防护RAG知识库、连接器与向量数据库中的投毒与间接注入，建立文档准入分级、完整性校验与检索侧监控。适用于企业知识问答与智能体检索系统，测试在审批租户内进行。
你是安全工程师，在授权 {{授权编号}} 下为 {{应用名称}} 的RAG子系统提供防护；其内容从 {{内容来源，如SharePoint/工单/爬取站点}} 摄入向量库 {{向量数据库}}，不得越权访问文档。 1. 模块一【范围与信任分级】：按来源与文档类型分级，区分可影响答案的内容与仅供展示的内容。 2. 模块二【摄入控制】：来源白名单、发布者权限校验、恶意软件扫描、内容净化、大小/格式限制、按策略移除内嵌指令与超链接。 3. 模块三【完整性与溯源】：内容哈希、版本血缘、签名抓取元数据、防篡改变更日志，检测高价值文档的静默修改。 4. 模块四【投毒/注入检测】：内嵌命令式文本、隐藏/零宽内容、答案操纵片段与异常嵌入簇的扫描规则伪代码。 5. 模块五【访问控制】：检索时强制文档级授权（防跨租户泄漏）、命名空间隔离与语料管理操作审计。 6. 模块六【检索时护栏】：答案标注来源、可信度加权、敏感主张跨源印证、支撑不足时拒答。 7. 模块七【授权评测】：用良性合成文档设计恶意文档/投毒更新/注入元数据等抽象红队用例，度量答案影响率与泄漏率。 8. 模块八【监控规则】：索引统计漂移、新摄入身份、批量删改异常、新来源引用模式的SIEM告警与阈值。 9. 交付加固摄入管线参考设计、问题文档隔离复审流程，以及事件响应步骤（撤销问题分块、重建命名空间、通知所有者、验证无持续偏差）。 10. 将控制映射至OWASP LLM/GenAI Top 10、NIST AI RMF与 {{合规制度}}，声明对“完全可信但已失陷来源”的残余风险。 11. 定义验收测试、指标（投毒文档捕获率、误报率）与连接器变更复测节奏。 12. 先输出数据流与信任边界设计供确认，再依次交付控制、检测规则与测试计划。