企业AI安全出现“网关已经拦截，权限审计却仍然漏掉越权”时，问题往往不在入口有没有日志，而在身份没有沿着请求链继续传播。网关可能知道用户是谁，应用却换成了共享服务账号；模型会话可能保留了用户信息，知识库查询却只带应用身份；工具执行可能只记录密钥，审计最后只能看到一个技术账号。入口控制和后端授权是两段不同的链路。

适用场景：企业已经部署AI网关、统一身份或审计系统，仍然无法解释某次检索、模型调用或工具动作究竟由谁发起、代表谁授权、访问了哪些资源。

网关拦截与后端越权是两件事

网关主要处理请求进入系统之前的认证、路由、限流、基础策略和入口审计；权限审计需要判断调用主体能否访问具体资源、执行具体动作，并保留当时的授权依据。一个请求在网关层被放行，并不意味着知识库、模型会话或工具执行都应该放行；一个请求在网关层被拒绝，也不代表后端没有留下需要复盘的事件。

判断越权至少要回答四个问题：真实主体是谁，应用代表谁，访问或执行的资源是什么，当时依据哪套策略做出决定。缺少任何一个字段，日志可能仍然很多，但证据链无法闭合。尤其是AI应用常会代替用户进行检索、生成和调用，代理关系必须显式表达，不能只依赖调用链上的一个账号名。

越权往往发生在身份传播链的断点

下图把用户、网关、应用、模型会话、知识库和工具连接起来，并标出两个常见断点：应用换成共享身份，以及会话没有把资源权限传到知识库或工具。

身份传播不是简单地把用户ID复制到每条日志里。还需要区分认证主体、代理应用、当前会话、授权主体和实际执行凭据。用户登录了某个应用，不代表应用可以无限代表用户访问所有资源；应用拿到某个服务账号，也不代表该账号的权限可以覆盖全部用户。

用户到网关：先确认入口身份是否可信

入口至少要记录用户或调用主体、租户或组织、应用、认证方式、会话和请求关联ID。对于异步任务、批处理和跨服务调用，还要记录任务发起者与执行者的关系。若入口只保存一个易变的昵称或客户端IP，后续很难完成稳定追溯。

网关到应用：代理关系要能被解释

应用常以服务账号调用模型或知识库。此时应保存“谁发起、哪个应用代理、使用什么授权范围”的最小快照，不能让服务账号完全覆盖原始主体。代理关系有变化时，要能看见授权生效时间和策略版本。

应用到模型会话：上下文不是授权凭据

模型会话中的系统提示、历史消息和用户标识可以帮助生成上下文，但不能单独作为资源授权依据。应用需要把用户和资源权限传给检索、工具和业务系统，并在权限变化时重新判断。会话较长、跨轮复用或异步恢复时，尤其要检查旧授权是否被错误沿用。

模型会话到知识库：检索结果要带资源边界

知识库查询应能关联主体、应用、文档或数据域、查询时间和授权结果。只记录“返回了若干片段”而不记录资源边界，会让审计无法判断结果是否越权。对于分段、向量化和缓存，还要确认权限信息没有在数据复制过程中脱落。

模型到工具：技术凭据不能替代业务授权

工具执行需要知道动作、目标资源、真实主体、代理应用、技术凭据和策略决定。模型生成了一个函数调用，不代表调用已经授权。工具返回结果也可能包含敏感数据，需要继续关联会话和请求。

权限审计至少要保留哪些关联字段

日志字段应遵循最小必要原则，但不能少到无法还原事件。可以按主体、请求、资源、策略和结果五组检查：

• 主体：用户、服务主体、应用、租户、代理关系和认证时间；
• 请求：统一事件ID、会话ID、父子调用关系、开始结束时间和来源；
• 资源：知识库、文档或数据域、模型、工具、目标对象和环境；
• 策略：授权策略版本、决策点、允许/拒绝结果和例外审批；
• 结果：返回类型、执行状态、失败原因、影响范围和关联告警。

这些字段不一定由一个系统保存。关键是明确每个字段的真源、同步方式、完整性和访问范围。网关可以提供入口事件，IAM或业务系统可以提供授权决定，知识库提供资源访问记录，工具系统提供执行结果，审计平台负责关联和保全。没有真源和时间对齐，跨系统拼接仍可能产生错误结论。

从一次越权事件反向重建证据

发生疑似越权后，先固定事件ID和时间窗口，避免在日志轮转或策略变更后只看当前状态。然后沿以下顺序复核：请求由谁发起，进入哪个应用，应用是否代理主体，模型会话包含哪些必要上下文，检索命中了哪些资源，工具是否执行动作，授权策略在当时是什么版本，最终结果如何返回。

复核时要区分事实和推断。日志显示某服务账号调用工具，只能证明技术主体，不自动证明真实用户；审计显示网关已认证，也不能证明后端资源授权成功。每个断点都应标记已证实、待核对或无法恢复，并记录下一步需要的系统证据。

如果多个事件共用一个服务账号，应该先承认定责粒度不足，而不是根据时间或业务习惯猜测人员。后续补救可以从事件关联、短时凭据、代理字段、资源授权快照和工具动作日志入手，但补齐字段后仍需演练和验证。

典型误区：把共享账号当成简单实现细节

共享服务账号有时是系统集成的现实选择，但必须明确它的边界和补偿控制。若应用只使用一个固定账号，后端可能无法区分不同用户的资源权限；若把用户ID写进普通文本日志，却没有让授权系统使用该身份，审计只能看到描述，不能证明决策。

补偿控制可以包括短生命周期凭据、每次调用的代理主体、资源范围、策略快照、人工审批和高风险动作二次确认。具体方式取决于企业身份与应用架构，不能把某种技术模式写成万能方案。共享账号如果没有过期、轮换、最小权限和使用审计，还会扩大密钥泄露影响。

身份字段能证明“谁发起”，授权快照才能解释“为什么允许”，执行事件才能证明“最终做了什么”。三者缺一不可。

如何验证网关、权限与审计是否真正贯通

可以设计四类授权测试，使用脱敏资源和受控环境：

正常访问

授权用户顺利获得应用检索允许范围内的知识，检查用户、应用、会话、资源和结果能否关联。验证日志字段是否在网关、应用和知识库之间保持一致。

越权访问

让同一应用分别代表有权和无权主体访问不同资源，观察后端是否重新执行资源权限判断。测试重点是边界和证据，不是制造真实攻击。

代理调用

应用使用服务账号调用工具，但为不同用户设置不同动作范围，确认工具侧能看到代理关系和授权结果。若只能记录服务账号，应标记为定责缺口。

权限变更

在会话进行中改变主体权限，确认后续检索和工具动作是否按新授权判断，还是继续使用旧会话快照。需要记录生效时间、缓存和策略版本。

测试结果应区分网关放行、后端授权、审计关联和最终执行四个状态。一个请求被网关挡住，不代表其他三项已经顺利获得；一个请求被放行，也不代表后端必然存在越权。

相关内容可查看 AI基础设施分类。如果身份、网关、模型和审计需要在同一平台架构中评估，可查看 AI解决方案，发布前核验链接状态。

下一步先补齐一条身份传播链

选择一条真实但脱敏的请求，从用户入口追到知识库和工具执行，逐跳记录主体、代理、会话、资源、策略、结果和真源。先修复最早的断点，再做一次正常、越权、代理和权限变更复验。完成后再决定是补网关字段、调整IAM集成、改造应用授权，还是引入更完整的审计关联能力。

企业AI安全的关键不是让网关记录更多字段，而是让每个后端动作都能回到正确主体和当时授权。这样才能把“网关拦住了”和“权限审计能定责”放进同一条可验证链路。

常见问题

AI网关记录了用户ID，为什么还不能完成定责？

因为用户ID只说明入口看到的主体，不一定说明后端资源和工具实际使用了谁的授权。应用可能换成共享服务账号，模型会话可能复用旧上下文，知识库可能只看到应用身份，工具又可能只记录技术凭据。若这些系统之间没有统一事件ID、代理关系、资源对象和授权快照，审计只能证明请求经过网关，无法证明哪个主体访问了什么、依据哪套策略被允许以及最终执行了什么动作。

定责还需要时间对齐和结果证据。应把网关入口、应用代理、会话、检索、工具授权和执行结果关联到同一事件或父子事件链，并记录策略版本、主体变化和异常。若共享账号导致无法区分人员，应明确标记证据不足，不要用业务推测替代事实。后续可顺利获得代理身份、短生命周期凭据、资源授权快照和执行审计补齐链路，但要在受控场景复验。

应用使用服务账号是否一定构成越权风险？

不一定，但它会增加身份和责任边界的复杂度。服务账号可以用于应用与后端系统的机器间通信，前提是权限范围足够小、生命周期可管理、调用能关联真实主体和代理关系，并且后端仍按资源与动作执行授权。若服务账号拥有超出业务需要的广泛权限，或者所有用户共享同一账号而没有代理字段，越权和事故定责风险会明显增加。

评估时应检查服务账号的权限、凭据轮换、调用范围、授权快照、用户到应用的映射以及工具执行日志。对检索和工具动作分别测试有权、无权、权限变更和异常回退场景。不能只因为账号是“内部账号”就视为可信，也不能要求所有系统都直接接收用户密码。重点是让技术身份与业务主体之间的代理关系可解释、可限制、可审计。

权限审计应保存每次请求的完整内容吗？

不应默认保存完整Prompt、完整响应、密钥或所有知识库原文。完整内容可能包含个人信息、商业秘密、凭据或其他敏感数据，长期保存会扩大泄露面和访问管理负担。审计第一时间需要保证主体、事件、资源、策略、动作、结果、时间和关联关系足以支持判断，再根据风险和业务需要决定是否保存经过脱敏、摘要化或受控取证的内容。

可以采用分层证据：普通请求保存最小关联字段，高风险动作增加审批、参数摘要和结果状态，发生事件时在授权流程下保全必要内容。字段、保留和访问应有责任人、审批和导出审计，删除和轮转也要可验证。若只保存摘要导致无法复核，应说明缺口；若保存全部内容却没有最小化、加密和访问控制，也不能称为审计闭环。具体保存策略还需结合企业制度与适用要求核定。