。三层的结果加权决策，任一层高风险即拦截。

结构化隔离是关键防线，解决"指令与数据边界"问题。系统对用户输入做严格的边界标记，把用户输入包裹在固定分隔符内，并对用户输入中可能出现的控制 token（如 <|im_end|>）做转义。这样模型看到的是被转义后的字面量，而非控制信号——攻击者试图用分隔符逃逸来劫持对话角色的手法会被瓦解。

模型调用之后是输出审查，扫描响应中的敏感内容——系统提示词特征、内部接口地址、不当言论。即使攻击绕过了输入侧，输出审查仍能在结果阶段拦截。最后是数据脱敏，把响应中可能的 PII（个人身份信息）、内部接口地址做掩码处理，确保即使有内容泄露，外泄的数据也是脱敏后的。

关键决策一：fail-safe 还是 fail-open

当检测引擎自身出故障（分类模型超时、规则引擎崩溃），管线该怎么办？这是个关键的架构决策。

fail-safe（故障即拒绝）是宁可错杀不可放过，检测不可用时直接拒绝请求。安全要求极高的场景选这个——金融、医疗、涉及未成年人保护的产品，漏过一次攻击的代价远大于误拒。fail-open（故障即放行）是宁可放过不可中断业务，检测不可用时放行请求。可用性优先、风险可控的场景选这个——比如一个内部工具的 AI 助手，短时间检测失效的风险可接受，但服务中断影响工作。

生产建议是为核心检测层（注入检测、输出审查）采用"降级而非崩溃"的策略——引擎故障时降级到规则兜底（规则更简单、不易崩），而不是直接放行。这需要在架构上为每个引擎准备一个"轻量兜底"：分类模型挂了，退化到只用规则；规则引擎挂了，退化到只做结构化隔离。逐级降级，保证总有最低限度的防护，而不是"要么全有要么全无"。

关键决策二：性能与安全的平衡

每加一层过滤，就增加延迟和成本。纵深防御不是"层数越多越好"，而是要在安全收益和性能代价间权衡。

规则过滤延迟极低（亚毫秒级），安全收益中等（覆盖已知模式），必加。意图分类延迟中等（50 到 200ms），安全收益高（覆盖变体），加，但可以异步预筛——先用规则快速筛掉明显恶意，只对"可疑"请求走重模型，减少重模型的调用量。越狱探针延迟高（要多次调用），安全收益高（覆盖未知），按需或采样——不是每个请求都跑，而是对高风险请求或随机采样触发。输出审查延迟中等（50 到 200ms），安全收益高，加。脱敏延迟极低（亚毫秒级），必加。

优化的核心技巧是"异步预筛"和"分级触发"。异步预筛是用轻量规则快速分流，只让需要深度检测的请求走完整管线。分级触发是低风险请求走轻量管线，高风险请求（含敏感关键词、来自可疑来源）走完整管线。这样大部分正常请求不被重检测拖慢，只有少数可疑请求承担完整检测的成本。

可观测性：管线不是黑盒

生产管线必须可观测，否则故障时无从排查。每层都要埋点，记录处理延迟、拦截率、误报标记。每个请求要保留可追溯的 trace——走了哪几层、每层判定结果，这样误拦时能复盘"是哪一层误判了"。被拦截的请求要采样留存，供复盘和规则迭代——这些被拦的请求是改进检测规则的宝贵数据。

可观测性还能发现"层的盲区"。如果某类攻击经常在某一层被拦，说明前几层对这类攻击有盲区，需要加强。这种基于数据的持续优化，比拍脑袋加规则有效得多。

这一节的关键结论

纵深防御的核心是多层异构防线互补，单点突破不致命。管线分六层：归一化、检测、隔离、模型、审查、脱敏，每层职责单一。两个关键决策是 fail-safe/fail-open（按场景选，生产用降级而非崩溃）和性能与安全的平衡（分层权衡、异步预筛、分级触发）。管线必须可观测，每层埋点可追溯。

下一节 4.2 用一次真实攻击复盘，看这条管线在实战中怎么起作用，以及哪一层差点失守、为什么。