本篇 10 题｜覆盖初级到高级｜安全与数据边界。先用自己的话回答，再核对参考要点，最后练习工程追问。
本篇目录
- LLM-081 为什么不应该把 API 密钥放进提示？
- LLM-082 提示注入与普通用户指令如何区分？
- LLM-083 模型输出为什么是不可信输入？
- LLM-084 如何设计最小权限的工具代理？
- LLM-085 如何减少训练或日志中的敏感数据？
- LLM-086 内容过滤应放在哪里？
- LLM-087 如何做对抗性测试而不影响生产数据？
- LLM-088 数据删除为什么要覆盖多个存储层？
- LLM-089 如何隔离不同租户的大模型会话？
- LLM-090 安全性与可用性如何平衡？
LLM-081 为什么不应该把 API 密钥放进提示？
难度：高级
参考答案：提示可能进入日志、上游服务或生成输出。凭据应留在执行层，由受控工具代理访问，并对上下文和日志做脱敏；模型只需要业务参数和经过处理的结果，不需要知道秘密本身。
工程追问：如何排查调试日志中的凭据泄漏？
LLM-082 提示注入与普通用户指令如何区分？
难度：高级
参考答案：提示注入试图让来自用户、网页或文档的数据越过既定指令和权限边界。应按来源和信任级别处理内容，而不是靠关键词判断恶意；真正的权限控制放在模型外部执行。
工程追问：一个看似正常的文档怎样影响工具行为？
LLM-083 模型输出为什么是不可信输入？
难度：高级
参考答案：输出可能包含错误字段、脚本、链接或操作建议。进入数据库、浏览器和工具前都要用相应校验与编码规则处理，避免将自然语言生成直接变成可执行 SQL、HTML 或系统命令。
工程追问：如何安全展示模型生成的富文本？
LLM-084 如何设计最小权限的工具代理？
难度：高级
参考答案：将工具分成明确的只读与写入能力，按用户和任务授权，限制资源范围与调用预算。操作前独立校验，操作后记录结果；让模型知道某个工具并不表示它获准使用所有资源。
工程追问：跨租户查询应在哪一层拦截？
LLM-085 如何减少训练或日志中的敏感数据？
难度：高级
参考答案：按用途最小化采集，进行分类、脱敏与访问控制，并设保留和删除流程。脱敏需要考虑上下文可重识别性，不能只删除姓名；开发测试与线上数据应有清晰边界。
工程追问：电话号码被分成多个字段时怎样识别？
LLM-086 内容过滤应放在哪里？
难度：高级
参考答案：根据风险在输入、检索、工具结果与输出阶段设置检查，避免单个过滤器成为唯一防线。过滤结果要可解释并评测误伤；业务权限和操作授权不能由内容分类替代。
工程追问：误伤正常技术问答时如何改进？
LLM-087 如何做对抗性测试而不影响生产数据？
难度：高级
参考答案：在隔离环境中使用合成数据、受限工具与明确测试范围，观察越权、泄漏和错误执行。用可回放用例验证修复，不能在真实用户数据上随意尝试破坏性指令。
工程追问：哪些工具应该使用模拟执行器？
LLM-088 数据删除为什么要覆盖多个存储层？
难度：高级
参考答案：原文可能同时存在于日志、摘要、向量索引、缓存和备份中。需要数据血缘和可执行的删除流程，并区分立即撤销访问与最终物理清理；只删主数据库记录不足以证明清理完成。
工程追问：删除文档后如何验证它不会再被检索到？
LLM-089 如何隔离不同租户的大模型会话？
难度：高级
参考答案：会话、缓存、检索和工具都应绑定服务端确认的租户与用户身份。不能信任客户端传来的任意租户 ID，也不能仅靠提示中写“不要串租户”；测试需要覆盖历史复用与缓存命中。
工程追问：相同问题的缓存能否跨租户共享？
LLM-090 安全性与可用性如何平衡？
难度：高级
参考答案：按操作风险分层：普通只读查询可自动完成，敏感写入增加核验或审批。用误拒率、漏检与任务完成率评估取舍，明确失败路径；一味增加提示限制可能损害体验却没有真正权限隔离。
工程追问：怎样确定哪些操作必须由人确认？
复盘练习
任选一题，用“场景与约束 → 方案 → 验证方法 → 失败边界”组织一段回答。初级先讲清概念，中级补实现与测试，高级补成本、权限和故障取舍。难度标签是学习建议，同一题可继续深入。
延伸阅读
以下为本模块相关原始论文与官方文档，用于继续学习；本文为原创面试要点整理，具体框架行为以所用版本为准。