一、项目背景

这个 AI 网关上线初期只做了基础鉴权，调用方拿个 key 就能调，结果很快出问题。有个别调用方写了脚本高频刷接口，把宝贵算力全占住，正常业务被挤得响应变慢。更危险的是有人尝试越权访问别人的模型，拿自己的 key 去探测别的租户的接口，靠事后查日志才发现。安全团队找我们的时候，第一句话就是边界防护太弱，不能等出了事再追。我们设计的方案是把黑白名单和高风险行为识别前置到网关入口，越权调用在请求阶段就拦掉。

网关上线初期只做了基础鉴权，安全团队当时就提醒过边界太弱，但业务催着上线没顾上。结果出问题比预想的快，高频刷接口的把算力占满，正常业务响应从几百毫秒涨到几秒。越权探测更危险，有人拿自己 key 试别人的模型，靠事后查日志才发现，这种事一旦发生就是安全事故。我们进场第一件事就是把边界防护前置，不能等出了事再追。

二、落地场景

落地后每个调用方除了 key 还有黑白名单身份，白名单是受信的核心业务，放行更宽松；黑名单是已确认违规或被攻陷的调用方，直接拒绝。介于之间的灰名单走严格风控。高风险行为识别覆盖几类：高频突发、越权探测他人模型、敏感接口调用、异常时间大量请求。敏感接口比如删除模型、导出数据这类，强制二次确认或者人工审批卡点。越权调用实时拦截，请求还没到下游就被网关挡回，并且打审计日志。安全团队能在管控台看到实时风险看板，谁在刷、谁在探，一目了然。

黑白名单加信誉评分上线后，受信核心业务走白名单放行更宽松，确认违规的拉黑直接拒。灰名单走严格风控，观察期的行为决定升降。高风险行为识别覆盖高频、越权探测、敏感接口、异常时间几类。敏感接口如删模型导出数据强制二次确认或人工卡点。越权请求在网关入口就挡回，下游零感知，安全团队能在看板看到谁在刷谁在探。

三、关键技术挑战与解决思路

黑白名单动态维护是个持续活，我们没做成静态表，而是接了行为评分，调用方信誉差的自动降级到灰名单加强风控，表现好的可以从灰升白，减少人工干预。高风险行为识别用规则加模型，规则覆盖明确的越权特征，比如请求路径里出现非本租户的模型 ID，模型识别模糊的高频异常。敏感接口二次确认不能太重，否则影响正常流程，我们只在真正高危动作上加卡点，普通调用不受影响。越权实时拦截要在网关层做，不能等到了下游模型再拒，那样算力和风险都白费，入口拦截成本最低。审计留痕完整度要保证，每个拦截动作都带原因和时间，事后能复盘。

黑白名单我们做成动态的，接信誉评分自动升降，比静态表省心还准。高风险识别用规则加模型，规则覆盖明确越权特征，模型识别模糊高频异常。敏感接口二次确认我们克制着加，只在真高危动作上加卡点，加多了业务会绕开你。越权拦截放网关层做，不等地到下游再拒，入口拦截成本最低。审计留痕每次拦截带原因和时间，事后能复盘。

四、效果数据

越权拦截率达到满分，上线后所有跨租户探测请求在网关入口就被挡回，下游零感知。高风险调用识别率约九成五，漏掉的主要是伪装得很像正常流量的慢速探测，这部分我们靠信誉评分持续补。误杀率控制在百分之一以内，白名单和信誉机制避免了误伤正常业务。审计留痕完整度满分，每次拦截都能在日志里查到原因。我们复盘发现，入口拦截比事后追查省下的运维精力，远比想象中多。

越权拦截率满分，所有跨租户探测在入口挡回，下游零感知。高风险识别率九成五，漏掉的主要是慢速伪装探测，靠信誉评分补。误杀率控制在百分之一以内，白名单和信誉机制避免了误伤。审计留痕满分，每次拦截可查原因。我们复盘发现入口拦截比事后追查省下的精力远超预期。

五、可复用经验总结

网关的边界防护得前置，黑名单加行为识别比事后追查省心得多，我们是被一次越权探测惊出冷汗才把这套做扎实。黑白名单别做成死表，接信誉评分动态升降，人工少操心还更准。敏感接口的二次确认要克制，只在真高危动作上加，加多了业务会绕开你。下一步想把高风险行为做聚类，把慢速伪装探测也纳入模型识别，别只盯着高频这种明显特征。

案例片段（已脱敏）： 越权拦截片段：请求路径含 model_id 时，校验该模型所属租户与调用方 token 租户一致，不一致直接 403 并记审计。某日拦截越权探测 217 次，来源为一个被攻陷的调用方 key，已拉黑。高频风控阈值：单 key 每分钟超 600 请求触发限流并降信誉，误杀率 0.8%，审计留痕率 100%。

网关边界防护得前置，黑名单加行为识别比事后追查省心，我们是被一次越权探测惊出冷汗才做扎实的。黑白名单别做死表，接信誉评分动态升降，人工少操心还更准。敏感接口二次确认要克制，只在真高危加，加多业务会绕开你。下一步把高风险行为做聚类，把慢速伪装探测也纳入模型识别。