合规义务最终都落在「内容」上
企业把大模型接入业务，最先想到的往往是效果与成本，而不是合规。但只要服务面向内部员工或外部客户开放，几项义务就已经自动生效。
这类义务大致有五项。内容安全主体责任：面向公众提供生成式人工智能服务的运营者，需对训练数据来源合法性与生成内容合规性负责，并建立人工审核与应急处置机制。备案与评估义务：具有舆论属性或社会动员能力的服务，需履行算法备案并开展安全评估。内容标识义务：生成合成内容需按规定添加标识。数据合规义务：输入输出环节都可能触及个人信息与重要数据，受个人信息保护相关法规约束。等级保护义务：安全等级保护基本要求中关于日志留存、访问控制与安全审计的条款，同样适用于承载大模型业务的系统。
这些要求最终都指向同一个技术落点：应用与大模型之间那条数据通道。传统边界设备看不到、也读不懂这条通道里的自然语言内容，这正是大模型应用防火墙被单独提出的原因。
输入侧：提示词注入既是技术漏洞也是合规缺口
提示词注入是指攻击者在输入中夹带恶意指令，诱导模型忽略原有系统提示、执行非预期操作。与之相邻的还有越狱提示词，即通过特定话术让模型绕过既有的安全约束。
从合规角度看，这类攻击的后果并不抽象。它可能导致内部知识库内容与系统提示词被套取、应用背后的工具与接口被越权调用、模型输出被操纵成违规内容，甚至影响关键决策流程。一旦发生，服务提供者仍需为结果承担责任——攻击者是外部人员，并不改变内容安全责任的归属。
难点在于传统设备难以应对。基于特征与规则的检测体系检查的是报文中的特殊字符与已知攻击串，而大模型攻击全程使用普通自然语言，不含任何异常字符；再叠加多语言混写、多轮对话逐步诱导、跨会话长周期铺垫，规则库几乎无法覆盖。
因此输入侧需要的是能理解语义意图的检测能力：一类是面向已知模式的高速内容检测引擎，负责高吞吐场景下的第一道过滤；另一类是具备上下文理解能力的语义检测引擎，用于识别意图层面的诱导与绕过；会话级的关联分析则用于发现单轮看不出问题、多轮才成型的攻击。这些检测都需要在线完成，处理延迟通常要控制在毫秒到百毫秒量级，否则流式对话的体验会受到明显影响。
输出侧：敏感信息与违规内容两条红线
输出侧的合规压力来自两个方向。
其一是个人信息保护。模型在回答过程中可能带出身份证号、手机号、住址、银行账号等个人敏感信息，也可能带出内部项目代号、合同金额、财务口径等商业敏感内容。合规做法是在输出环节实时识别并做脱敏处理，用掩码或替换方式呈现，同时支持企业按自身业务自定义敏感字段类型——通用规则库无法覆盖每家企业内部的敏感定义。
其二是内容安全。涉政、色情、暴力、诈骗、辱骂等违规类别需要在语义层面过滤，而不是靠关键词命中，因为改写、谐音、隐喻都会让关键词失效。处置动作也应分级：正常放行、敏感脱敏、敏感问题代答、明显违规直接拦截。输出环节还需配合生成合成内容标识要求落地。
这里有一个常见误区：已经接入第三方内容审核接口，不等于完成合规。多数内容审核服务只覆盖输出侧的合规性判断，缺少输入侧的注入检测、跨会话策略控制与算力滥用防护。两者互补，不能相互替代。
审计、权限与算力成本的治理要求
除了内容本身，审计与权限也是合规检查的必看项。
日志留存方面，等级保护要求相关日志留存不少于六个月。防护设备应完整记录源 IP、会话标识、命中策略、检测内容摘要与处置动作，既支撑事后追溯，也便于监管核查时举证。留存周期建议配置为可与行业要求对齐的档位，并确保日志本身不被业务侧随意修改。
权限最小化与过度代理拦截方面，大模型应用常被赋予调用外部工具、查询数据库的能力。若权限划定过宽——例如只读业务却拿到了增删改权限、能直连数据库——一旦被注入利用，影响会从内容层面扩散到数据层面。可行的做法是让防护设备识别模型意图调用的工具与动作，并与管理员预设的权限范围做比对后拦截。
算力滥用防护常被忽略。大模型场景存在明显的攻防成本不对等：攻击者用极小成本构造超长输入或递归上下文扩展，就能消耗大量推理算力，造成服务质量下降与成本失控。应对手段包括按 Token 限流、限制单次输入输出长度、识别自动化流量与人机校验。
还有一条容易被忽视的原则：系统提示词不应存放认证凭证、连接字符串等敏感数据，应用也不应通过把任务委托给模型来绕开会话管理与授权校验。
部署拓扑与选型自查清单
从落地形态看，防护设备通常有三种部署方式。一是以安全 API 网关形态代理大模型推理接口，适合自建推理服务并向内外部提供 API 的场景，可统一纳管多个模型；二是在业务应用前端部署，适合使用外部大模型 API、或自建与外部兼有的场景，一站式覆盖应用侧风险；三是混合部署，同时启用 API 防护与应用防护，适配一体机加内部 API 并存的架构。
采购前建议按以下清单自查：明确本业务需要履行的备案、安全评估与内容标识义务；核对输入注入检测、输出脱敏、违规类别与自定义字段是否全覆盖；确认日志字段与留存周期能否满足审计要求；验证流式输出场景下的延迟是否可接受；确认对现有 API 协议与多模型接入的兼容性，以及是否支持信创环境部署；最后理清与既有内容审核、网关、日志平台的责任边界，避免能力重复或出现空白。