私有化部署就安全了吗？内网不等于安全的五个缺口
私有化部署解决的是数据不出域，不是没有安全问题
这句话我们在客户现场说过很多次。很多单位上私有化，动机很实在：聊天记录、合同、客户名单不能发到公网 API 上去。这个诉求，私有化确实能解决——模型跑在你们机房的 GPU 上，请求不出内网。但项目验收单签完，真正的安全工作才刚开始。我们接手过几个“已经私有化部署”的环境，进场当天就发现问题：管理后台没有密码，向量库端口对整个办公网开放，对话日志只留了三天。数据确实没出域，但它在内网里是敞开的。
所以先把这句话说清楚：私有化是数据边界问题的解法，不是安全问题的总解法。
缺口一：账号——默认口令上线三个月没人改
开源的智能体平台、模型网关、向量数据库，装完都会给一个默认管理员账号。演示环境无所谓，生产环境这就是门锁挂在门上。常见情形是 IT 部门装的、业务部门在用，谁都以为对方改过密码。
- 把“重置所有组件默认账号”写进验收清单，并记录在密码管理工具里，不接受“记在群里”。
- 面向员工的访问入口和运维后台分开，后台只允许运维网段访问。
- 集成企业微信、钉钉登录可以做，但要保留一个本地应急账号，否则 IdP 挂了谁都进不去。
缺口二：权限——知识库不分层，等于全公司共用一个网盘
私有化之后知识库往往是整批导入的：制度、报价、合同模板、项目文档一股脑进去。RAG 检索按语义相似度召回，不认部门。销售问一句“某某项目报价多少”，模型可能把技术部的成本表段落召回并答出来。这不是模型不听话，是权限没有下沉到文档级。做 企业知识库 时我们一般要求先做数据分级：公开、内部、受限三档，入库时打标签，检索时按用户身份过滤——这一步比换更贵的模型有用得多。
一个容易忽略的点：embedding 也会泄露原文
有人以为向量库只存数字、不存原文就安全。向量可以比对、可以反推，检索结果最终还是要还原成文本喂给模型。所以向量库的访问权限要和原文库一个级别来管，不能随手放在一台谁都能连的测试机上。
缺口三：日志——出了事查不到谁问过什么
《网络安全法》要求网络日志留存不少于六个月，这条对内部 AI 系统同样适用。但很多私有化环境只留了应用访问日志，没留对话日志：谁、什么时候、问了什么、模型答了什么、有没有触发敏感词拦截、有没有导出。真出问题时，这些记录是事后还原现场的主要依据。
| 建议留的日志字段 | 用来回答什么问题 |
|---|---|
| 用户 ID + 时间 + 会话 ID | 追溯某一次具体问答 |
| 命中的知识库文档 ID | 判断敏感内容从哪份文档流出 |
| 检索片段与最终回答 | 复盘答错、答偏的原因 |
| 导出、下载动作 | 数据外流审计 |
| 模型名称与版本号 | 回答质量变化时做归因 |
日志本身也是敏感数据，别随手导成 Excel 扔共享盘。留存多久、谁能查、查之前要不要审批，提前定好，别等出事再临时补规矩。
缺口四：补丁——内网机器容易变成孤儿版本
私有化环境通常没有外网，升级要人工搬包。结果就是上线时装的版本，一年后还在跑，而这一年里上游修了若干漏洞。我们见过推理框架停在很早期的提交上，连已知的反序列化问题都没补。这件事不需要多高技术，需要的是有人负责。
- 固定每季度做一次版本盘点，列出每个组件的当前版本和上游版本。
- 建一个隔离的预发环境，补丁先在那里验证，避免升级把业务打断。
- 模型权重、镜像、依赖包在本地留一份离线仓库，断网也能回滚。
- 把运维交接写进 私有化部署 的交付文档，别让它半年后变成谁都不敢动的黑盒。
缺口五：数据导出——内网防住外人，防不住里面的人
私有化之后大家容易松一口气，觉得数据在自己家。真正的高危路径往往从内部走：员工把回答复制到个人网盘、把知识库批量导出、把模型权重拷到移动硬盘。上线时防住了公网 API，没防住 U 盘。
能做的：关掉或限制批量导出接口，给导出动作打日志并告警，对受限文档做水印，离职流程里加一条“AI 平台账号与历史会话清理”。这些都是管理动作，不是技术动作，但缺了它们，前面四件事的效果会大打折扣。
一张对照表：私有化解决了什么，没解决什么
| 风险面 | 私有化是否解决 | 还需要做什么 |
|---|---|---|
| 数据出域到第三方 API | 能解决 | 确认无外呼，模型与依赖全部本地化 |
| 传输与存储加密 | 部分解决 | 内网 TLS、磁盘加密、密钥单独管理 |
| 账号与身份 | 未解决 | 对接 IdP、重置默认口令、留应急账号 |
| 权限与数据分级 | 未解决 | 文档级标签、检索时按身份过滤 |
| 审计与日志 | 未解决 | 对话级日志、留存策略、查询审批 |
| 漏洞与补丁 | 未解决 | 季度盘点、预发验证、离线仓库 |
| 内部人员外带 | 未解决 | 导出管控、水印、离职流程 |
上线前后各做一次，比事后补救便宜
我们把上面这些压成两份清单。上线前：默认口令、端口暴露面、账号来源、数据分级、日志字段、备份与回滚方案。上线后每季度：版本盘点、权限复核（含离职与转岗）、日志抽查、导出记录复盘、模型与提示词变更登记。
顺带说一句，如果这套系统还接了 AI 智能体 去执行实际动作——查库存、发邮件、改工单——权限问题会被放大。智能体用的是某个账号的权限，它能做的事就是那个账号能做的事。给它单独开一个最小权限账号，比图省事给管理员账号要稳得多。
下一步：先从三件小事查起
如果你手上已经有一套私有化环境，不用推倒重来。把部署清单翻出来，确认三件事：每个组件的默认账号都改过、管理端口没有对整个办公网开放、对话日志确实在写。这三件通常一个下午能查完，查出来的问题往往比预想的多。
需要人一起过一遍，可以打 400-873-2750，或走 联系我们 留一份环境概况（组件清单、网络拓扑、使用人数即可），我们先判断风险集中在哪一层，再谈要不要动。具体方案与报价以实际环境评估为准。