在企业环境中为 AI 编程工具构建内容审查层
内容提要
本文探讨企业为AI编程工具构建内容审查层（DLP）的方案，核心是内容审查需在明文可见处进行。路径分两种：可改端点的自研应用用LiteLLM网关，闭源工具如Kiro则用透明MITM拦截。架构采用分层DLP引擎，语义审查小模型须部署在自有VPC内，并用RAG相似度检索弥补新写代码漏检。内容型DLP本质是best-effort检知，非硬预防。
延伸解读
内容审查的物理前提：必须拿到明文
文章强调，无论采用哪种方案，内容审查都只能在能拿到明文的点进行。TLS 加密后，SNI 透传代理只能看到域名，无法审查内容。因此，要么让客户端主动将请求发到网关（如 LiteLLM），要么通过 MITM 终止 TLS 解密流量。理解这一前提，有助于企业评估现有网络设备是否具备审查能力，避免误以为已有代理可以加装 DLP 模块。
内容型 DLP 的局限：best-effort 而非硬预防
文章明确指出，内容型 DLP 本质上是尽力而为的检测，而非硬性预防。对于已登记的指纹（如密钥格式）召回率高，但对新写的代码或改写过的业务逻辑会系统性漏检。因此，企业不应期望 DLP 能完全阻止泄漏，而应将其作为纵深防御的一层，并结合合同条款、出口白名单等其他措施。
语义审查模型必须部署在自有 VPC 内
文章强调，用于语义审查的小模型必须部署在自有 VPC 内，不能使用第三方托管模型，否则等于将待保护的内容二次外发。这一红线同样适用于 RAG 相似度检索所用的向量库。企业若需语义审查，应自建或租用 VPC 内的 GPU 资源，确保数据不出网络边界。
RAG 相似度检索的适用与风险
RAG 相似度检索可弥补新写代码无签名的漏检，但并非万能。其效果依赖机密语料库的完备性，且相似度阈值需要仔细标定，否则易产生误报或漏报。此外，向量库本身是敏感资产，需严格保护。企业应先在异步告警模式下运行，待阈值稳定后再考虑进入同步阻断链路。
Q&A
为什么内容审查只能发生在能拿到明文的点？
因为TLS加密后，工作在TLS之下的设备看不到内容，只能看到SNI域名。要审查内容，必须拿到明文，只有两个点可以：客户端进程内（数据加密前）或终止TLS的代理。
对于能改base_url的自研应用，如何构建内容审查层？
使用LiteLLM统一网关，客户端主动将请求指向网关，网关拿到明文后进行审查。通过pre_call_hook审查prompt，通过pre_mcp_call guardrail审查MCP工具调用参数。
对于不能改base_url的闭源工具（如Kiro），如何实现内容审查？
采用透明MITM拦截：在流量路径上终止TLS，冒充硬编码域名。使用nginx stream的SNI map只对推理端点进行bump，其余透传。需要分发企业CA，并确保推理面使用Bearer token而非SigV4才能改包和阻断。
分层DLP引擎包含哪些层级？各层的作用是什么？
分层DLP引擎从L0到L4：L0正则/关键词表抓固定格式密钥；L1 detect-secrets/gitleaks抓凭证；L2高熵检测抓未知格式高熵串；L3 Presidio识别PII；L3.5内部术语表/EDM精确匹配；L3.7 RAG相似度检索抓改写变体；L4本地LLM做语义判断。同步阻断链路只放L0-L3.5，L4默认异步告警。
为什么语义审查的小模型必须部署在自有VPC内？
因为如果使用第三方托管的LLM进行审查，等于把要保护的内容又发送给另一个云端模型，造成二次泄漏。所以生产环境的L4语义模型必须本地自建或部署在自有VPC内，确保待判内容不出网络边界。
RAG相似度检索如何弥补新写代码漏检的缺口？
RAG将企业已知机密语料切块嵌入向量库，在线将待外发内容嵌入后检索最近邻，计算余弦相似度，超过阈值即命中。它比EDM更容忍改写，比纯LLM判断更有参照，可解释可追溯，且增量更新。
上MITM前有哪些必测项和CA硬门槛？
必测项包括：证书固定测试、数据面认证模型确认、索引合规、各栈CA信任实测、HTTP层干扰测试。CA硬门槛包括：按栈分别下发CA（如NODE_EXTRA_CA_CERTS、SSL_CERT_FILE等），禁止NODE_TLS_REJECT_UNAUTHORIZED=0，使用X.509 Name Constraints限定域名，私钥保护（HSM/KMS）。
内容型DLP的本质局限是什么？
内容型DLP是best-effort检知，不是硬预防。扫描通过不等于没有泄漏。因为一段内容是否机密取决于业务归属和上下文，而非文本特征。对已登记指纹召回率高，但对新写代码、改写过的业务逻辑会系统性漏检。
企业落地内容审查层的推荐顺序是什么？
第0层：立即做，不碰TLS，包括自研应用上LiteLLM网关、Kiro场景用合同opt-out+MDM下发.kiroignore+default-deny出口白名单。第1层：仅当需要同步硬阻断时，受控引入网关式集中拦截+分层DLP引擎。第2层：补检测深度，VPC内小模型默认异步告警，RAG先异步再评估进同步。
