AI 客服平台上存放的，是一家企业最敏感的资产之一：客户的咨询记录、内部的产品与报价知识、对接各个系统用的密钥。选平台时，「好不好用」重要，「安不安全」更重要。
立刻智能体的安全不是单一功能，而是从账号、数据、接口、渠道到运维，一层一层做进去的。下面按层介绍。
一、数据隔离：每家企业的数据各管各的
立刻智能体是多租户 SaaS 平台，所有业务数据都按企业隔离：知识库、智能体、对话记录、会话存档、机器人实例、调用记录，查询和写入时都带着企业身份做限定。A 企业的员工、API Key、MCP 授权，都碰不到 B 企业的任何数据。
企业内部还有细粒度的资源范围：管理员可以指定某位员工只能使用哪些智能体、只能管理哪些知识库分类，做到「同一家公司，不同的人看到不同的数据」。
二、权限体系：谁能做什么，一目了然
- 权限角色：用户管理以「权限角色 → 资源范围 → 生效权限预览」组织，预置客服接待、知识维护、智能体配置、群聊运营、服务质检、培训管理等角色模板。新建员工不再默认开通全部功能，必须明确选择角色或授权方式才能保存；选择「全部标准功能」时还会二次确认，提示其中包含的高敏感功能。
- 敏感权限单独授予：接入外部 MCP、OAuth 授权接入等敏感能力，不包含在「全部标准功能」里，必须单独授予。
- 生效权限预览：保存前就能看到这个人最终拥有哪些权限、分别来自哪个角色。
- 权限变更永久留痕：每次授权变化都记录修改前后的值，并且永久保留。
- 改权限立即生效：员工的权限被调整、密码被修改或账号被停用后，该账号所有设备的登录状态会立即作废，必须重新登录。
- 停用企业即时暂停：企业被停用后，已登录的会话立即失效，不能再通过刷新凭证继续使用。
- 平台后台按名单放行：平台运营后台只对点名授权的人员开放，并对管理端所有写操作留痕。
三、账号与登录：挡住撞库和盗号
- 密码加密存储：密码经 bcrypt 单向加密后保存，平台自己也无法还原明文。
- 统一的错误提示：登录失败一律提示「企业代码、用户名或密码错误」，不透露到底是企业不存在、账号不存在还是密码错误，攻击者无法借此探测账号。
- 多维度失败限制：连续输错按「账号 + 来源 IP」计数并锁定，IPv6 按子网归并，换地址也绕不过去；计数操作是原子的，并发请求也无法钻空子。
- 撞库告警：同一账号在一小时内从不同来源累计失败过多时，平台会主动告警，方便运营人员及时介入。
- 请求限长：登录字段与请求体都有长度上限，防止超长输入消耗服务器资源。
- 凭证按设备轮换：每台设备的刷新凭证单独登记、使用后自动轮换，多端登录互不影响。
- 防凭证盗用：如果一张已经轮换掉的旧凭证被再次使用，平台会判定为疑似盗用，立即作废整条凭证链并告警；用户点「退出」时，服务端同步作废该设备的凭证，不只是清理浏览器。
四、密钥安全：重要密钥加密保存、打码显示
企业接入大模型、QQ 机器人、外部 MCP 服务、平台技能、文档解析时，都要填写第三方密钥。立刻智能体对这些密钥：
- 采用 AES-256-GCM 加密后再入库，即使数据库文件外泄，也拿不到明文；
- 页面上打码显示，保存后不再完整回显；
- 外部 MCP 服务修改地址时，要求重新填写密钥，防止密钥被悄悄带到别的地址；
- 提交到智能广场的 MCP 配置不包含密钥，其他企业复制后必须填自己的。
平台自身的 JWT 签名密钥等系统级密钥全部通过环境变量注入，服务启动时强制校验，不合格不启动。
五、开放接口与 MCP：开放能力，也守住边界
- API Key 只走请求头：开放 API 与 MCP 使用
sk-Key 鉴权，Key 只从请求头读取，不接受放在网址里，避免它出现在浏览器历史和代理日志中。 - OAuth 2.1 标准授权：员工通过 OAuth 接入 MCP 时，采用 PKCE（S256）、授权码一次性、回调地址精确匹配、注册限频等标准机制；授权页面还会锁定第一个打开它的浏览器，防止授权链接被他人截用。访问令牌 1 小时有效，刷新令牌 30 天并轮换，员工可以随时自行撤销。
- 写入类工具默认关闭：会写数据或对外发消息的工具，必须由管理员手动开启。
- 频率与套餐双重门槛：开放 API 与 MCP 共用调用频率额度，并按套餐控制可用能力。
- 调用记录不存全文：MCP 调用记录只保存必要信息，不保存对话全文，并按套餐自动到期清理。
- IP 白名单：售前线索等对接接口支持 IP 白名单，未配置时默认只允许本机访问，伪造请求头也无法绕过。
- 内部接口强制服务密钥：平台内部服务之间的触发接口必须携带服务密钥，不能因为请求「看起来来自本机」就放行。
六、出站请求：不让平台变成攻击跳板
AI 平台经常需要替用户访问外部地址：自定义模型、外部 MCP、文档解析、立刻云私有化部署。如果不加限制，攻击者可能借平台之手探测内网，这类攻击叫 SSRF（服务端请求伪造）。立刻智能体的防护措施有：
- 禁止访问内网、本机与云元数据地址：保存配置时就拦截，发起请求前再检查一次；
- 钉住 DNS 解析结果：防止先解析到公网、再偷偷换成内网地址的「DNS 重绑定」攻击；十进制 IP 等变形写法同样会被识别；
- 禁止自动跳转：对方返回重定向也不会跟随，避免被引向内网；
- 外部 MCP 只允许 https：通信加密，内网地址一律拒绝；
- 失败信息不带对方响应正文：避免把外部服务的内容原样回显出去。
七、渠道安全：每个接入口都有防护
- 回调防重放：企业微信、公众号回调校验时间戳（±5 分钟）并对随机数去重，QQ 回调同样有 ±300 秒的时间窗，截获的旧请求无法被重复利用。
- 回调地址不暴露身份：企微机器人回调改用短标识，日志与告警中不再出现完整实例标识，接口返回的地址也做了掩码。
- 网页组件防 XSS：嵌入官网的网页组件对 AI 回答的 Markdown 做严格渲染，链接、图片属性逐一转义，错误提示也转义后再显示，恶意内容无法在访客浏览器里执行脚本。
- 访客推送限频：访客触发的群通知按会话去重并限制频率，防止有人利用网页组件刷屏企业员工群；推到员工群的访客原文以纯文本显示，无法伪造格式。
- 每日对话上限：每个网页组件都可以单独设置每日对话上限，并显示今日已用次数，防止被恶意刷量。
- 智能体范围校验：访客只能使用组件已配置且仍启用的智能体，无法通过改参数调用其他智能体。
八、Web 与上传安全
- 安全响应头：全站启用安全响应头，并按页面下发内容安全策略（CSP），限制页面可以加载的脚本来源；
- 上传白名单：上传文件按扩展名白名单校验，不信任客户端声明的文件类型；
- 大小限制：普通请求有 2MB 上限，大文件接口单独设限；会话存档的媒体转存单文件不超过 60MB，防止超大文件拖垮服务；
- 查询转义：知识库关键词搜索中的通配符按字面匹配，避免构造特殊输入撞出越权结果。
九、日志与错误：出了错也不泄露信息
- 日志脱敏：访问日志中的 OAuth 授权码、令牌等敏感参数自动掩码；线索日志中的手机号脱敏；实例标识只记录前几位。
- 错误不回显内部细节：服务器内部错误只返回固定提示，健康检查失败也只返回「不健康」，不会把数据库报错、内部路径等信息暴露给外部。
十、持续审计：安全是一项长期工作
安全不是一次性的工作。近期，立刻智能体开展了多轮系统性安全审计，对认证授权、出站请求、渠道回调、网页组件、日志、依赖库等进行了逐项排查，发现的问题按风险等级排期修复并上线。修复在合并前经过独立审查，并补充自动化测试，防止问题再次出现。
同时，平台持续跟进第三方依赖的安全公告，及时把存在已知漏洞的依赖升级到修复版本。
写在最后
没有哪个系统敢说「绝对安全」，但我们可以做到：每一层都有防护，每一次变更都有记录，每一个问题都有人跟进到底。
立刻智能体会把安全审计作为常态工作继续下去，让企业可以放心地把客户服务交给 AI。
如果您对平台安全有任何疑问或建议，欢迎随时联系我们。