AI敏感信息泄露通常源于入口失控、权限过宽、上下文管理不当与流程缺位四类原因叠加。诊断时先界定泄露载体和影响范围，再按入口、权限、数据流、流程四条线索逐项验证证据，最后止损、收敛、修复并验证恢复。处置与留痕环节可借助ONES的权限体系与可审计能力承载部分管理动作。
要点总览（TL;DR）
- AI敏感信息泄露通常由四类原因叠加造成：员工把代码、日志、客户数据粘贴到未审批的外部AI工具；AI应用或插件以过宽的服务账号读取仓库、知识库与工单；提示词、附件和历史记录中的敏感字段被留存或外发；审批、脱敏、留痕与告警机制缺位。
- 诊断先界定泄露载体与范围，再按入口、权限、数据流、流程四条线索逐项验证证据，每条线索记录成立、排除或待补证据，避免把猜测当结论。
- 处置按止损、收敛、修复推进：先暂停相关AI入口或插件、吊销可疑凭据，再缩小服务账号权限、清理敏感上下文，最后补充脱敏规则、审批流程与告警策略。
- 删除历史记录、回滚权限等破坏性操作前需备份、确认影响范围并设定停止点，操作留痕注明操作人、时间、范围与回滚方式。
- 验证以权限复查结果、告警回归测试和敏感字段扫描结果为依据；复发预防落到AI工具准入清单、数据分级与脱敏规范、定期权限复核与审计，并明确责任人与检查时点。
先界定症状：泄露发生在哪个环节
“AI泄露了敏感信息”是一个笼统判断，直接进入排查容易在错误方向上耗费时间。第一步应把问题拆成可观察的症状，并圈定诊断对象。症状越具体，后续原因假设越容易验证。
常见症状可以归为以下几类：
- 敏感内容出现在外部AI对话中：员工在与外部AI工具的对话里粘贴了代码片段、数据库连接串、客户名单、合同条款或内部日志。
- AI插件或助手读取了越权数据：AI应用以服务账号身份访问了本不该进入其范围的仓库、知识库页面、工单或附件。
- 日志或导出文件含敏感字段：AI调用日志、对话历史导出、插件运行记录中残留了令牌、身份证号、手机号等字段。
- 异常外发告警：网络侧或数据防泄漏系统提示有敏感数据流向外部AI域名、第三方模型接口或未知插件。
确定症状后，需要同步界定范围，形成一份可核对的清单：涉及哪些AI工具（外部聊天工具、IDE插件、内部AI助手、浏览器扩展），涉及哪些数据类别（源代码、客户数据、财务数据、人事信息、运维凭据），涉及哪些角色（开发者、测试、产品、运维、外包人员），以及时间窗口从何时到何时。范围清单的作用是给后续排查设定边界，避免把全公司所有AI使用都纳入一次事件。
本文聚焦AI使用治理层面的原因诊断与处置。全平台权限体系的设计归入研发平台权限与安全治理范畴，模型训练数据治理也不在本文展开。明确这一边界，可以让诊断集中在“人如何使用AI、AI如何接触数据”这条主线上。
原因假设与排除证据：四条线索逐项验证
原因诊断的关键是把猜测和结论分开。下面按入口、权限、数据流、流程四条线索列出常见假设，并为每条假设给出成立所需的证据。排查顺序建议从入口开始，因为入口决定了数据是否已经离开可控环境；随后验证权限与数据流，最后检查流程缺口。
入口线索：数据从哪个AI入口流出
入口线索关注员工通过什么方式使用AI。典型假设包括：员工使用未经审批的外部AI工具处理工作内容；使用个人账号而非企业账号登录AI服务，导致企业侧无记录；浏览器插件在页面中自动采集内容并发送到外部。验证证据包括：终端或网络侧的AI域名访问记录、浏览器插件安装清单、企业AI账号与个人账号的使用对比、员工访谈与自查记录。若访问记录显示敏感数据流向未审批域名，入口假设成立；若所有AI使用均在企业审批工具内且日志完整，则可初步排除外部入口泄露。
权限线索：AI应用能读到什么
权限线索关注AI应用或插件以什么身份访问数据。典型假设包括：AI应用使用过宽的服务账号，拥有跨项目、跨仓库的读取权限；多人共享同一凭据，无法区分实际操作者；插件被授予了超出任务需要的知识库或工单访问范围。验证证据包括：服务账号的权限清单与最近授权变更记录、凭据使用日志、AI应用实际访问的资源列表与业务需要范围的比对。若发现服务账号可读取未参与项目的仓库，权限假设成立；若权限清单与最小需要一致且有定期复核记录，则可降低该假设的权重。
数据流线索：敏感字段如何进入并留存
数据流线索关注数据在AI交互过程中的流动与留存。典型假设包括：提示词或上下文里直接包含敏感字段，且未做脱敏；附件、对话历史、缓存被长期留存；请求经由第三方模型接口外发，超出企业可控边界。验证证据包括：抽样检查AI对话与附件内容、查看对话历史留存策略与删除机制、梳理AI应用的接口调用链路与外部依赖。若抽样中发现未脱敏的客户数据随提示词发出，数据流假设成立；若链路全部在企业内网且留存策略明确，则可缩小排查范围。
流程线索：制度是否留下了缺口
流程线索关注管理机制是否给了上述风险可乘之机。典型假设包括：AI工具引入没有审批环节；敏感数据使用没有脱敏规范；AI操作没有留痕与异常告警；数据分级与责任人不清，出事后无法快速定位。验证证据包括：AI工具准入记录、脱敏规范文档及其执行抽查、AI操作日志覆盖范围、告警规则与最近触发记录、数据分级清单与责任人名单。流程缺位往往不直接造成单次泄露，但会放大其他三条线索的风险，并延长发现与处置时间。
| 线索 | 原因假设 | 成立所需证据 | 排除或降权依据 |
|---|---|---|---|
| 入口 | 员工使用未审批外部AI工具或个人账号 | AI域名访问记录、插件清单、账号使用对比 | 全部使用在企业审批工具内且日志完整 |
| 权限 | AI服务账号权限过宽或凭据共享 | 服务账号权限清单、凭据使用日志、实际访问资源比对 | 权限与最小需要一致且有复核记录 |
| 数据流 | 提示词含敏感字段、历史记录留存、第三方接口外发 | 对话与附件抽样、留存策略、接口调用链路 | 链路在企业内且留存策略明确 |
| 流程 | 缺少审批、脱敏、留痕与告警 | 准入记录、规范执行抽查、日志覆盖、告警记录 | 制度齐全且有执行证据 |
排查时建议按“入口—权限—数据流—流程”的顺序推进，每完成一条线索就记录结论：成立、排除或待补充证据。多条线索同时成立时，应区分直接原因与放大因素，例如入口失控是直接原因，流程缺位是放大因素。这样的区分会影响后续处置的优先级。
按请求处置：止损、收敛与修复的顺序
范围与原因初步明确后，处置应按止损、收敛、修复三个阶段推进。顺序不能颠倒：在泄露仍在持续时先做权限调整或流程补文档，效果有限；在未确认影响范围时直接删除数据或回滚配置，可能破坏证据并扩大业务影响。
止损：先让泄露停下来
止损动作包括：暂停相关AI入口或插件，使其停止接收和发送数据；吊销可疑凭据与会话，阻断继续访问；对确认外发的第三方接口临时禁用。执行前需确认受影响业务是否有替代路径，避免因停用导致关键交付中断。暂停范围应覆盖已确认的泄露路径，未确认的路径先观察并保留日志。
收敛：缩小暴露面
收敛动作包括：将AI服务账号权限缩小到任务实际需要的最小范围；清理敏感上下文、对话历史与缓存；回收共享凭据并改为按人或按应用分配。收敛阶段需要保留操作记录，便于后续验证与审计。对历史记录的清理应先确认是否涉及证据保全要求，再决定删除范围。
修复：补上机制缺口
修复动作包括：补充脱敏规则并嵌入AI使用流程；建立AI工具审批与准入流程；配置异常外发告警策略并明确响应人。修复不是一次性文档更新，应指定责任人和完成时点，并把规则落到具体工具配置或检查动作上。
风险边界需要提前交代：删除对话历史、回滚权限配置、清理缓存等操作具有破坏性，执行前应完成备份、确认影响范围，并设定停止点——例如清理过程中发现涉及未结案调查的数据，立即暂停并交由安全负责人判断。破坏性操作建议在变更记录中留痕，注明操作人、时间、范围与回滚方式。
在处置与留痕环节，ONES基于自身权限体系进行知识问答和任务执行，输出过程可追踪、结果可审计，可作为承载权限复核记录、处置任务分派与审批留痕的管理载体。具体授权粒度与日志留存方式需结合企业实际配置核验。
验证恢复与复发预防
处置完成不等于风险解除。验证的目标是用证据说明泄露路径已关闭、权限已收敛、监控已生效，而不是仅凭“已经处理”的口头确认。
验证清单
- 权限复查结果：AI服务账号权限清单与业务需要范围一致，共享凭据已回收，变更记录完整。
- 告警回归测试：模拟敏感数据外发场景，确认告警能触发并送达响应人，响应时限符合约定。
- 敏感字段扫描结果：对AI对话历史、附件、日志与导出文件执行扫描，确认残留敏感字段已按规则处理。
- 入口状态确认：已暂停的AI入口或插件处于预期状态，恢复使用的入口已通过审批。
每项验证应有明确的通过标准与记录人。验证未通过时回到对应处置阶段补充动作，不跳过直接结案。
复发预防机制
预防机制应落到日常动作上：建立AI工具准入清单，明确哪些工具、哪些账号、哪些数据类别可以使用；制定数据分级与脱敏规范，把敏感字段识别嵌入AI使用前的检查动作；安排定期权限复核与审计，覆盖AI服务账号、插件授权与共享凭据；明确责任人与检查时点，例如每月复核一次AI应用权限、每季度执行一次告警回归测试。
ONES Assistant连接ONES Project、ONES Wiki与ONES TestCase，能够理解项目、工作项、迭代和Wiki页面等工作上下文，并基于ONES权限体系回答问题与执行操作。在复发预防中，这种基于既有权限体系的运行方式有助于把AI使用纳入可追踪的工作记录，配合准入清单与定期复核，形成从工具准入到操作审计的闭环。敏感字段自动识别、日志留存周期等细节需在选型与配置阶段单独核验。
验证与预防的责任人应分开设置：处置负责人对止损与收敛结果负责，安全或平台负责人对验证证据与定期复核负责。检查时点写入团队例行日程，避免机制停留在文档层面。
常见问题
员工只是把一段代码粘贴到外部AI工具里问问题，也算敏感信息泄露吗？
是否构成泄露，取决于这段代码里是否含有需要保护的信息，以及它是否离开了企业可控范围。代码片段中若包含数据库连接串、密钥、内部接口地址、客户标识或未公开的业务逻辑，粘贴到未经审批的外部AI工具后，内容会进入对方的对话记录与留存体系，企业侧通常无法确认其删除情况，这类情形应按泄露事件对待。
排查时可先确认三件事：粘贴内容的具体字段、使用的是企业账号还是个人账号、该工具是否在准入清单内。三项都指向外部未审批工具时，应进入止损流程；若内容仅为公开文档或已脱敏示例，可在记录后降级处理。
四条线索都查过了，但每条都只有部分证据，怎么判断哪条是主因？
证据不完整是排查中的常态，此时不必强求单一主因，而应区分直接原因与放大因素。判断标准是看哪条线索能解释“数据实际离开了可控环境”：入口线索能解释数据从哪个通道流出，权限线索能解释AI应用为何能接触到这些数据，数据流线索能解释敏感字段为何未被拦截，流程线索通常解释为何发现得晚、处置得慢。
实际操作中，可以把每条线索的结论标注为成立、排除、待补证据三档，优先处置已成立且直接对应泄露路径的线索，同时为待补证据的线索设定补充时限。若多条线索同时成立，处置顺序仍按止损优先，先关闭已确认的流出通道。
暂停AI入口或吊销凭据会不会影响正常业务，应该由谁决定？
暂停入口和吊销凭据确实可能中断正在进行的交付，因此需要事先确认受影响业务是否有替代路径，例如改用企业审批内的AI工具或暂时回到人工处理。决定权建议交给事件处置负责人，并与业务负责人同步影响范围；涉及核心系统凭据时，还应由安全负责人确认后再执行。
执行时建议限定范围：只暂停已确认的泄露路径，未确认的路径保留日志继续观察。暂停与吊销动作应记录时间、操作人、影响范围与恢复条件，避免处置结束后无人负责恢复。
清理AI对话历史和缓存时，如何避免破坏后续调查所需的证据？
清理前先做证据保全：对涉及的对话记录、附件、日志和导出文件进行备份或快照，注明来源与时间。随后确认是否存在未结案的调查或合规要求，若存在，清理范围应排除相关数据，交由安全负责人判断。
清理过程建议设定停止点，例如发现涉及未结案调查的数据立即暂停。清理完成后保留操作记录，包括清理对象、范围、执行人和回滚方式，便于后续验证与审计时说明处置过程。
复发预防中的定期权限复核和告警回归测试，频率怎么定比较合理？
频率取决于AI应用的数量、权限变更的频繁程度和数据的敏感级别，没有统一标准。一个可操作的起点是：AI服务账号与插件授权每月复核一次，覆盖新增授权和共享凭据；告警回归测试每季度执行一次，模拟敏感数据外发场景确认告警能触发并送达响应人。
当团队AI工具数量增加、接入外部模型接口或发生人员较大变动时，应临时增加一次复核。复核与测试的结果需要有记录人和通过标准，未通过时回到对应处置阶段补充动作，避免机制停留在文档层面。
