AI 访问安全的策略配置页面是该模块的防护策略下发中心。通过配置不同维度的防护规则，企业可以在不影响员工办公效率的前提下，有效识别并防范因使用 AI 技术带来的数据泄露和运行风险。

针对员工通过浏览器与 AI 对话、开发者利用命令行工具（CLI）进行协作、 AI 应用调用技能（Skill）执行任务，AI 防护策略都能提供识别与风险阻断能力。

前提条件 #

您需要按顺序完成以下配置，才可以配置并生效 AI 防护相关策略。

1. 配置企业自签根证书及证书自动安装范围。客户端信任企业 CA 证书是 SWG 对 HTTPS 流量执行解密检查的前提，请确保已参考配置引流策略的首次配置准备步骤，正确配置企业自签根证书与证书自动安装范围。
2. 配置 SSL 解密策略。针对 HTTPS 流量，系统需要通过解密获取明文内容，才能进行语义审计与 API 提取。请务必确保已参考配置 SSL 解密策略，在 SSL 解密策略中将 AI 相关应用或域名设为“解密”，否则系统仅能实现基础的域名级识别或拦截，语义护栏等防护（如 DLP、意图识别）将失效。
3. 配置大模型语义防护策略。启用 AI 访问安全功能后，配置防护策略后才能进入 AI 访问安全页面进行下一步操作，具体请参考大模型语义护栏策略配置。

开启 AI 安全能力 #

在配置任何具体的 AI 防护策略前，必须先开启 AI 安全全局功能。

1. 登录飞连管理后台。
2. 在左侧导航栏，选择安全 Web 网关 > AI 访问安全。
3. 在功能引导页面，点击开启 AI 访问安全。
   

大模型语义护栏策略配置 #

针对网页端（Web）或桌面端 AI 应用的核心防护模块，其管控粒度深入到 Prompt 语义内容。

1. 登录飞连管理后台。
2. 在左侧导航栏选择安全 Web 网关 > AI 访问安全 > 策略配置。
3. 切换至大模型语义护栏页签，点击页面右上角的 + 新增策略。
   
4. 在添加防护策略页面，完成以下配置并单击确定。
   • 基本信息
     

     配置项	说明
     策略名称	自定义易于识别的策略名称。建议按管控目标命名，如“核心代码防泄露策略”、“全员 AI 使用审计”等。
     优先级	设置 0 - 100 的数值。数值越大优先级越高。当多条策略冲突时，系统仅执行优先级最高的一条。若优先级数值一致，则执行最新添加/修改的策略。
     AI 应用与模型	指定该策略管控的范围，支持按 AI 应用或模型提供商两个维度进行选择。 AI 应用 涵盖主流的网页端 AI（如豆包、ChatGPT、DeepSeek、Kimi 等）及企业内嵌应用（如 Workbuddy）。 模型提供商 已知厂商：支持对 OpenAI、Anthropic、Google 等主流模型提供商（官方、中转站、自建）进行批量勾选，一键管控该提供商旗下的所有相关应用及模型。 未知厂商：勾选未知厂商后，系统将自动发现企业内访问的未知模型并生成资产进行防护。若取消勾选，则会停止新增和更新对应资产，但已有的资产、防护策略和审计日志不受影响。 |

   • 处置方式：决定系统对命中策略的访问行为如何处理。
     • 观察：允许用户正常访问，并记录相关日志。
       • 记录所有日志：记录生效对象对所选应用的全部访问行为，无论是否触发防护内容。
       • 仅记录触发防护内容的日志：仅当访问行为命中了下方的“防护内容”时，才产生审计日志。
     • 拦截（Beta）：阻断命中防护内容的访问请求。需注意，拦截功能目前处于 Beta 阶段，拦截效果可能存在一定偏差，请谨慎使用。
   • 审计内容：决定是否记录员工使用 AI 应用时的交互正文。
     • AI 会话内容审计：默认关闭。开启后，系统将完整记录该策略范围内员工使用 AI 应用的用户输入、模型响应及多轮会话内容，用于事件详情溯源与审计。关闭后，系统仅会上报访问与风险事件（元数据），不再记录和存储会话正文，事件详情无法进行溯源，适用于对隐私保护或数据合规要求极高的敏感应用场景。

       说明

       此功能为 3.3.9 版本新增，对于此前的历史存量策略，系统升级后默认开启“AI 会话内容审计”开关。管理员可根据合规需求手动关闭，关闭后历史日志中的上下文溯源、请求内容将不再支持查看。

   • 防护内容：仅在处置方式为“观察-仅记录触发防护内容的日志”时必填。联动火山引擎大模型应用防火墙，对交互内容进行实时分类识别。当前仅支持用户输入检测，检测分类如下表，暂不支持模型输出检测。
     

     检测分类	说明
     角色扮演	攻击者通过设定或限定模型的角色属性，诱导模型采用该角色的语言风格，以此绕过安全限制，生成可能涉及知识产权、伦理道德或其他不当内容的回复。
     权限提升	攻击者试图诱导模型进入更高级别的权限状态（例如开发者模式），使模型突破原有安全限制，执行任意指令。例如无视既定安全规则，产生不受控制的输出，或是执行超出授权范围的操作。
     对抗前后缀	在恶意提示词的前面或后面添加特殊字符串，干扰模型判断，致使模型生成预期外或不可控的回复内容。对于这类恶意或畸形的提示词，模型在输出内容的处理过程中，应当识别并过滤无意义的字符，然后按照正常内容部分输出内容，或者回复无法识别。
     目标劫持	在输入的提示词中添加具有欺骗性或误导性的指令，试图覆盖或干扰原有指令的执行，诱导模型产生特定输出。
     混淆和编码	利用无意义的符号破坏过滤器，或者运用编码和加密手段绕过模型的安全防护机制。
     少量示例攻击	攻击者提供带有恶意倾向的少量回答示例，诱导模型生成恶意或者误导性的输出。
     窃取提示词	将恶意的提示指令添加到用户原始的输入提示词中，试图获取系统或用户的原始提示信息。
     其他提示词	指除以上几种攻击之外的其他提示词攻击。

   • 生效对象
     选择该策略适用的部门、成员、角色或特定的终端设备（组）。
5. 配置结果：
   • 观察模式：用户端无感，系统后台自动生成防护日志，详细记录访问时间、人员、Prompt 内容及命中风险点。
   • 拦截模式：用户发起违规 Prompt 后，浏览器或应用侧将收到连接重置或由飞连下发的安全拦截页面，告知该行为已被企业安全策略阻断。
   • 日志审计：策略触发后，相关日志会记录在安全 Web 网关 > AI 安全 > 防护日志 > AI 应用/大模型 API 页面中。详情参看 AI 防护日志审计。

CLI 安全策略配置 #

针对开发者常用的命令行工具进行管控，防止开发者通过非标 CLI 工具绕过企业 Web 安全网关，或在终端环境下无审计地调用大语言模型 API。

1. 登录飞连管理后台。
2. 在左侧导航栏选择安全 Web 网关 > AI 访问安全 > 策略配置。
3. 切换至 CLI 安全页签，点击页面右上角的 + 新增策略。
   
4. 在添加 CLI 安全策略页面，完成以下配置并单击确定。
   • 基本信息
     

     配置项	说明
     策略名称	自定义易于识别的策略名称。建议按管控目标命名，如“核心代码防泄露策略”、“全员 AI 使用审计”等。
     优先级	设置 0 - 100 的数值。数值越大优先级越高。当多条策略冲突时，系统仅执行优先级最高的一条。若优先级数值一致，则执行最新添加/修改的策略。
     CLI 应用	系统内置了主流 AI 协作工具的特征库，当前支持对以下工具进行身份识别：lark-cli、github-cli、wecom-cli、dingtalk-cli、bytedcli。

   • 处置方式
     • 观察：允许用户正常使用 CLI 应用，并记录相关日志。
     • 拦截（Beta）：阻断非授权工具或高风险行为的 CLI 请求。支持按高风险、中风险、低风险三个等级进行勾选（至少选择一个），系统将阻断命中对应等级的 CLI 请求并生成日志。需注意，拦截功能目前处于 Beta 阶段，拦截效果可能存在一定偏差，请谨慎使用。
   • 生效对象
     选择该策略适用的部门、成员、角色或特定的终端设备（组）。
5. 配置结果：
   • 观察模式：开发者可正常执行 CLI 命令，系统后台记录 API 调用路径与行为意图。
   • 拦截模式：命中风险等级的 CLI 请求将被强制终止，终端命令行界面通常会返回网络连接错误。
   • 日志审计：策略触发后，相关日志会记录在安全 Web 网关 > AI 访问安全 > 防护日志 > CLI 页面中。详情参看 AI 防护日志审计。

Skill 安全策略配置 #

Skill 安全用于识别智能体（Agent）工具与技能下载链路中的供应链风险，防止员工下载包含恶意依赖或受损第三方组件的恶意 Skill 文件。

1. 登录飞连管理后台。
2. 在左侧导航栏选择安全 Web 网关 > AI 访问安全 > 策略配置。
3. 切换至 Skill 安全页签，单击页面右侧的编辑。
   
4. 在弹窗中完成以下配置并单击确定。
   • 风险等级判定：系统基于内置的威胁情报引擎，自动识别 Skill 下载源的特征并判定风险等级（高风险、中风险、低风险）。管理员无需手动定级，仅需针对不同等级设定处置动作。
   • 处置动作：为了保障企业安全，系统默认对高风险、中风险、低风险三个等级的 Skill 下载行为均执行阻断动作。管理员可根据实际需求修改处置动作。
     • 阻断：禁止命中该风险等级的 Skill 下载行为，并记录拦截日志。
     • 允许：放行下载行为，但仍会上报审计日志，便于管理员事后溯源。
   • 阻断页面配置：当处置动作为“阻断”时，员工在浏览器侧将看到拦截提示。管理员可自定义提示内容。支持配置多语言版本的通知标题与内容，同时可利用预览框实时核实拦截页面的显示效果。
   • 生效对象
     选择该策略适用的部门、成员、角色或特定的终端设备（组）。
5. 配置结果：
   • 策略生效表现：仅当处置动作为“阻断”且下载行为命中对应风险等级时，系统才会执行拦截操作。
   • 日志审计：无论此处策略如何配置（即使不配置任何拦截规则），只要 AI 安全能力处于开启状态，系统都会静默审计所有 Skill 下载行为，相关记录可前安全 Web 网关 > AI 访问安全 > 防护日志 > Skill 页面中查看，详情参看 AI 防护日志审计。