文档中心

大模型应用防火墙

攻击日志

查看和分析攻击日志

攻击日志用于记录触发大模型应用防火墙防护策略的请求信息。除被拦截、观察、脱敏或安全代答的请求外，命中执行动作为放行的自定义防护规则并以 pass 动作放行的请求也会进入攻击日志。您可以在攻击日志页面查看请求内容、命中规则、检测分类、TC260 分类、执行动作和发生时间，快速判断请求为何被处置、命中了哪类风险，以及需要进一步查看哪条日志分析记录。

敏感数据说明

攻击日志可能包含请求正文、用户自定义信息和策略命中详情。开启敏感数据存储后，仅命中敏感数据防护策略且执行动作为脱敏的日志会脱敏存储，并在攻击日志中以脱敏内容展示。执行动作为放行、观察、拦截、安全代答等其他动作时，日志仍按原始内容存储和展示。请仅向必要人员授予日志查看和下载权限，分享截图或导出文件前请再次检查并脱敏。

前提条件

您已完成以下配置：

已将需要防护的资产接入大模型应用防火墙。

已配置防护策略，例如提示词攻击防护、模型滥用防护、敏感数据防护或深度伪造检测策略。

防护策略已生效，并且业务请求已经触发对应检测。

页面说明

进入攻击日志页面后，可以通过页签查看不同类型的攻击记录：

页签	说明	适用场景
大模型防护日志	展示大模型文本、提示词、模型响应等内容触发防护策略后的日志。	排查提示词攻击、模型滥用、敏感数据泄露、话题控制等风险。
深度伪造日志	展示图片或视频内容命中深度伪造检测后的日志。	排查图片或视频伪造、合成图像等检测结果。

页面支持按时间范围查询，并提供高级筛选能力。您可以选择快捷时间范围，例如 1 小时、24 小时、7 天、30 天，也可以选择自定义时间范围。

查看大模型防护日志

登录大模型应用防火墙控制台。

在左侧菜单栏选择攻击详情。

单击大模型防护日志页签。

设置查询时间范围。

如需精确定位日志，单击高级筛选，按 AppID、请求 ID、请求内容、检测分类等条件筛选。

在日志列表中查看目标记录。

如需进一步排查，单击目标记录右侧的日志分析。

大模型防护日志列表包含以下关键信息：

参数	说明
AppID	触发检测的应用或资产 ID，用于定位具体接入资产。
送检类型	本次送检内容的类型，例如提示词、模型响应等。
请求内容	实际触发检测的请求内容。列表中会展示内容摘要，便于快速判断风险上下文。仅符合日志脱敏存储条件的敏感内容会以脱敏形式展示。机密版实例默认以加密状态展示；确认解密后，本次可查看日志原文、上下文和媒体内容。
命中规则	本次请求命中的防护规则。可用于核对具体是哪条策略生效。
检测分类	内容命中的风险类别，例如角色扮演等。
TC260分类	内容对应的 TC260 分类结果。
执行动作	防护策略对该请求采取的动作，例如拦截。
时间	攻击日志产生的时间。
操作	支持进入日志分析，查看更详细的请求和检测信息。单击该入口后，控制台会显示当前攻击事件命中的详细信息，帮助您快速理解"为什么这条内容被判定为风险"。机密版实例不支持日志分析操作。如果命中了系统内置检测分类，则展示检测分类、命中内容和原因。如果命中自定义检测分类，则展示检测分类和命中内容。

查看自定义防护规则放行日志

请求命中执行动作为放行的自定义防护规则后，最终动作为 pass，对应请求仍会作为防护日志进入攻击日志。

在大模型防护日志页签单击高级筛选。

将执行动作设置为放行。如需继续缩小范围，可以按 AppID、请求 ID、请求内容或命中规则等条件筛选。

在日志列表中查看请求内容、命中规则、执行动作和发生时间，核对实际命中的自定义防护规则。

单击目标记录右侧的日志分析，在放行内容中查看该请求的放行命中详情。放行命中详情对应 Permits 列表，每条记录可包含 Category、Label、Prob、Matches、Source 和 Keywords；其中 Matches 可进一步记录命中内容、执行动作、命中来源和规则 ID。完整字段定义请参见日志字段说明。

查看深度伪造日志

登录大模型应用防火墙控制台。

在左侧菜单栏选择攻击详情。

单击深度伪造日志页签。

设置查询时间范围。

如需精确定位日志，单击高级筛选，按 AppID、请求 ID、检测分类等条件筛选。

在日志列表中查看目标记录。

深度伪造日志列表包含以下关键信息：

字段	说明
AppID	触发检测的应用或资产 ID。
请求内容	本次检测的内容类型和内容摘要，例如图片。
判别结果	深度伪造检测的判定结果，例如伪造。
检测分类	区分以下不同的伪造分类，并展示对应的分数（对应接口返回的 Prob 字段，表示匹配的概率）。如果同时命中多个伪造分类，则分别展示每个分类对应的分数。 10900000：默认伪造 10901000：PS 伪造 10902000：伪造实体 10903000：伪造文本 10904000：伪造人脸
时间	攻击日志产生的时间。

配置加密或解密展示机密版防护实例的攻击日志

机密版大模型应用防火墙实例的攻击防护日志列表支持加密展示和解密展示。页面默认以加密内容展示请求内容；具有相应权限的用户可以在页面右上角开启解密展示日志，查看当前实例的解密日志列表。

注意

解密展示开关仅影响攻击防护日志列表。关闭开关后，列表恢复为加密内容。

日志详情中的内容默认为加密内容，当前不支持解密展示。开启列表页的解密展示开关不会改变日志详情的展示方式。

解密后的日志可能包含个人信息、业务数据或其他敏感内容。请仅在必要时开启，使用完成后及时关闭。

排障建议

查看攻击日志时，建议按以下顺序排查：

先确认 AppID 是否为预期资产，避免查看到其他应用的日志。

再查看请求内容，确认触发检测的是用户输入、模型响应还是图片等内容。

查看命中规则和检测分类，判断请求命中了哪条策略以及对应风险类型。

查看执行动作或判别结果，确认请求最终是被拦截、放行，还是被判定为伪造。

如需进一步定位误报、漏报或策略配置问题，进入日志分析查看命中的关键词和命中原因。

常见问题

为什么我看不到预期日志？

请确认查询时间范围是否覆盖请求发生时间，并检查 AppID、检测类型和防护策略是否配置正确。

深度伪造日志和大模型防护日志有什么区别？

大模型防护日志主要用于查看文本、提示词和模型响应等大模型内容安全事件；深度伪造日志主要用于查看图片等内容的伪造检测结果。

为什么开启敏感数据存储后，攻击日志中仍显示原始内容？

请检查命中的敏感数据防护规则所配置的执行动作。仅执行动作为脱敏的日志支持脱敏存储；如果执行动作为观察、拦截、安全代答等其他动作，日志仍按原始内容存储。标准版实例按实际存储内容展示；机密版实例默认以加密状态展示，确认解密后仅在本次查看期间展示原始内容。

最近更新时间：2026.10.22 21:32:35

这个页面对您有帮助吗？

有用

无用