# 把安全做进每一个细节：立刻智能体安全能力全景

来源: https://www.likelic.com/blog/likelicagent-security-overview.html

AI 客服平台上存放的，是一家企业最敏感的资产之一：客户的咨询记录、内部的产品与报价知识、对接各个系统用的密钥。选平台时，「好不好用」重要，「安不安全」更重要。

立刻智能体的安全不是单一功能，而是从账号、数据、接口、渠道到运维，一层一层做进去的。下面按层介绍。

一、数据隔离：每家企业的数据各管各的
------------------

立刻智能体是多租户 SaaS 平台，**所有业务数据都按企业隔离**：知识库、智能体、对话记录、会话存档、机器人实例、调用记录，查询和写入时都带着企业身份做限定。A 企业的员工、API Key、MCP 授权，都碰不到 B 企业的任何数据。

企业内部还有细粒度的**资源范围**：管理员可以指定某位员工只能使用哪些智能体、只能管理哪些知识库分类，做到「同一家公司，不同的人看到不同的数据」。

二、权限体系：谁能做什么，一目了然
-----------------

1.  **权限角色**：用户管理以「权限角色 → 资源范围 → 生效权限预览」组织，预置客服接待、知识维护、智能体配置、群聊运营、服务质检、培训管理等角色模板。新建员工**不再默认开通全部功能**，必须明确选择角色或授权方式才能保存；选择「全部标准功能」时还会二次确认，提示其中包含的高敏感功能。
2.  **敏感权限单独授予**：接入外部 MCP、OAuth 授权接入等敏感能力，不包含在「全部标准功能」里，必须单独授予。
3.  **生效权限预览**：保存前就能看到这个人最终拥有哪些权限、分别来自哪个角色。
4.  **权限变更永久留痕**：每次授权变化都记录修改前后的值，并且永久保留。
5.  **改权限立即生效**：员工的权限被调整、密码被修改或账号被停用后，该账号所有设备的登录状态会立即作废，必须重新登录。
6.  **停用企业即时暂停**：企业被停用后，已登录的会话立即失效，不能再通过刷新凭证继续使用。
7.  **平台后台按名单放行**：平台运营后台只对点名授权的人员开放，并对管理端所有写操作留痕。

三、账号与登录：挡住撞库和盗号
---------------

1.  **密码加密存储**：密码经 bcrypt 单向加密后保存，平台自己也无法还原明文。
2.  **统一的错误提示**：登录失败一律提示「企业代码、用户名或密码错误」，不透露到底是企业不存在、账号不存在还是密码错误，攻击者无法借此探测账号。
3.  **多维度失败限制**：连续输错按「账号 + 来源 IP」计数并锁定，IPv6 按子网归并，换地址也绕不过去；计数操作是原子的，并发请求也无法钻空子。
4.  **撞库告警**：同一账号在一小时内从不同来源累计失败过多时，平台会主动告警，方便运营人员及时介入。
5.  **请求限长**：登录字段与请求体都有长度上限，防止超长输入消耗服务器资源。
6.  **凭证按设备轮换**：每台设备的刷新凭证单独登记、使用后自动轮换，多端登录互不影响。
7.  **防凭证盗用**：如果一张已经轮换掉的旧凭证被再次使用，平台会判定为疑似盗用，立即作废整条凭证链并告警；用户点「退出」时，服务端同步作废该设备的凭证，不只是清理浏览器。

四、密钥安全：重要密钥加密保存、打码显示
--------------------

企业接入大模型、QQ 机器人、外部 MCP 服务、平台技能、文档解析时，都要填写第三方密钥。立刻智能体对这些密钥：

1.  采用 **AES-256-GCM** 加密后再入库，即使数据库文件外泄，也拿不到明文；
2.  页面上**打码显示**，保存后不再完整回显；
3.  外部 MCP 服务修改地址时，要求重新填写密钥，防止密钥被悄悄带到别的地址；
4.  提交到智能广场的 MCP 配置**不包含密钥**，其他企业复制后必须填自己的。

平台自身的 JWT 签名密钥等系统级密钥全部通过环境变量注入，服务启动时强制校验，不合格不启动。

五、开放接口与 MCP：开放能力，也守住边界
----------------------

1.  **API Key 只走请求头**：开放 API 与 MCP 使用 `sk-` Key 鉴权，Key 只从请求头读取，不接受放在网址里，避免它出现在浏览器历史和代理日志中。
2.  **OAuth 2.1 标准授权**：员工通过 OAuth 接入 MCP 时，采用 PKCE（S256）、授权码一次性、回调地址精确匹配、注册限频等标准机制；授权页面还会锁定第一个打开它的浏览器，防止授权链接被他人截用。访问令牌 1 小时有效，刷新令牌 30 天并轮换，员工可以随时自行撤销。
3.  **写入类工具默认关闭**：会写数据或对外发消息的工具，必须由管理员手动开启。
4.  **频率与套餐双重门槛**：开放 API 与 MCP 共用调用频率额度，并按套餐控制可用能力。
5.  **调用记录不存全文**：MCP 调用记录只保存必要信息，不保存对话全文，并按套餐自动到期清理。
6.  **IP 白名单**：售前线索等对接接口支持 IP 白名单，未配置时默认只允许本机访问，伪造请求头也无法绕过。
7.  **内部接口强制服务密钥**：平台内部服务之间的触发接口必须携带服务密钥，不能因为请求「看起来来自本机」就放行。

六、出站请求：不让平台变成攻击跳板
-----------------

AI 平台经常需要替用户访问外部地址：自定义模型、外部 MCP、文档解析、立刻云私有化部署。如果不加限制，攻击者可能借平台之手探测内网，这类攻击叫 SSRF（服务端请求伪造）。立刻智能体的防护措施有：

1.  **禁止访问内网、本机与云元数据地址**：保存配置时就拦截，发起请求前再检查一次；
2.  **钉住 DNS 解析结果**：防止先解析到公网、再偷偷换成内网地址的「DNS 重绑定」攻击；十进制 IP 等变形写法同样会被识别；
3.  **禁止自动跳转**：对方返回重定向也不会跟随，避免被引向内网；
4.  **外部 MCP 只允许 https**：通信加密，内网地址一律拒绝；
5.  **失败信息不带对方响应正文**：避免把外部服务的内容原样回显出去。

七、渠道安全：每个接入口都有防护
----------------

1.  **回调防重放**：企业微信、公众号回调校验时间戳（±5 分钟）并对随机数去重，QQ 回调同样有 ±300 秒的时间窗，截获的旧请求无法被重复利用。
2.  **回调地址不暴露身份**：企微机器人回调改用短标识，日志与告警中不再出现完整实例标识，接口返回的地址也做了掩码。
3.  **网页组件防 XSS**：嵌入官网的网页组件对 AI 回答的 Markdown 做严格渲染，链接、图片属性逐一转义，错误提示也转义后再显示，恶意内容无法在访客浏览器里执行脚本。
4.  **访客推送限频**：访客触发的群通知按会话去重并限制频率，防止有人利用网页组件刷屏企业员工群；推到员工群的访客原文以纯文本显示，无法伪造格式。
5.  **每日对话上限**：每个网页组件都可以单独设置每日对话上限，并显示今日已用次数，防止被恶意刷量。
6.  **智能体范围校验**：访客只能使用组件已配置且仍启用的智能体，无法通过改参数调用其他智能体。

八、Web 与上传安全
-----------

1.  **安全响应头**：全站启用安全响应头，并按页面下发内容安全策略（CSP），限制页面可以加载的脚本来源；
2.  **上传白名单**：上传文件按扩展名白名单校验，不信任客户端声明的文件类型；
3.  **大小限制**：普通请求有 2MB 上限，大文件接口单独设限；会话存档的媒体转存单文件不超过 60MB，防止超大文件拖垮服务；
4.  **查询转义**：知识库关键词搜索中的通配符按字面匹配，避免构造特殊输入撞出越权结果。

九、日志与错误：出了错也不泄露信息
-----------------

1.  **日志脱敏**：访问日志中的 OAuth 授权码、令牌等敏感参数自动掩码；线索日志中的手机号脱敏；实例标识只记录前几位。
2.  **错误不回显内部细节**：服务器内部错误只返回固定提示，健康检查失败也只返回「不健康」，不会把数据库报错、内部路径等信息暴露给外部。

十、持续审计：安全是一项长期工作
----------------

安全不是一次性的工作。近期，立刻智能体开展了**多轮系统性安全审计**，对认证授权、出站请求、渠道回调、网页组件、日志、依赖库等进行了逐项排查，发现的问题按风险等级排期修复并上线。修复在合并前经过独立审查，并补充自动化测试，防止问题再次出现。

同时，平台持续跟进第三方依赖的安全公告，及时把存在已知漏洞的依赖升级到修复版本。

### 写在最后

没有哪个系统敢说「绝对安全」，但我们可以做到：**每一层都有防护，每一次变更都有记录，每一个问题都有人跟进到底。**

立刻智能体会把安全审计作为常态工作继续下去，让企业可以放心地把客户服务交给 AI。

如果您对平台安全有任何疑问或建议，欢迎随时联系我们。