文档中心

大模型应用防火墙

配置大模型防护策略

配置高危操作防护策略

高危操作防护策略用于识别大模型调用工具过程中可能危害系统、网络或数据安全的操作。您可以先使用观察动作记录命中情况，确认策略效果后再启用拦截，降低不当工具调用导致系统破坏、权限变更或数据外传的风险。

标题

仅包年包月企业版实例支持高危操作防护策略。

高危操作类型及说明

大模型应用防火墙支持检测以下 12 类高危操作：

二级分类	防护说明
文件删除与系统破坏	识别文件、目录删除以及可能破坏系统资源的操作，帮助降低误操作或恶意指令导致文件丢失、系统损坏或服务异常的风险。
系统控制与关机重启	识别系统关机、重启、服务停止或服务控制类操作，帮助减少未经授权的系统中断对业务运行的影响。
修改权限	识别权限提升、权限放宽或权限修改行为，帮助降低权限被滥用、异常扩大或篡改的风险。
远程代码下载执行	识别从远程地址下载并执行脚本、二进制文件或其他可执行内容的行为，帮助降低外部恶意代码被引入和执行的风险。
反向连接与远程控制	识别反向连接、远程控制通道或远控命令执行行为，帮助发现可能导致外部控制、横向移动或持续访问的高风险操作。
用户与权限管理	识别系统用户创建、权限变更、角色调整或权限提升行为，帮助降低未经授权的账户管理操作带来的风险。
批量执行与自动化破坏	识别批量执行命令、循环操作、自动化任务或大规模变更行为，帮助降低大范围系统破坏、批量删除或批量修改带来的影响。
禁用安全插件	识别禁用、卸载、停止或绕过安全插件和安全组件的行为，帮助降低攻击者规避安全检测和防护机制的风险。
公网暴露	识别开放公网访问端口、配置隧道、端口转发或公开内部服务的行为，帮助减少系统或服务被意外暴露至公网环境的风险。
内网扫描	识别网络扫描、端口探测、服务枚举或内网资产发现行为，帮助发现可能用于横向移动前置探测的异常操作。
持久化	识别创建定时任务、启动项、系统服务或其他可能用于长期驻留的行为，帮助发现异常持久化配置。
数据外传	识别向外部网络发送敏感数据、导出业务数据、上传文件或通过隐蔽通道传输数据的行为，帮助降低数据泄露风险。

接入与处置建议

SDK 接入

通过 SDK 使用高危操作防护时，应在真实工具执行前，将大模型服务返回的工具调用送至大模型应用防火墙检测。

SDK 接入的推荐处理流程如下：

从大模型服务响应中获取 tool_calls。

将工具调用转换为大模型应用防火墙的 Message.ToolCall 结构，并在真实执行工具前调用检测接口。

根据检测结果执行处置：

DecisionType=1（通过）时，允许执行工具。

DecisionType=2（拦截）时，禁止执行工具。

检测降级（Degraded=true）、返回异常或结果不明确时，出于安全考虑，不建议默认放行执行工具。

如需检测工具执行结果，使用相同的工具调用 ID，通过 Role=tool、ToolCallID 和 Content 送检结果内容。

接口字段及请求示例参见检测大模型输入和输出内容是否合规。

流量接入

流量接入方式下，高危操作防护支持以下协议；其他协议暂无法解析流量中的工具调用字段。

OPENAI_CHAT_COMPATIBLE

OPENAI_RESPONSES_API_COMPATIBLE_V2

QWEN_DASHSCOPE_V2

ANTHROPIC_MESSAGES

GEMINI_GENERATE_CONTENT

GEMINI_GENERATE_CONTENT_STREAM

GOOGLE_INTERACTIONS

前提条件

您已将需要防护的资产接入大模型应用防火墙。接入相关操作，请参见资产接入方式说明。

如果通过 API 或 SDK 送检 Tool Call，请按照检测输入或输出内容是否合规传入工具调用信息。如果当前 SDK 的 Message 类型中没有 ToolCall 字段，请升级到包含该字段的 SDK 版本，或按 API 文档使用 HTTP 方式调用。

操作步骤

登录大模型应用防火墙控制台。

在顶栏选择实例所属地域。

在左侧导航选择防护 > 大模型防护 > 高危操作防护。

启用策略。

单击添加规则，配置规则信息。

参数	说明
规则名称	输入防护策略的名称。名称长度为 1～128 个字符，以中文、字母或数字开头，可包含中文、字母、数字、点号（.）、下划线（_）和连字符（-）。
资产	选择规则生效的 APP（资产）或 PATH（路径）。选择 APP 后，该 APP 下已配置的全部 PATH 均纳入匹配范围。SDK 方式接入的 APP 暂不支持匹配到 PATH。
检测分类	选择需要检测的高危操作类型。支持全选，也可以根据业务场景选择一个或多个分类。
执行动作	选择观察或拦截。观察表示记录命中结果，不改变原链路处置结果；拦截会根据接入方式返回拦截判定或阻断命中的模型响应链路。
规则开关	开启或关闭当前规则。

单击确定。

规则创建后，您可以在列表中查看规则名称和 ID、生效资产、检测分类、执行动作及规则状态。

验证策略效果

将规则的执行动作设置为观察，并使用测试 APP 或 PATH 发送正常工具调用和风险工具调用。

确保高危操作检测发生在实际工具执行前。

API 或 SDK 接入时，将 Message.Role 设置为 assistant，并通过 Message.ToolCall 传入工具调用信息。

流量接入时，使用包含 Tool Call 的模型响应验证协议解析和链路处置结果。

在攻击日志中按资产 ID 或规则 ID 查询记录，核对命中的检测分类和处置结果。

确认误报情况可接受后，再将需要强制执行的规则动作修改为拦截。

说明

正常完成检测并命中高危操作防护策略的请求可在攻击日志中查询。执行动作配置为观察时，原链路处置结果不变；配置为拦截时，API 或 SDK 调用方应依据拦截判定终止工具调用，流量接入场景则由防火墙阻断命中的模型响应链路。

最近更新时间：2026.10.22 21:32:36

这个页面对您有帮助吗？

有用

无用