前言

生成式AI正在快速进入办公、研发和运维场景，员工通过浏览器、桌面客户端、编码助手、CLI工具等方式与大模型交互，端点已成为AI能力落地的最后一环，也是风险最集中的一环。传统网络层防护在TLS加密下难以解析Prompt内容，域名信誉和URL过滤又容易被可信AI平台绕过，仅靠网络侧设备无法完整回答“谁在什么时候向哪个AI提交了什么内容、AI Agent在端点上做了什么、数据最终流向哪里”这三个问题。

本文的写作目的不是推介某款产品，而是给出一套可落地的端点防护方案。方案以迪康端点安全一体化管理系统为配置载体，围绕影子AI数据外泄、提示注入操控AI Agent、AI应用分发恶意软件、AI客户端进程滥用四类威胁，说明如何组合已有端点安全能力，建立“可见—可控—可溯”的防护体系。本文面向企业安全管理员、IT运维和合规人员，可用于内部方案设计、策略配置和审计溯源参考。

一、威胁模型

当前企业端点面临的AI相关攻击可归纳为四类威胁面：

威胁面一：影子AI导致的数据外泄。 员工将源代码、合同条款、客户信息等敏感内容直接复制粘贴至公有大模型对话框，此类行为未经IT审批，企业内部数据由此流出安全边界。传统网络DPI设备在TLS加密下无法解析Prompt内容，传统DLP则难以管控浏览器输入框和AI客户端内的内存数据流转。

威胁面二：提示注入操控AI Agent执行恶意操作。 本地运行的编码助手、CLI工具、桌面AI应用等AI Agent以用户权限在端点上运行，从Prompt、文件、网页内容、工具输出中读取文本，无法可靠区分可信内容与隐藏指令。单条注入指令即可滥用Agent权限进行数据外传、代码篡改或命令执行。

威胁面三：AI应用成为恶意软件分发新渠道。 攻击者利用AI平台的共享链接功能分发信息窃取程序，由于恶意内容托管在可信域名上，基于域名信誉和URL过滤的传统防护策略会失效。

威胁面四：AI客户端进程滥用。 未经授权的AI客户端程序在终端上运行，可能在用户不知情的情况下读取本地文件、访问敏感目录或建立外联通道。

二、防护架构

防护架构以迪康端点安全一体化管理系统（以下简称“系统”）为管控底座，围绕上述四类威胁面，在端点上建立“可见—可控—可溯”三层能力。系统将资产管理、外设管控、外联监测、文档防护、审计溯源集成于统一平台，以下方案通过配置已有模块的能力组合来应对AI威胁，无需引入额外系统。

2.1 影子AI交互审计

目标：使所有AI工具使用行为可观测，捕获实际提交的Prompt内容，解决传统网络审计仅能看到“访问了AI网站”而无法获取对话内容的问题。

配置方式：在系统管理端「安全策略‑网络审计」中手动开启〖AI工具使用审计〗开关。该功能非默认启用，开启后终端侧的网络审计模块将对主流公有大模型做专项识别，覆盖浏览器网页访问和独立AI客户端两种形态。

采集字段：每条AI会话完整记录终端名称、IP、MAC地址、操作系统账号、所属部门、AI工具类型及对应进程名、用户提交的Prompt内容、完整会话上下文、审计时间。

联动能力：将AI审计与系统的敏感信息报警模块联动。在敏感信息检测规则中配置关键词库（如项目代号、客户标识、源码特征字符串），当Prompt内容命中预设敏感词时，后台触发实时告警。告警记录关联终端资产信息，可直接定位到具体人员和工位。

2.2 分级管控模型

目标：避免“全盘封禁”或“完全放开”的二元策略，按部门数据敏感度实施差异化管控。

模式一：仅审计留痕（普通业务部门）
适用于行政、市场、运营等非涉密岗位。仅开启AI工具审计，不阻断AI访问链路，保留员工使用AI提效的能力。联动敏感信息报警，Prompt命中机密信息时后台触发告警。所有交互行为留痕，风险事件可快速溯源到人和终端。

模式二：审计+风险阻断（研发、核心业务部门）
适用于持有源代码、核心项目方案等高价值资产的岗位。开启AI工具审计的同时，启用应用程序管控策略禁止本地AI客户端程序运行。联动系统的文档安全模块，拦截敏感文件通过浏览器上传至AI网页的行为。告警触发后调取文件操作审计日志，可完整复现“打开文档→复制内容→粘贴至大模型”的全链路行为。

模式三：访问阻断+违规留痕（涉密、高保密岗位）
适用于内网涉密终端。通过网站访问控制黑名单拦截AI域名，应用管控策略禁止AI客户端运行，同时保留AI审计开关以记录任何绕过尝试。

2.3 AI Agent运行时行为管控

目标：对本地运行的AI Agent（编码助手、CLI工具、桌面AI应用）实施进程级行为监控，检测并阻断异常操作链。

系统提供的EDR能力包含完整进程链溯源，可追溯一个可疑进程的父进程、加载的DLL、写入的注册表自启项以及发起的网络连接。将此能力应用于AI Agent场景：

• 进程发现与分类：通过资产模块自动发现终端上运行的AI相关进程，识别其进程名称、签名信息和运行路径，建立AI Agent进程清单。

• 行为链监控：对AI Agent进程的文件读写、网络连接、子进程创建等行为进行监控。例如，若一个编码助手进程在读取本地.env文件后随即发起对外网络连接，该行为链可被EDR的进程链溯源能力捕获并告警。

• 应用管控策略：对未经授权的AI客户端程序，通过系统的应用程序管控模块实施禁止运行策略，阻断其启动。对于已授权的AI工具，可通过白名单机制放行，同时对其行为进行审计。

2.4 数据外泄通道收敛

AI攻击的最终目的通常是数据外泄，因此需要收敛端点上的数据外流通道。

浏览器层面：系统的网络审计模块覆盖浏览器访问行为，AI工具审计可捕获通过浏览器提交的Prompt内容。对于通过网页上传文件至AI平台的行为，可联动文档防护模块进行拦截。

剪贴板层面：系统的审计模块覆盖剪贴板操作留痕，可记录敏感数据被复制到剪贴板的操作，为事后溯源提供数据。

文档层面：系统的文档防勒索模块采用系统底层文档防火墙机制，默认阻断所有未知程序对已保存文档的访问操作，通过白名单指纹库放行安全程序。此机制可防止未经授权的AI工具进程直接读取本地文档内容。

外设与网络层面：系统的外设管控模块可对U盘、蓝牙、无线网卡等硬件接口实施分级权限管控，外联监测模块可发现并阻断终端私自接入随身WiFi或移动网卡的行为。这些能力用于防止AI窃取的数据通过物理或无线旁路通道外传。

2.5 审计溯源与合规

AI攻击事件的事后调查需要完整的行为链路还原能力。系统的审计模块覆盖文件读写、外设使用、打印、剪贴板、进程行为，以及网页访问、邮件、即时通讯等网络行为。AI工具审计数据可批量导出为Excel报表，用于事件溯源和合规归档。

日志记录关联终端资产信息（设备、操作人员、物理工位），当AI相关安全事件发生时，可快速定位到具体的终端、人员和位置。支持自定义日志存储容量与留存周期，满足《数据安全法》和等保2.0对审计日志留存的要求。

三、部署要点

审计开关的启用：AI工具使用审计功能需要在「安全策略‑网络审计」中手动开启，不开启则不产生AI会话日志。建议在方案部署初期先在少量终端上启用，验证日志采集的完整性和性能影响后再全量推开。

策略分级的划分：三级管控模式需要与组织架构和部门职能对齐。建议在系统管理后台按部门/岗位分组配置策略，新增终端自动落组，避免逐台配置。

敏感词库的维护：敏感信息报警的关键词库需要覆盖项目代号、客户标识、内部系统名称、源码特征字符串等企业特定信息。词库需要定期更新，以匹配业务变化。

与现有安全体系的协同：系统的AI审计日志可对接集中日志平台或SIEM系统，与网络侧NDR、邮件网关等已有防护设施形成互补。端点侧的Prompt审计弥补了网络层在TLS加密下无法解析对话内容的盲区。

结语

AI相关攻击的防护重点不在“封禁AI”，而在建立可观测、可分级、可追溯的使用秩序。企业应先解决影子AI不可见的问题，再按部门数据敏感度实施差异化管控，同时对本地AI Agent保持进程级行为监控，并收敛浏览器、剪贴板、文档、外设等外泄通道。

落地时建议遵循“先审计、后管控、再阻断”的节奏，避免一刀切影响业务效率。敏感词库和AI进程清单需要持续维护，审计日志宜与现有SIEM或集中日志平台对接，形成端点与网络侧的互补。最终目标是在不牺牲必要效率的前提下，把AI使用纳入可审计、可追责的框架，降低数据外泄和Agent滥用的风险。