提示与响应防护规则

提示与响应防护规则

了解 AI-FW 如何检查提示与响应、内置和自定义规则、评估顺序及规则操作。

AI-FW 会在入站提示到达模型前、出站响应返回客户端前进行检查。内置规则覆盖常见攻击和合规风险，自定义规则可扩展组织策略。

内置规则

规则方向操作检测内容
越狱检测inboundblock要求忽略之前指令、覆盖系统提示、DAN 模式和绕过安全控制。
PII 屏蔽inboundmask社保号码、信用卡、电子邮件、API key，替换为 [REDACTED_*]。
有害内容过滤outboundblock仇恨、歧视和骚扰模式。
数据外泄防护outboundblock泄露的系统提示、内部 IP、凭据和私钥。

内置规则在 Rules Manager 中标为 System，可单独启用或停用。自定义规则可添加、编辑、启用、停用和删除。

评估顺序

请求按固定顺序评估；首个产生决定的结果优先，只有仍未决时才继续：

#步骤匹配后的行为
1内置规则运行越狱、PII 屏蔽、有害内容和外泄检测。
2阻止规则返回 400 guardrail_violation；阻止优先于接受。
3屏蔽规则首个匹配改写内容并结束该组。
4接受 / 记录规则首个匹配允许请求；log_only 不保存预览。
5语义层按自然语言策略评分。参阅语义意图分析。
6隐含规则应用默认操作：允许或阻止（默认拒绝）。
阻止规则始终优先

阻止规则一旦匹配，后续操作都不会执行，即使接受规则也匹配。阻止组支持文本规则：regex、关键词、token 限制、模型和用户。

操作

操作效果
block返回 400 guardrail_violation，优先于其他操作。
mask转发前替换匹配文本。
log_only接受但不持久化内容，并记录匹配。
accept接受并记录；预览进入审计轨迹。

单条规则选项

  • Skip semantic check：启用并匹配时跳过语义层。
  • Source IP / subnet：仅在客户端 IP 位于 CIDR 时应用。
  • Destination IP / subnet：仅在解析的 backend IP 位于 CIDR 时应用。
  • Key mode / streaming：固定 upstream key 行为和 streaming 模式。参阅身份与访问指南。

被阻止的请求

被阻止的交易返回 HTTP 400 和结构化错误：

HTTP 400
{
  "error": {
    "message": "The transaction was intercepted and blocked by corporate AI security policy.",
    "type": "guardrail_violation",
    "code": "prompt_injection_detected",
    "details": { "policy_id": "BUILTIN-JAILBREAK", "timestamp": "2025-01-15T10:00:00Z" }
  }
}

响应还包含 X-Gateway-Security: Violated 标头。

保留结构的改写

PII 屏蔽和默认模型替换保留 JSON 结构：仅修改 JSON 字符串值和 model 字段。工具/函数调用、streaming 选项和其他字段逐字节透传。

Fail-open 选项#

Gateway 默认 fail-closed：scanner 出错或缺少配置时阻止请求。Settings -> Fail-open Options 提供三个可选例外，默认关闭：

开关启用后的行为
Scanner exceptionsPrompt scanner 异常时允许请求并记录审计事件。
Response-scan exceptionsResponse scanner 异常时转发未扫描响应，不写入缓存。
Compression gate语义层不可用时无门控压缩；低于阈值的偏移仍会被拒绝。

每个 fail-open 事件都会记录警告并写入审计。

相关内容

后续阅读

后续阅读