企业RAG最大坑：向量检索不做权限过滤，敏感资料直接泄露｜StellMind翌星企小智权限体系实战

关键词：RAG / 企业知识库 / AI Agent / 权限管控 / 大模型落地 / 检索增强生成

---

一、前言

很多团队做 RAG PoC 演示效果惊艳，一上生产环境就踩进安全大坑。

核心痛点： 向量库把所有文档混在一起，只靠 Prompt 提示大模型"不要回答无权内容"，这属于软约束，极易越权泄露。普通员工问答直接拿到其他部门机密方案、财务预算、研发内部文档，是企业 RAG 落地最高频的安全事故。

企业 RAG 不只是把文档切片、向量化、做问答。真正企业级的 RAG，权限控制必须前置到检索链路，而不是靠大模型道德约束。

本文结合 StellMind 翌星 AI「企小智」的真实产品能力，聊聊生产可用的 RAG 权限应该如何设计、如何落地。

---

二、传统 RAG 权限的典型安全漏洞

1. 向量分片和原始文档权限脱钩

文档打了部门权限标签，但向量化之后，向量块丢失了 ACL 信息。所有人查询时返回全部相似片段交给大模型，极易输出敏感内容。

2. 权限后置：先召回再过滤

先召回 Top-K，再删掉无权限片段。结果是有权限的文档被无关的高相似度无权文档挤出结果列表，导致员工查不到有效资料。

3. 只做全局/个人两级权限，缺少部门级隔离

现实企业场景：

• 公司制度 → 全员可见
• 销售部数据 → 仅限销售
• 研发文档 → 仅限研发
• 对外客服文档 → 对外开放

简单两级权限根本无法满足复杂组织架构需求。

4. 角色与操作权限没有分离

只能控制"能不能看知识库"，无法区分查阅、编辑、审批等操作，知识库管理混乱。

5. 对外客服场景无法隔离内外资料

把内部知识库直接对外提供客服问答，内部保密文档被外部客户查询出来，造成信息外泄。

核心认知： 权限过滤必须发生在检索之前，而不是生成之后。不能信任大模型自己拒绝回答敏感问题。

---

三、翌星AI - StellMind 企小智：RAG 全链路权限管控方案

企小智面向企业的 RAG 知识库智能体，完整实现角色 + 权限 + 文档可见范围三级管控。

权限贯穿全流程：文档上传 → 元数据标记 → 向量检索过滤 → 问答输出 → 对外客服嵌入。

3.1 两层文档可见域（企业 / 部门维度）

文档上传企小智知识库时，可配置可见范围：

可见范围	说明
✅ 全公司公开	企业内部所有员工都可以检索问答
✅ 指定部门可见	仅选定部门成员可以检索该文档
✅ 全平台公开	对外开放，用于网站嵌入智能客服，匿名访客可查询，内部机密文档不会被外部检索到
✅ 文档启用/禁用开关	文档禁用后向量库依然存在，但检索时直接过滤，不会被任何用户召回，无需重新删除向量

向量检索阶段，根据当前登录用户所属部门、身份，自动过滤掉不在可见域内的文档块，无权文档片段根本不会送入 LLM 上下文，从源头杜绝泄露风险。

3.2 OA 驱动：角色与操作权限分离（RBAC）

企小智的权限统一由 OA 助手进行管理，分为角色和权限两套体系——一个员工只能拥有一个角色，但可以分配多项业务权限。

角色（管控处理事务范围）

角色	权限范围
企业管理员	管理全企业所有知识库文档，可跨部门操作
部门管理员	仅管理本部门知识库，无法跨部门访问其他部门文档

知识库相关操作权限（细粒度）

操作权限	说明
查阅权限	可以问答检索知识库文档
知识库编辑权限	上传、新增、修改、删除本权限范围内文档

示例场景：

• 把张三设置为研发部管理员，授予知识库编辑权限，张三只能管理研发部范围内文档，无法查看、修改市场部上传的内部资料；
• 企业管理员李四，可以查看、编辑全公司所有部门知识库文档。

优势： 组织人员发生变动时，管理员直接通过自然语言对话在 OA 助手里调整角色权限，无需复杂后台配置。权限变更实时生效，不需要重新处理向量库。

3.3 完整 RAG 链路权限执行流程

执行流程：

1. 文档上传企小智，标记文档可见范围（全公司 / 指定部门 / 全平台公开）；
2. 文档解析切片向量化，权限元数据跟随向量片段一起存入存储；
3. 用户发起 RAG 问答，系统读取当前用户：角色、所属部门、操作权限；
4. 检索前置过滤：向量查询时，直接过滤掉该用户不可见的所有文档分片；
5. 仅有权限的片段进入重排、Prompt 组装，送入大模型；
6. 返回问答结果，附带文档来源引用；对外嵌入客服场景，只会使用标记为【全平台公开】的文档。

整个流程，无权数据不参与检索、不进入 Prompt、不抵达大模型，而不是指望大模型收到敏感片段后再拒绝输出。

3.4 支持多格式知识库，兼顾内部使用与对外客服

企小智支持 txt / markdown / pdf / docx / pptx / xlsx 多种格式文档入库。

• 对内： 企业员工根据部门权限查询内部制度、技术手册、项目资料；
• 对外： 将文档标记为全平台公开，通过 iframe 嵌入官网，实现 7×24 智能客服。匿名访客只能访问公开文档，企业内部资料完全隔离，不用担心泄露。

---

四、真实业务场景举例

场景 1：多部门企业内部知识库

• 《员工入职制度》设置为【全公司公开】，全员可问答查询；
• 《研发技术方案 V2.0》设置仅【研发部】可见；
• 《销售季度报价策略》设置仅【销售部】可见。

普通市场部员工提问，向量检索阶段直接过滤研发、销售私有文档，只能查询到全公司公开文档，不会拿到其他部门机密内容。

场景 2：官网嵌入智能客服

把产品说明、常见问题设置为【全平台公开】，内部财务、人事文档不标记公开。网站访客匿名访问智能客服，只能检索公开 FAQ，企业内部制度、合同资料完全隔离，不会被外部查询。

场景 3：部门管理员管理本部门知识库

市场部主管设置为部门管理员，拥有知识库编辑权限，可以上传维护市场部资料，但无法访问研发的技术文档，做到权责隔离。

---

五、对比传统自建 RAG 方案

对比项	普通自建 RAG（仅向量库+大模型）	StellMind 企小智 RAG 知识库
权限生效位置	生成阶段靠 Prompt 约束	检索前置过滤，无权分片直接过滤
权限粒度	大多只有全局/个人两级	公司级、部门级、全平台公开三级可见域；角色+细粒度操作权限
人员权限变更	需要重新维护向量元数据	OA 对话式调整权限，实时生效，无需重处理文档
对外客服能力	需要自己开发权限隔离逻辑	文档标记全平台公开，直接 iframe 嵌入，内外知识天然隔离
文档临时失效	需要删除向量、重入库	文档禁用开关，直接过滤，无需删向量
引用溯源	基础引用	引用同时受权限管控，看不到的文档不会出现在引用来源

---

六、落地小结

1. 企业级 RAG，权限优先于检索效果。 PoC 阶段可以忽略权限，上线生产必须优先设计 ACL，不要把安全寄托给大模型 Prompt；
2. 权限要绑定文档元数据，在向量检索环节做过滤，而不是召回完成之后再丢弃结果；
3. 真实企业组织需要 角色（作用域）+ 操作权限 + 文档可见域 三维权限模型，而不是简单文件夹权限；
4. 一套知识库同时支持对内员工问答、对外客服场景，依靠文档可见范围标签做隔离，降低维护成本。

StellMind 翌星企小智，把这套经过企业验证的 RAG 权限体系开箱即用交付，支持 SaaS 公有云以及私有云部署。私有云模式下企业全部数据内网隔离，进一步保障数据主权与合规。

---

七、参考资料

• StellMind 翌星官方文档 - 企小智章节：https://www.stellmind.com/doc.html#sec7-3
• StellMind 翌星官方文档 - 权限管理章节：https://www.stellmind.com/doc.html#sec7-2