智能体RAG架构怎么设计？解析、切分、检索、重排与生成
2026-08-24 · 阅读时长 6 分钟
从安全视角拆解RAG全链路风险，兼顾检索效果、访问控制、数据防泄漏与审计追溯
核心结论：企业级RAG不只是解析、切片、向量检索与大模型生成的技术流水线，每一个环节都引入数据泄露风险。安全设计必须把权限元数据贯穿全链路，实现访问过滤、来源可追溯、全流程审计，才能在生产环境落地使用。
一、为什么通用RAG架构无法直接用于企业安全场景
结论：Demo级RAG优先追求问答效果，把文档处理、向量检索、模型生成作为独立技术环节，忽略企业安全约束，会带来权限失效、敏感数据扩散、审计缺失等隐患。
文档解析阶段，只提取文本内容，丢弃文档权限、密级、所有者、版本等元信息，原始访问控制规则在进入向量库之前就丢失。
文本切分环节，切片只存储纯文本，权限、密级不绑定到每一个切片，向量片段变成无身份的碎片化数据。
检索召回阶段，先执行向量相似度检索，拿到候选片段之后再做权限过滤，敏感片段在内存中已经被读取，存在泄露面。
重排与生成环节缺少输入输出管控，缺乏对敏感内容识别、提示词注入防护，没有记录哪些切片被送入大模型。
会话结束只保存问答记录，不记录完整链路：原始文档、切片ID、召回列表、重排结果、送入模型的上下文，发生安全事件无法回溯取证。
站在CISO视角，RAG系统不只是问答工具，而是一套访问企业敏感文档的新入口，必须把安全能力嵌入解析、切分、检索、重排、生成每一步。
二、Demo级RAG与企业安全级RAG架构差距
结论：二者差异集中在合规证据、敏感数据控制、跨组织协作、项目内容生命周期四个安全维度。
| 评估维度 | Demo级RAG架构 | 企业安全级RAG架构 |
|---|---|---|
| 合规证据 | 仅保存问答结果；不记录切片、召回、重排中间数据；缺少文档来源，安全事件难以溯源 | 完整记录全链路中间数据；回答附带文档来源；可审计每一片段的访问与使用情况 |
| 敏感数据控制 | 元数据在解析切分环节丢失；后置权限过滤；向量片段与权限脱钩，存在越权访问风险 | 切片绑定权限、密级、文档ID；检索前完成身份过滤；从源头限制可访问的文档集合 |
| 跨组织协作 | 全部文档存入同一个向量集合；缺少逻辑隔离；多部门共用容易发生敏感数据交叉暴露 | 支持多知识库逻辑视图；向量集合隔离；不同业务域之间数据互不泄露 |
| 项目内容生命周期 | 源文件删除、变更不会同步清理向量切片；残留过期、已作废的敏感片段 | 源文件变更自动触发切片更新、失效与清理；向量数据生命周期跟随原始文档 |
三、RAG全链路风险‑控制框架：解析、切分、检索、重排、生成
结论：RAG五大核心环节，每个环节都存在安全风险，安全控制不能只做在最终输出，需要嵌入每一步处理流程。
| 阶段风险 | 传统做法缺口 | 建议控制手段 | 业务安全价值 |
|---|---|---|---|
| 文档解析环节 | 只提取正文文本，丢弃权限、密级、文档ID、版本、所有者元数据；加密文档解析处理缺少管控 | 解析同时完整提取元数据；标记文档密级；解析失败日志留存；禁止越权解析受保护文档 | 保留安全上下文，为后续切片权限绑定打下基础 |
| 文本切分环节 | 切片仅存储文本内容；切片与原始文档权限完全解绑；删除源文件，切片依旧留存向量库 | 每一个切片绑定文档ID、权限集合、密级、版本；源文档删除时对应切片批量失效清理；切片独立唯一ID用于审计追踪 | 向量片段不再是匿名碎片，每一段都可以追溯原始文档与访问边界 |
| 向量检索环节 | 先相似度检索，再过滤权限；敏感切片会被加载到内存；攻击者可通过构造提问探测受保护文档 | 检索前基于用户身份过滤可访问文档集合；只在允许范围内做向量检索；限制单次召回切片数量；监控异常高频探测查询 | 从检索源头缩小数据访问范围，减少敏感片段暴露面 |
| 重排环节 | 重排仅做相关性打分；不校验切片权限；重排中间结果不记录日志；重排模型存在侧信道泄露风险 | 重排阶段再次校验切片访问权限；留存重排输入输出日志；管控重排模型输入数据大小，过滤明显异常查询 | 二次防护，防止检索绕过情况下敏感片段送入大模型 |
| 大模型生成环节 | 缺少提示词注入防护；无输出内容检查；不记录哪些切片被送入上下文；输出不附带来源引用 | 开启提示词防护；限制上下文携带切片总量；记录送入模型的切片ID列表；输出附带文档来源；对敏感输出做识别拦截；知识库无匹配内容拒绝编造答案 | 管控模型输入输出，完整留存证据链，降低数据泄露与幻觉风险 |
企业安全级RAG完整链路：
- 文档解析：读取源文档，同时提取正文与安全元数据（权限、密级、文档ID、版本）。
- 文本切分：生成文本切片，每一片切片绑定全部安全元数据，分配唯一切片ID。
- 向量检索：依据用户身份过滤可访问文档集合，再执行向量相似度召回候选切片。
- 重排过滤：相关性重排，再次校验访问权限，筛选合法切片送入模型上下文。
- 大模型生成：防护提示词注入，记录送入模型切片ID，生成带来源引用的业务答案。
- 全链路审计：记录用户身份、原始提问、解析‑切片‑检索‑重排‑生成全链路事件日志。
四、Filez AI知识库的企业安全RAG实现
结论：Filez AI知识库把安全控制嵌入解析、切分、检索、重排、生成完整RAG链路，将权限、密级、文档元数据贯穿处理全流程，面向安全负责人构建可控的智能体知识问答能力。
- 文档解析阶段保留权限、密级、版本、文档ID等元数据，元数据跟随切片一同存入索引。
- 每一个切片分配唯一标识，源文档修改、删除自动触发切片失效、更新与清理，避免残留过期敏感碎片。
- 检索执行前基于用户身份完成文档集合过滤，不在全量向量库中做无边界检索，缩小敏感数据暴露面。
- 重排环节二次校验切片访问权限，形成多层防护，防止检索环节被绕过。
- 模型层具备提示词注入防护，记录送入大模型的切片ID清单，回答输出附带文档来源引用。
- 完整全链路审计日志，覆盖解析、切分、检索、重排、生成各个环节，支持安全事件复盘与内部核查。
五、安全负责人选型评估行动清单
结论：评估RAG架构，不要只测试问答效果，重点核验元数据传递、切片权限绑定、检索前置过滤、重排校验、输入输出防护、全链路审计、切片生命周期管理。
- 解析切分检查：确认文档权限、密级、文档ID可以传递绑定到每一个切片，不会在向量化环节丢失。
- 切片生命周期检查：源文档删除、作废时，对应的切片可自动失效清理，不会残留在向量索引。
- 检索过滤检查：权限过滤发生在检索执行之前，而不是召回之后；低权限账号无法命中不可访问文档切片。
- 重排校验检查：重排阶段再次校验切片访问权限，形成多层安全防护。
- 模型输入输出检查：具备提示词注入防护；可记录送入大模型的切片清单；回答附带文档来源引用。
- 审计日志检查：审计日志覆盖解析‑切分‑检索‑重排‑生成全链路，可用于安全事件追溯。
- 异常行为检查：具备高频探测、异常查询监控能力，可识别针对知识库的越权试探行为。
六、FAQ 安全选型高频问题
Q1：权限后置过滤，召回之后再过滤掉无权限切片，是否足够安全？
不足。敏感切片会被检索加载到内存，存在被探测、侧信道泄露的风险。企业安全方案应当在检索执行前限定用户可访问文档集合。
Q2：为什么切片层面需要绑定权限，只在文档级别控制权限行不行？
只在文档级别控制，无法审计具体哪一段切片被访问使用；切片独立绑定元数据，才可以实现细粒度审计、切片单独失效清理。
Q3：RAG审计日志，只记录用户提问和最终回答是否够用？
不够。发生安全事件时，需要知道哪些切片被召回、哪些送入模型，仅保存问答结果无法定位泄露来源。
Q4：源文档删除之后，向量切片还留在向量库，会带来什么风险？
已作废、已删除的敏感内容依旧可以被检索召回，导致系统输出过期、不允许对外披露的信息，带来数据泄露风险。
Q5：重排环节为什么还需要再做一次权限校验？
作为纵深防御手段，抵御检索层可能存在的绕过漏洞，阻止越权切片进入大模型上下文。
Q6：RAG系统日志是否可以直接满足监管审计要求？
不可以。RAG审计日志提供访问证据素材，企业仍需要结合自身监管要求完成整体合规验证。
获取落地参考资料
下载企业AI知识库落地指南，包含RAG架构安全评估检查表、链路风险点说明、生产环境上线验证步骤，帮助安全负责人区分演示原型与生产级安全RAG方案。
作者：Filez 行业分析师
提示：本文为安全架构评估参考，不构成实施与合规法律意见。RAG系统实际安全效果受文档质量、权限体系、模型配置影响，上线前建议完成安全测试验证。文中提及安全认证代表产品具备对应能力，企业实际落地需要结合自身环境完成核验。
