本文介绍如何用大模型对SQL操作进行风险分级，并结合动态授权机制，防止AI助手误删数据，保障数据库安全。

AI数据库助手防误删：用大模型对SQL操作做风险分级与动态授权

背景与问题

随着大语言模型（LLM）的普及，越来越多的团队开始构建“AI数据库助手”——用户用自然语言提问，AI自动生成SQL并执行查询。这极大提升了数据获取效率，但也带来了严重的安全隐患：

• 模型幻觉：AI可能生成语义正确但逻辑错误的SQL，例如把DELETE写成无条件删除。
• 权限过大：如果AI助手直连数据库高权限账号，一次误操作可能导致整表数据丢失。
• 缺少监管：传统权限控制是静态的，无法根据SQL上下文动态调整，难以防范“看似合理实则危险”的操作。

因此，我们需要在AI与数据库之间增加一道“安全闸门”，对每次SQL操作进行风险分级，并根据风险等级实施动态授权。

核心方案

整体架构

方案分为三层：

1. SQL解析模块：对AI生成的SQL进行语法和语义解析，提取操作类型、涉及表、条件完整性等信息。
2. 大模型风险评估：利用LLM对SQL进行风险打分和分类，输出风险等级（低/中/高/严重）。
3. 动态授权模块：根据风险等级决定执行策略——直接执行、需人工审批、阻止执行。

风险分级规则

等级	条件示例	授权策略
低风险	SELECT、带WHERE的UPDATE、LIMIT 100内的查询	自动执行
中风险	带WHERE的DELETE、批量UPDATE、多表JOIN	需审批+限流
高风险	无WHERE的UPDATE/DELETE、TRUNCATE、DROP	人工二次确认
严重风险	跨库操作、影响行数预估>100万、事务中DDL	阻止执行

动态授权流程

1. 用户向AI助手发出自然语言请求。
2. AI生成SQL，并附带意图说明。
3. 安全模块使用解析器提取SQL特征，同时调用LLM进行风险评分。
4. 根据评分与预设策略，返回“允许”“需审批”“拒绝”三类结果。
5. 若需要审批，将SQL与风险说明推送给DBA，DBA在界面中决策。

代码示例

以下是一个简化的Python实现，演示如何整合SQL解析与LLM风险分级。

import sqlglot
from llm_client import llm_risk_assess  # 假设的LLM接口

# 风险等级定义
RISK_LEVELS = {"LOW", "MED", "HIGH", "SEVERE"}


def parse_sql(sql: str) -> dict:
    """提取SQL关键特征"""
    parsed = sqlglot.parse_one(sql)
    return {
        "operation": parsed.key,  # select/update/delete/drop等
        "has_where": parsed.args.get("where") is not None,
        "limit": parsed.args.get("limit"),
        "tables": parsed.find_all(sqlglot.exp.Table),
    }


def rule_based_risk(sql: str) -> str:
    """基于规则的快速分级"""
    info = parse_sql(sql)
    op = info["operation"]
    if op in ("TRUNCATE", "DROP", "ALTER"):
        return "SEVERE"
    if op in ("DELETE", "UPDATE") and not info["has_where"]:
        return "HIGH"
    if op == "SELECT" and info.get("limit") is None:
        return "MED"
    return "LOW"


def llm_risk_score(sql: str, context: str) -> int:
    """调用大模型返回风险分数0-100"""
    response = llm_risk_assess(sql, context)
    return response["risk_score"]


def dynamic_authorize(sql: str, user_role: str) -> str:
    """综合判定授权结果"""
    rule_risk = rule_based_risk(sql)

    # 严重风险直接拒绝
    if rule_risk == "SEVERE":
        return "DENIED"

    # 高危操作交给LLM进一步判断
    if rule_risk in ("HIGH", "MED"):
        score = llm_risk_score(sql, context=f"user_role={user_role}, sql={sql}")
        if score > 85:
            return "DENIED"
        elif score > 60:
            return "MANUAL_REVIEW"
        else:
            return "ALLOWED"

    # 低风险直接放行（可加限流）
    return "ALLOWED"


# 示例
sql = "DELETE FROM users WHERE id = 123"
result = dynamic_authorize(sql, user_role="analyst")
print(result)  # 根据LLM评分可能输出 MANUAL_REVIEW

同时，我们可以在实际系统中增加一个审批回调接口：

# 审批伪代码
def approve_sql(sql_id: str, dba_decision: bool):
    if dba_decision:
        executor.execute(sql_id)
    else:
        audit_log.record(sql_id, "rejected")

注意事项

• 大模型不能做唯一决策源：LLM可能误判，必须结合规则引擎和人工兜底。
• 防范SQL注入：即便有风险分级，也要对SQL参数做绑定变量处理，避免恶意拼接。
• 审计与可追溯：所有SQL操作需记录日志，包括AI生成的原始请求、风险评分、审批人、执行结果。
• 动态授权粒度：不只按风险等级，还要结合用户角色、数据敏感度、时间窗口等维度。
• 模型版本管理：大模型的提示词和模型版本变化会影响评分稳定性，需要定期测试。

总结

通过大模型对SQL操作进行风险分级与动态授权，能够在享受AI便利的同时，将误删风险降到最低。关键在于规则+模型+人工三层协同：规则引擎保证确定性，模型提供语义理解能力，人工审批处理高风险的边缘情况。在实施过程中，务必重视审计和测试，让AI助手真正成为可靠的数据库伙伴。
【zdl.im】