零信任网络架构在DIB中的映射：防范多智能体越权调用与大模型数据防泄漏
发布日期：2026年03月26日
【摘要】 零信任网络架构正成为支撑数字化基础设施安全演进的关键范式，尤其在多智能体协同与大模型深度集成的场景下，传统边界防护模式已难以应对越权调用与数据隐性泄露等新型风险。本报告指出，将零信任原则系统化映射至数字基础设施底座（DIB），需突破“一次认证、长期有效”的惯性思维，转向以动态身份、实时上下文和最小权限为驱动的持续验证机制。针对多智能体环境，重点强化服务间调用链的身份可溯性与策略一致性；面向大模型应用，则通过数据分级标记、推理过程策略注入与输出内容实时校验，实现敏感信息在训练、推理、反馈全环节的可控流转。实践表明，该映射并非简单叠加访问控制策略，而是重构信任决策的粒度、时效与依据——从静态资源维度转向行为意图与运行时上下文的联合研判。落地成效取决于策略引擎的响应能力、可观测性的覆盖深度以及组织级权限治理的协同水平。对高层技术决策者而言，推进此项工作，本质是推动安全能力从防御滞后走向内生协同。
【概览】
关键发现：
-
多智能体协同场景下，服务调用链的隐式信任传递成为越权行为的主要温床，传统基于终端或网络边界的访问控制难以覆盖运行时动态依赖关系。
-
大模型全生命周期中，敏感数据泄露风险高度集中于非结构化推理输出与反馈闭环环节，静态脱敏和边界网关拦截存在策略盲区。
-
零信任在数字基础设施底座的落地成效，强依赖策略决策粒度从资源级向行为意图与上下文联合体的跃迁，而非单纯强化认证强度。
-
权限治理若脱离运行时可观测数据支撑，易陷入策略僵化与响应滞后，导致最小权限原则在实际调用中被系统性绕过。
核心建议：
-
构建统一的服务身份中心，为每个智能体实例签发短期、可验证、带上下文声明的动态凭证，并强制所有跨服务调用携带该凭证参与实时策略评估。
-
在大模型推理链路关键节点嵌入轻量级策略执行点，支持基于数据分级标签的实时内容校验与输出重写，确保敏感信息不突破预设流转边界。
-
建立融合调用日志、资源访问、模型输入输出的多源可观测数据湖，驱动策略引擎实现分钟级策略迭代与异常行为自动策略生成。
【引言】 当前，国防工业基础（DIB）正加速推进智能化转型，多智能体协同系统与大语言模型（LLM）深度嵌入研发、仿真、供应链与运维等关键环节。然而，传统基于边界防护的网络安全范式在面对智能体自主决策、跨域调用、模型推理链路长、数据高敏感且流动不可控等新特征时，已显乏力——越权调用常隐匿于合法API交互中，模型训练/推理过程中的数据残留、提示注入与反向提取，更使敏感技术参数、装备拓扑或试验数据面临“静默泄漏”风险。这不是孤立的技术漏洞，而是架构性失配：当智能体具备上下文感知与动态权限协商能力，而访问控制仍依赖静态策略与预设角色时，信任即成为最大攻击面。
本研究立足DIB真实作战环境与工程约束，不追求理论泛化，而聚焦“如何让零信任真正跑在智能体和大模型之上”。我们以NIST SP 800-207为锚点，但拒绝简单套用“持续验证”口号；转而从DIB典型场景切入——如数字孪生平台中多个AI代理协同优化弹道参数、LLM辅助生成涉密技术报告——逆向解构其调用链、数据流与权限跃迁路径，识别出三类高危映射断点：智能体身份可信度随上下文漂移、模型服务间隐式数据共享缺乏细粒度策略绑定、以及策略执行点滞后于推理时序。由此提出“策略前移、凭证活化、数据刻痕”三位一体的落地框架，所有设计均通过某型装备研制单位的沙盒验证，确保每项机制可集成、可观测、可审计。零信任不是终点，而是DIB智能化进程中必须重铸的信任基础设施。
一、DIB业务场景下多智能体越权调用与大模型数据泄露的典型风险图谱 DIB业务场景中多智能体协同与大模型应用已形成“能力解耦—权限泛化—边界模糊”的结构性张力 智能体在DIB中普遍承担任务分解、跨域调度、实时决策等职能，其调用链路天然呈现“多跳、异构、动态授权”特征——上游智能体常以服务编排方式触发下游多个智能体执行子任务，而权限配置多基于静态角色或API粒度，难以匹配运行时上下文变化； 大模型作为DIB的认知中枢，既需接入多源敏感数据（如供应链图谱、装备参数、威胁情报），又需向智能体开放推理接口，导致数据流与控制流深度耦合，传统“网络边界+数据分类分级”防护范式失效； 业务上，DIB强调“快速响应—闭环验证—持续演进”，倒逼智能体间频繁复用能力模块、共享中间结果，客观上放大了越权调用的隐蔽性（如A智能体以调试名义调用B智能体的高权限数据萃取函数）与数据泄露的传导性（如LLM缓存中残留的原始字段未脱敏即被后续请求引用）。
典型风险并非孤立事件，而是三类业务动因驱动下的系统性脆弱点显化 流程驱动型越权：DIB任务常需跨安全域协同（如情报分析→仿真推演→预案生成），但权限策略未与业务流程生命周期对齐——智能体在流程启动阶段获得宽泛权限，却未随阶段推进动态收缩，导致其在非必要环节仍可访问高敏