《实用笔记》：向量数据库安全——RAG系统中的新攻击面

本指南将逐步构建从原材料到可运行系统的完整流程，主题为“向量数据库安全：RAG系统中的新攻击面”。重点在于可操作的步骤、明确的检查项，以及可直接放入代码仓库的代码，无需猜测其用途。

引言

在引言阶段，应在修改代码之前明确输入内容、该步骤的负责人以及完成标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。除了功能结果外，还需记录执行时间以及令牌或查询成本。提前了解成本情况可以避免在流程从演示环境转向共享环境时出现意外费用。同时要注明支撑答案的具体内容，若没有引用依据，操作人员就无法区分是幻觉内容还是索引缺失导致的错误。

简要入门：向量数据库的独特之处

在《快速入门》中提到，修改代码之前需明确阶段、各步骤的负责人以及退出标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。 配置信息应置于应用程序代码之外。环境文件、密钥存储以及功能标志应集中存放于一个位置，这样操作人员无需查看整个系统结构即可进行审核。 需引用实际作为答案依据的段落。如果没有引用，操作人员就无法区分是虚假信息还是索引缺失导致的错误。

为何现在这一点如此重要

在“为何此刻此事重要”这一阶段，应在修改代码之前明确输入参数、该步骤的负责人以及结束标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。 需同时记录正常流程与异常恢复流程。重试机制、人工审核环节以及错误处理都是产品本身的组成部分，而非后续需要补充的内容。 需引用实际作为答案依据的段落。没有引用的话，操作人员就无法区分是虚假信息还是索引缺失导致的错误。

核心攻击向量

在“核心攻击向量”阶段，应在修改代码之前明确输入参数、该步骤的负责人以及终止标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。相比冗长的脚本，更应采用小型、可测试的单元。当某个步骤失败时，故障原因应能指向单一责任主体，而非复杂的流程链。必须引用实际作为答案依据的段落；没有引用的话，操作人员就无法区分是幻觉内容还是索引缺失所致。

1. 嵌入式逆向攻击

在“1 嵌入式逆向攻击”阶段，修改代码之前需明确输入数据、该步骤的负责人以及终止标准。操作员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。 将此阶段视为输入数据与经过验证的输出结果之间的契约。为相关成果命名，定义成功判定标准，并拒绝默许的半完成状态。 需引用实际作为答案依据的段落。没有引用的话，操作员就无法区分幻觉内容与索引缺失问题。 在“1 嵌入式逆向攻击”阶段，修改代码之前需明确输入数据、该步骤的负责人以及终止标准。操作员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。 将配置信息置于应用程序代码之外。环境文件、密钥存储以及功能开关应集中存放于操作员可审计且无需阅读源代码的位置。

整个图谱。

2. 数据投毒与注入

在处理数据投毒阶段时，首先明确相关规范：所需输入、成功信号以及部分失败时的处理方式。这样的检查清单能确保后续代码修改的规范性。 同时记录正常流程与异常恢复流程。重试机制、人工审核环节以及死信处理都是产品功能的一部分，而非后续的优化工作。 在调整提示词之前，需先使用固定问题集来衡量召回率。仅仅更换提示词往往无法解决检索效果不佳的问题。

3. 通过检索内容实现的间接提示词注入

在处理三个间接提示注入阶段时，首先列出相关规范：所需输入、成功标志以及部分失败时的处理方式。这样的检查清单能确保后续的代码修改保持一致性。 优先选择小型、可测试的单元，而非庞大的脚本。当某个步骤失败时，故障应能指向单一责任模块，而非复杂的流程链。 缓存稳定的系统指令和工具结构。重复发送相同的开头信息是导致资源浪费的常见原因。

4. 成员身份推断攻击

在处理4种成员身份推断攻击阶段时，首先需明确相关契约：所需输入、成功信号以及部分失败时的处理方式。这样的清单能确保后续的代码修改保持一致性。 将这一阶段视为输入与验证后输出之间的契约。为相关组件命名，定义成功判定标准，杜绝无声的半完成状态。 在调整提示词之前，先使用固定的问题集来衡量召回率。仅仅更换提示词很难改善较差的检索效果。 在处理4种成员身份推断攻击阶段时，首先需明确相关契约：所需输入、成功信号以及部分失败时的处理方式。这样的清单能确保后续的代码修改保持一致性。 将配置信息置于应用程序代码之外。环境文件、密钥存储以及功能开关应集中存放于一个位置，以便操作人员无需查看整个系统结构即可进行审计。

5. 多租户架构与访问控制故障

将“多租户架构与访问控制”这一阶段视为可度量的对象来处理，效果最佳。在扩大范围之前，先记录一份理想的操作流程、一个故障案例以及回滚说明。 同时记录正常处理路径和恢复路径。重试机制、人工审核环节以及死信处理都是产品本身的一部分，而非后续需要补充的功能。 应将分块策略与检索策略分开。当质量指标发生变化时，修改其中一项不应强制要求重新编写另一项。

6. 元数据泄露

将“6个元数据泄露阶段”视为可测量的对象来处理效果最佳。在扩大范围之前，先收集一份理想的记录、一个故障案例以及回滚说明。 优先选择小型且可测试的单元，而非庞大的脚本。当某个步骤出现故障时，故障应指向单一责任主体，而非复杂的流程链。 将分块策略与检索策略分开。当质量指标发生变化时，修改其中一项不应迫使重新编写另一项。

7. 相似性搜索滥用与服务拒绝攻击

将“7相似度搜索滥用检测阶段”视为可测量的对象来处理效果最佳。在扩大范围之前，先记录一份理想样本、一个故障案例以及回滚说明。 把这个阶段视为输入与经过验证的输出之间的契约。为相关成果命名，明确成功标准，杜绝默许的半完成状态。 将分块策略与检索策略分开。当质量指标发生变化时，修改其中一项不应强制要求重新编写另一项。 将“7相似度搜索滥用检测阶段”视为可测量的对象来处理效果最佳。在扩大范围之前，先记录一份理想样本、一个故障案例以及回滚说明。 将配置信息置于应用程序代码之外。环境文件、密钥存储和功能开关应集中存放于一处，以便操作人员无需查看整个系统结构即可进行审计。

8. 不安全的API与薄弱的身份验证机制

对于那8个存在安全风险的API及对应阶段，在修改代码之前需明确输入参数、该步骤的负责人以及结束标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。 需同时记录正常流程与异常恢复流程。重试机制、人工审核环节以及错误消息处理都是产品本身的组成部分，而非后续需要补充的功能。 必须引用实际作为答案依据的段落。如果没有引用，操作人员就无法区分是虚假信息还是索引缺失导致的问题。

9. 嵌入式模型中的供应链风险

在处理第9阶段的供应链风险时，应在修改代码之前明确输入参数、该步骤的负责人以及完成标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏的状态。相比冗长的脚本，更应采用小型且可测试的单元。当某个步骤出现故障时，故障原因应能指向具体的责任主体，而非复杂的流程问题。如果后续步骤是代码调用或工具调用，应优先使用具有结构化格式且经过模式验证的输出，而非自由形式的文本。

10. 缓存与索引污染

在“10 Cache and Index”阶段，修改代码之前需明确输入参数、该步骤的负责人以及终止标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。 应将此阶段视为输入与已验证输出之间的契约。为相关成果命名，设定成功检测标准，并杜绝无声的半完成状态。 需引用实际作为答案依据的段落。没有引用的话，操作人员就无法区分幻觉内容与索引缺失问题。 在“10 Cache and Index”阶段，修改代码之前需明确输入参数、该步骤的负责人以及终止标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。 配置信息应置于应用程序代码之外。环境文件、密钥存储以及功能标志应集中存放于一个操作人员可审计的位置，无需查看整个系统结构。

整合思路：为何RAG系统尤为脆弱

在“整合思路”阶段，首先需明确相关约定：所需输入、成功标志以及部分失败时的处理方式。这样的清单能确保后续的代码修改保持一致性。 同时记录正常流程与异常恢复路径。重试机制、人工审核环节以及错误消息处理都是产品本身的组成部分，而非后续需要补充的功能。 在调整提示词之前，先使用固定的问题集来测试召回率。仅仅更换提示词往往无法解决检索效果不佳的问题。

基于现实场景的测试

在处理“现实场景模拟”阶段时，首先写下相关契约：所需的输入参数、成功标志，以及部分失败时的处理方式。这样的检查清单能确保后续的代码修改保持一致性。 建议采用小型、可测试的单元，而非庞大的脚本。当某个步骤失败时，故障应指向单一责任模块，而非复杂的流程链。 在调整提示词之前，先使用固定的问题集来测试召回率。仅仅更换提示词往往无法解决检索效果不佳的问题。

防御策略：真正有效的办法

在处理“防御策略：实际效果”阶段时，首先需写下相关契约：所需输入、成功标志以及部分失败时的处理方式。这份清单能确保后续的代码修改保持透明可溯。 将此阶段视为输入与经过验证的输出之间的契约。为相关成果命名，明确成功判定标准，杜绝默许的半完成状态。 在调整提示词之前，先使用固定的问题集来测试召回率。仅仅更换提示词往往无法解决检索效果不佳的问题。 在处理“防御策略：实际效果”阶段时，首先需写下相关契约：所需输入、成功标志以及部分失败时的处理方式。这份清单能确保后续的代码修改保持透明可溯。 将配置信息置于应用程序代码之外。环境文件、密钥存储以及功能开关应集中存放于一个位置，以便操作人员无需查看整个系统结构即可进行审计。

从第一天起就将向量数据库视为生产级数据库来对待

将“将向量数据库视为生产级数据库”这一理念作为可度量的标准来执行效果最佳。在扩大应用范围之前，先记录一个成功的用例、一个故障案例以及回滚说明。同时记录正常流程和恢复流程的文档。重试机制、人工审核环节以及死信处理都是产品本身的一部分，而非后续需要补充的功能。应将分块策略与检索策略分开设计，当质量指标发生变化时，修改其中一项不应迫使重新编写另一项。

实施严格的租户隔离

将“实施严格的租户隔离”这一阶段视为可度量的对象来处理效果最佳。在扩大范围之前，先记录一份理想的操作日志、一个故障案例以及回滚说明。 优先选择小型且可测试的单元，而非庞大的脚本。当某个步骤出现故障时，故障应指向单一责任模块，而非复杂的流程链。 将分块策略与检索策略分开。当质量指标发生变化时，修改其中一项不应迫使重新编写另一项。

加密向量与元数据，而不仅仅是原始文档

将“加密向量与元数据”阶段视为可度量的工作面时，其效果最佳。在扩大范围之前，需记录一份标准范本、一个故障案例以及回滚说明。 应将此阶段视为输入与经过验证的输出之间的契约。为相关成果命名，明确成功标准，杜绝默许的半完成状态。 需将分块策略与检索策略分开。当质量指标发生变化时，修改其中一项不应强制要求重新编写另一项。 将“加密向量与元数据”阶段视为可度量的工作面时，其效果最佳。在扩大范围之前，需记录一份标准范本、一个故障案例以及回滚说明。 应将配置置于应用程序代码之外。环境文件、密钥存储及功能开关应集中存放于一处，以便操作人员无需查看整个系统结构即可进行审计。

在内容被嵌入之前对其进行净化与验证

在“内容净化与验证”阶段，应在修改代码之前明确输入参数、该步骤的负责人以及结束标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。 需同时记录正常流程与异常恢复流程。重试机制、人工审核环节以及错误处理都是产品本身的组成部分，而非后续需要补充的功能。 必须引用实际作为答案依据的段落。如果没有引用，操作人员就无法区分是虚假信息还是索引缺失导致的错误。

在提示词层面将检索到的内容与可信指令分开

在“单独获取内容”阶段，修改代码之前需明确输入参数、该步骤的负责人以及结束标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。相比冗长的脚本，更应采用小型、可测试的单元。当某个步骤失败时，故障原因应能指向单一责任模块，而非复杂的流程链。如果后续步骤是代码调用或工具调用，应优先使用具有结构化格式且经过模式验证的输出，而非自由形式的文本。

监控获取模式以发现异常

对于该阶段的监控检索模式，在修改代码之前需明确输入参数、该步骤的负责人以及终止标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。 应将此阶段视为输入与已验证输出之间的契约。为相关成果命名，定义成功判定条件，并拒绝默许的半完成状态。 需引用实际作为答案依据的段落。没有引用的话，操作人员就无法区分幻觉内容与索引缺失问题。 对于该阶段的监控检索模式，在修改代码之前需明确输入参数、该步骤的负责人以及终止标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。 将配置信息置于应用程序代码之外。环境文件、密钥存储以及功能开关应集中存放于操作人员可审计且无需阅读源代码的位置。

整个图表。

应用速率限制与查询复杂度控制

在实施速率限制阶段时，首先明确合同规范：所需的输入参数、成功信号以及部分失败时的处理方式。这样的检查清单能确保后续的代码修改保持一致性。 同时记录正常流程与故障恢复流程。重试机制、人工审核环节以及死信处理都是产品功能的一部分，而非后续需要优化的内容。 在调整提示词之前，先使用固定的问题集来衡量检索覆盖率。仅仅更换提示词很难解决检索效果不佳的问题。

审查你的嵌入模型并锁定版本

在“验证你的嵌入模型”阶段工作时，首先列出相关规范：所需输入、成功信号以及部分失败时的处理方式。这样的检查清单能确保后续的代码修改保持一致性。 优先选择小型、可测试的单元，而非庞大的脚本。当某个步骤失败时，故障应能指向单一责任点，而非复杂的流程链。 缓存稳定的系统指令和工具架构。重复发送相同的开头信息是造成资源浪费的常见原因。

定期审计向量存储中的实际内容

在执行“定期审计什么”阶段时，首先需写下相关契约：所需的输入参数、成功标志以及部分失败时的处理方式。这样的检查清单能确保后续的代码修改保持透明可溯。 将此阶段视为输入与验证后输出之间的契约。为相关成果命名，明确成功判定标准，杜绝默许的部分完成情况。 在调整提示词之前，先使用固定的问题集来测试召回率。仅仅更换提示词往往无法解决检索效果不佳的问题。 在执行“定期审计什么”阶段时，首先需写下相关契约：所需的输入参数、成功标志以及部分失败时的处理方式。这样的检查清单能确保后续的代码修改保持透明可溯。 应将配置信息与应用程序代码分开。环境文件、密钥存储以及功能开关应集中存放于一处，以便操作人员无需查看整个系统结构即可进行审计。

在数据检索中应用最小权限原则

将“应用原则”这一阶段视为可衡量的对象来处理效果最佳。在扩大范围之前，先记录一份成功的操作案例、一个失败案例以及回滚说明。 同时记录正常流程和恢复流程。重试机制、人工审核环节以及死信处理都是产品本身的一部分，而非后续需要补充的内容。 应将分块策略与检索策略分开。当质量指标发生变化时，修改其中一项不应强制要求重新编写另一项。

制定真正能应对此类情况的事件响应计划

将“事件响应”阶段视为可度量的对象来处理，效果最佳。在扩大范围之前，先记录一份核心日志、一个故障案例以及回滚说明。 优先选择小型且可测试的单元，而非庞大的脚本。当某个步骤出现故障时，故障应指向单一责任主体，而非复杂的流程链。 将分块策略与检索策略分开。当质量指标发生变化时，修改其中一项不应迫使重新编写另一项。

一个值得牢记的思维模型

将“快速思维模型”阶段视为可度量的工作面时，其效果最佳。在扩大范围之前，需记录一份理想案例、一个失败案例以及回滚说明。 应将此阶段视为输入与已验证输出之间的契约。为相关成果命名，明确成功标准，杜绝默许的半完成状态。 需为每轮及每次会话设定token预算。智能工具往往会过度扩展上下文，设置上限可避免演示过程变成意外账单。 将“快速思维模型”阶段视为可度量的工作面时，其效果最佳。在扩大范围之前，需记录一份理想案例、一个失败案例以及回滚说明。 应将配置置于应用程序代码之外。环境文件、密钥存储及功能开关应集中存放于一处，以便操作人员无需查看整个系统结构即可进行审计。

未来发展方向

在“此流程将走向何方”阶段，应在修改代码之前明确输入参数、该步骤的负责人以及终止标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。 需同时记录正常流程与异常恢复流程。重试机制、人工审核环节以及错误处理都是产品本身的组成部分，而非后续需要补充的内容。 需引用实际作为答案依据的段落。如果没有引用，操作人员就无法区分是虚假信息还是索引缺失导致的错误。

总结

在“最终思考”阶段，应在修改代码之前明确输入参数、该步骤的负责人以及终止标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。相比冗长的脚本，更应选择小型且可测试的单元。当某个步骤失败时，故障原因应能指向单一责任点，而非复杂的流程链。需引用实际作为答案依据的段落；没有引用的话，操作人员就无法区分是幻觉内容还是索引缺失所致。

发布前的实用检查清单

在“实施前的实用检查清单”阶段，需在修改代码之前明确输入参数、该步骤的负责人以及终止标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。 将此阶段视为输入与已验证输出之间的契约。为相关成果命名，定义成功判定标准，并拒绝默许的半完成状态。 需引用实际作为答案依据的段落。没有引用的话，操作人员就无法区分是幻觉内容还是索引缺失导致的错误。 在“实施前的实用检查清单”阶段，需在修改代码之前明确输入参数、该步骤的负责人以及终止标准。操作人员应能够从已知的检查点重新运行该步骤，而无需猜测隐藏状态。 将配置信息置于应用程序代码之外。环境文件、密钥存储以及功能开关应集中存放于操作人员可审计且无需阅读完整内容的地点。

图表。

总结思考

在进入总结思考阶段时，首先写下相关约定：所需的输入参数、成功标志以及部分失败时的处理方式。这样的清单能确保后续的代码修改保持一致性。 同时记录正常流程和异常恢复流程。重试机制、人工审核环节以及错误处理方式都是产品本身的一部分，而非后续需要补充的功能。 在调整提示词之前，先使用固定的问题集来衡量检索效果。仅仅更换提示词往往无法解决检索能力薄弱的问题。

操作检查清单

将操作检查清单阶段视为可衡量的指标，效果会更好。在扩大范围之前，先记录一份最佳示例、一个失败案例以及回滚说明。 除了功能结果外，还要记录处理时间以及令牌或查询成本。提前了解成本情况，可以避免在从演示环境过渡到共享环境时出现意外费用。

将分块策略与检索策略分开。当质量指标发生变化时，修改其中一项不应强制要求重新编写另一项。

在预算允许的情况下，使用测试数据而非真实的付费 API，在持续集成过程中添加用于检测关键路径的冒烟测试。

将配置置于应用程序代码之外。环境文件、密钥存储以及功能开关应集中存放于一个位置，以便操作人员无需查看整个系统结构即可进行审计。

将分块策略与检索策略分开。当质量指标发生变化时，修改其中一项不应强制要求重新编写另一项。

在升级技术栈之前，先冻结版本，为关键路径生成标准参考记录，并确认回滚步骤。共享环境需要设置速率限制、租户验证机制，以及明确的密钥轮换负责人。与其追求华丽的临时演示，不如注重扎实的可靠性。

d59504928d32的批处理说明：不要将提供者密钥放入仓库中，设定每会话的令牌上限，并将转录内容存储在评估测试用例旁边，以便后续更换模型时仍能保持可比性。