密钥在流式回复的 chunk 中就地脱敏，甚至在抵达客户端之前。
chunk: "sk-live-4f…" → [SECRET] §00 / 平台 · Self-hosted LLM Firewall
如何管控 每一个 AI 请求。
一条固定的流水线：kill-switch、访问、预算、输入与输出双向 DLP、审计。下面拆解每个阶段做什么、每个 DLP 层 拦截什么。每条结论都附技术佐证：延迟、方法、判定。
§01 / 请求流水线
一条路径。一种顺序。 每个请求同一条路线。
11 个阶段沿固定轨道推进：无一被跳过，也不会改变次序。DLP 触发 两次，在输入与输出各设一道闸门。完整的 pre-call 流水线只为请求增加 毫秒级 开销，并随副本线性扩展，不拖慢开发节奏。
01 kill-switch
任何操作之前的紧急停止
L0–L4 · Redis · 瞬时
02 auth
是谁、担任什么角色
JWT / OIDC / SAML · RBAC
03 model ACL
所请求的模型是否被允许
whitelist allowed_models
04 rate limit
是否超出各自的限额
Redis sliding-window · per-role RPM
05 budget
该请求是否还有预算
user / team / org · 耗尽时返回 402
06 DLP · pre DLP
什么发往模型，杜绝泄漏
0–5 层并发 · BLOCK / MASK
07 cache
这个是否已经回答过？
SHA-256 · 可选 embedding 余弦
08 proxy
向提供方发起请求
httpx forward · retry + fallback 链路
09 DLP · post DLP
模型返回了什么，正在受检
6–7 层 · 幻觉 / copyright
10 cache store
保存回复以备后用
写入 + keyed-HMAC attestation
11 audit + 指标
每一步写入不可篡改的日志
HMAC-chained · 指标 · SIEM CEF
→ 响应客户端
同一份响应契约，同一个 request-id
response · 0 隐藏跳数
客户端与模型之间 0 隐藏跳数 任何阶段都可被 kill-switch / policy-as-code / SIEM 覆盖
§02 / DLP 引擎
八层检查。 外加 multimodal，并发执行。
0–7 层与 multimodal 在磁盘上共 23 个 scanner 模块。活跃阶段并行执行（asyncio.gather），因此请求只需一次总体遍历即可通过，而非各层耗时相加。标签颜色以晶体色散色谱编码所属层。
输入 来自客户端的请求
L0
Prompt injection · multi-signal 注入、同形字、prefix-injection、payload-split
快 默认开启
L1
Regex · 密钥与 PII · Go regex 密钥、经 Luhn 校验的银行卡、带校验位的 INN · SNILS · 护照
瞬时 默认开启
L2
Presidio NER · spaCy 自由文本中的 PII：姓名、地址、电话
快 默认开启
L3
ML 分类器 · LLM Guard · CPU 按语义识别 injection、toxicity、secrets、invisible-text
快 opt-in
L4
Corporate · canary · 词典 + 标记 项目名、内部域名与 IP、canary 令牌
瞬时 默认开启
L5
Semantic guard · 语义相似度 按语义识别的违禁主题与意图
快 opt-in
L6
Hallucination · 回复之后 编造的引用与 DOI、回复中的自相矛盾
post-call opt-in
L7
Copyright · 回复之后 输出中的指纹、GPL / AGPL / SPDX 头
post-call opt-in
MM
Multimodal · OCR · pytesseract → 0–7 层 消息中的图片 → OCR → 再次 DLP
OCR · pre opt-in
输出 发往模型的已清洗请求
层之上的机制
NFKC 归一化与去除 zero-width 在扫描前完成：用不可见字符绕过不会奏效。
ｓｋ-ｌｉｖｅ → sk-live → 扫描 模型不会沦为 exfil 通道：在回复中回显占位符的行为会被拦截。
 → 已阻断 每个判定都转化为动作。Graded-trust 不会把 injection 降级为脱敏。
BLOCK · MASK · WARN · LOG DLP 失败时关闭云端请求；对本地模型则放行：数据本就在边界内。
云端：closed · 本地：open 开箱即用的规则集外加 marketplace 扩展包。DLP 配置可按租户设置。
开箱即用 + marketplace §03 / 方法对比
没有一种方法能拦截全部。 因此我们不只选一种。
每种检测方式都有各自的强项与短板：两条定性曲线显示某方法在何处更快、在何处更深入。我们同时呈现两者，而不是把某一种当作银弹兜售。
Regex L1
速度
深度
确定性、瞬时扫描、零漂移 对改写视而不见，遇混淆即失效
NER L2
速度
深度
识别自由文本中的 PII，具备语言感知 漏掉罕见格式，会产生误报
ML 分类器 L3
速度
深度
按语义捕捉意图 不透明、会漂移，需要校准阈值
LLM 裁判 scanner
速度
深度
兼顾上下文与推理，对复杂攻击召回率最佳 延迟与成本高、非确定性，不适合 realtime
Prizma 各层并发
速度
深度
并发运行各层并综合判定：regex 拦截精确项，NER 与 ML 补足语义项，LLM 裁判在请求主路径之外、于扫描器中运行。
整条流水线 · 每请求毫秒级 · asyncio.gather，而非各层相加
若只需最大化提供方覆盖而不需要 DLP：可选用 LiteLLM，它能作为传输层留在 Prizma 之后。 FAQ 中详解
§04 / Kill-switch L0–L4
五级停止。 从全部流量到单个 agent。
作用域层层嵌套：最外层熄灭全部流量，每往内一层就收窄范围。既可一次全部熄灭，也可精准针对单个模型、单个用户、单个 agent，而不影响其余。
L0 全局停止
停止组织全部 AI 流量 运行中无，完全停止
L1 用户
停止单个用户的请求 运行中其余用户
L2 模型
停止对所有人停用某个模型 运行中其他模型仍可用
L3 云端 egress 本地模型继续工作
停止通往云端模型的出口 运行中本地模型继续工作
L4 Agent
停止单个自主 agent 运行中其余 agents 不受影响
经 Redis 瞬时停止 · 事实源在 PostgreSQL · 完整的 HMAC-chained audit-trail
§05 / RAG firewall
每个 chunk 都是数据。 而非发给模型的指令。
被检索的片段是 indirect injection 最常见的载体。firewall 逐个检查每个 chunk，只放行通过校验的内容进入上下文。被污染的 chunk 会被降级，不会到达模型。
存储
向量数据库 入口处 org_id 预过滤
检查 /v1/rag/inspect · inline rag_context
inspect() 逐 chunk · 并发
demotion doc-frame 中的 injection
EchoLeak 阻断 exfil 标记
unicode decode-and-rescan
DLP chunk 中的密钥
provenance grounding · 来源
org_id 跨租户过滤
spotlight 上下文
在上下文中
§06 / Agents 与 supply-chain
自主 agent 尽在掌控。 它所运行的模型亦然。
Agent 会自主行动，因此每一步都被追踪、参数都被扫描，敏感操作则等待人工确认。模型本身以文件形式送达，在加载前即受检，且无需解包。
Runtime · agent 运行
agent
注册表 · 绑定到 api-key tool-call
工具调用的参数 DLP · args
扫描并脱敏参数 HITL 等待中
等待确认 执行
调用发往工具 AIRQ 0.72
dual-control 防自我批准
自动 kill 异常时 L4
预算 per-run · RPM
Supply-chain · 模型工件
模型工件
picklePyTorch-zipsafetensorsGGUFONNXKeras
prizma-scan 无需解包 · air-gapped · pickletools opcode-walk
判定 allow / block
AIBOM CycloneDX-ML
Zip-Slip · Keras-Lambda · CVE-2025-10155/56/57
准备好了吗？
全部 AI 流量尽在你的掌控
部署在你边界内的 self-hosted LLM Firewall。仅需一行 base_url，任何 prompt 都不会直接外流。
sales@hackadvisor.io 可签署 NDA · 一个工作日内回复