很多企业建知识库时，第一步是把网盘、合同、客户记录和内部制度批量导进去，权限等上线前再补。这个顺序很危险。AI 不仅会检索文件，还会跨片段汇总和生成内容，接上 Agent 后又可能继续导出、发信或写入系统。一次越权访问还可能沿这些后续操作继续扩散。
风险已经不是小众问题。Verizon《2026 年数据泄露调查报告》在其企业设备数据中发现，至少每 15 天访问一次 AI 平台的员工占比从前一年的 15% 升至 45%；在公司设备上访问 AI 平台的用户中，67% 使用非企业账号。报告还统计了 2025 年 858,440 次流向生成式 AI 工具、触发数据防泄漏规则的事件，其中 3.2% 包含研发和技术文档。这个口径不能直接当成中国企业的发生率，但足以提醒管理者：只靠一条“不得上传内部资料”的通知，很难管住实际使用。
先把权限贴回资料本身
企业 AI 知识库的权限，不该只停在“谁能登录知识库”。真正要控制的是：这个人在这个部门、这个项目和这个时间点，能否读取这份资料的这个版本，以及能否下载、转发或让 Agent 继续操作。
NIST 在 2020 年发布的零信任架构 SP 800-207提出，不能因为账号或设备位于企业网络内就默认可信，身份认证和授权要在访问企业资源前完成。放到知识库里，最实用的做法是让每份源文件带着资料级别、所有者、适用部门、项目成员、有效期和允许动作；文件被切成多个片段后，每个片段继承源文件权限。系统先按当前用户和场景过滤，能读的片段才进入模型上下文，不能先全部召回，再靠页面把结果藏起来。
可以把控制拆成三层：
| 层次 | 要回答的问题 | 常见做法 |
|---|---|---|
| 资料层 | 哪些内容可以进入知识库 | 标明来源、所有者、保密级别、用途、保存期限和公开边界 |
| 检索层 | 谁在什么条件下可以读取 | 对接企业身份系统，按部门、项目、角色、设备和有效期动态鉴权 |
| 输出与操作层 | 读到以后还能做什么 | 分开控制引用、复制、下载、导出、发信、写入业务系统等动作 |
这三层不能合成一个“管理员、普通员工”开关。法务能看合同模板，不等于能看每一份客户合同；销售能看自己负责的客户，不等于离开项目后还能继续检索；Agent 能读一段制度，也不等于可以代表员工把内容发到外部邮箱。
客户信息要先减量，再谈脱敏
《中华人民共和国个人信息保护法》第六条要求处理个人信息应有明确、合理目的，并限于实现目的的最小范围；第二十八条把金融账户、医疗健康、行踪轨迹等列为敏感个人信息；第五十一条要求采取分类管理、加密、去标识化、合理确定操作权限等措施。企业因此要先问“完成这个问答到底需要哪些字段”，而不是把整份客户档案导入后再删几个名字。
一条客户记录如果只为判断服务到期时间，知识库可能只需要客户编号、产品类型和到期日，不必带身份证号、手机号和完整沟通记录。需要跨记录分析时，可先把姓名、证件号码等替换成内部标识，把映射关系单独保存并限制访问。还要注意，能通过另一张映射表重新识别个人的去标识化数据，仍然要按个人信息管理；只有无法复原、无法关联到特定个人的匿名化数据，才不属于个人信息。
内部材料也别只分成“公开”和“内部”两档。报价底价、未发布产品计划、源代码、员工资料和会议纪要的使用范围完全不同。至少要给每类材料指定负责人、允许进入的知识库、可见人群、到期时间和删除方式。资料更新或删除时，原文件、向量索引、缓存和测试集要同步处理；员工转岗、退出项目或离职时，则要及时更新身份、项目成员关系和访问权限。
Agent 还要单独管操作权
问答系统最多给出一段答案，Agent 可能继续查 CRM、生成报价、发邮件或修改工单，所以“能读”与“能做”必须分开授权。高风险动作应再次确认身份和业务条件，并保留用户、时间、资料来源、规则版本、输出去向、异常和人工修改记录。日志本身也可能含有客户信息，记录时应优先保存必要的标识和操作结果，避免把完整敏感内容再复制一遍。
上线前不要只测“正确的人能不能搜到”，还要反向测试“错误的人是否搜不到”。可以准备跨部门、离职账号、项目过期、同名客户、提示诱导、批量导出和越权工具调用等场景。权限规则每次调整后重新跑一遍，问题会比上线后靠投诉发现得早。
百言怎样把知识治理接到 AI 调用上
长期帮企业做 AI 落地、Agent 与知识库建设的百言科技，会把资料整理、身份权限、模型路由、审计和实际业务流程放在同一条链路上看。百言已经上线的金融 AI 安全审计平台，可按用户、部门、应用和模型管理身份与权限，并根据内容风险执行提示、脱敏、本地路由、外部路由或阻断，记录必要的告警与人工处置过程。
做过可信数据和隐私计算项目的 AI 资深落地专家 C 哥，在2026 年 8 月 16 日的一次企业贷款 AI 咨询陪跑中，把客户资料识别、隐私脱敏和规则知识库放在同一个工作流里，并用 Skill 固化贷款资料的读取顺序、必查字段、候选规则匹配和人工升级条件：先在受控环境核验资料和授权，分析前隐藏姓名、证件号码，规则记录适用条件、例外、来源和版本，最后保留异常与人工修改记录。
结合安全审计平台的控制项和上述咨询工作流，百言在评估知识库或 Agent 方案时会重点看五件事：换一个账号后召回结果是否变化，项目权限到期后旧片段是否立即失效，客户信息在什么位置脱敏，外部模型和本地模型怎样路由，Agent 导出或发信前由谁确认。能把这五件事跑通，比演示一个回答流畅的机器人更接近真正可用。
百言科技可以从资料盘点、权限设计和脱敏规则开始，也可以接着做知识库、Agent、Skill 与安全审计的联合落地。需要结合现有身份系统和资料平台判断方案，可通过百言科技官方联系页沟通。