在 AWS 与 Azure 上构建安全可控的多云 RAG 平台

检索增强生成（Retrieval-Augmented Generation, RAG）已快速成为将大语言模型（LLM）与企业私有知识库相结合的标准架构。然而，在要求严格的高合规生产环境中，仅靠基础的向量检索与提示词模板远远不够。生产级 RAG 平台必须防范个人身份信息（PII）泄露、抵御提示词注入攻击、保障多租户数据隔离、提供精准的引文来源、在检索依据不足时主动拒绝回答，并维持全程可审计的 DevOps 部署流程。

本文将深入解析一种企业级多云 RAG 平台的参考实现，该架构支持本地确定性测试，同时可平滑映射并部署至 Amazon Web Services (AWS) 和 Microsoft Azure 生产环境。

核心架构：受控证据流管道

为确保企业级安全性与可靠性，系统的数据流遵循严格的“受控证据管道”原则。所有查询与文档在进入推理层之前，都必须通过明确的治理检查点。

[ 原始文档 ] ──> [ 数据源校验 ] ──> [ PII 敏感脱敏 ] ──> [ 切块与向量化 ] ──> [ 向量数据库 ]
                                                                                       │
[ 用户查询 ] ──> [ 安全网关 ] ──> [ 租户隔离过滤 ] ──> [ 关联度阈值过滤 ] ──> [ LLM 推理生成 ] ──> [ 引用附注与审计 ]

系统的完整端到端执行链路严格执行以下步骤：

1. 受权数据源导入：仅允许从受信任并经过验证的对象存储桶中读取数据文件。
2. PII 敏感数据脱敏：文本在索引前须通过正则表达式与命名实体识别，剔除敏感信息。
3. 确定性文档切块与索引：将文档切分为重叠块，并赋予确定性元数据，保留完整数据血缘。
4. 安全网关检测：用户查询需实时通过安全防御层，过滤提示词注入、越狱指令及零宽字符攻击。
5. 多租户隔离：向量检索强制绑定租户标识符（Tenant ID），严防跨租户数据越权访问。
6. 相关性阈值过滤：过滤相关性得分低于预设阈值的上下文。若无合格证据，系统自动触发拒绝回答（Abstain）机制。
7. 基线生成与引文标注：大模型严格基于过滤后的证据生成回答，并附带精确的文档引用源。

多云映射：AWS 与 Azure 参考架构比对

在跨云部署 RAG 应用时，保持业务逻辑与安全策略的一致性至关重要。下表展现了参考架构在 AWS、Azure 以及统一模型聚合平台 n1n.ai 之间的能力映射：

对于需要横跨 AWS 和 Azure 环境的企业，引入如 n1n.ai 这样的高性能模型聚合网关，不仅能够简化多模型融合与备用路由机制，还能有效规避单一云厂商锁定的风险，显著降低 API 调用延迟与成本支出。

AI 安全防护：深层防御提示词注入

真实场景的评估表明，单纯依靠简单的正则表达式完全无法抵御复杂的提示词注入（Prompt Injection）攻击。简单的字符串匹配仅能识别字面攻击，而在面对混淆或编码后的攻击载荷时往往失效。

单层过滤与多层组合防御对比

1. 基础字面正则匹配（初始基线）：仅检测已知攻击短语（如 "ignore previous instructions"）。测试表明，字面匹配存在盲区，攻击拦截率仅为 62.5%（3/8 绕过）。
2. 多维组合防御策略：引入 Unicode 标准化、零宽隐藏字符剥离，并基于四大风险维度进行加权评分：
   • 指令覆盖特征（Override）：试图覆盖或重置系统原有 Prompt 的行为。
   • 控制标记注入（Control）：试图利用特殊分隔符篡改上下文格式的行为。
   • 数据外泄载荷（Exfiltration）：企图诱导模型输出系统内部 Prompt 或检索数据的行为。
   • 受限受保护词汇（Protected）：未经授权尝试访问系统内部变量的行为。

安全网关测试数据

在包含 36个测试样本的独立诊断集上，增强型安全网关表现如下：

• 成功拦截攻击数：17 / 24
• 正常查询放行数：11 / 12
• 准确率（Precision）：0.9444

专家建议：即便引入了高级启发式规则，复杂的字符间距混淆、角色扮演攻击及多语言变体仍有可能穿透检测。企业应建立基于系统层面的边界控制（如上下文只读隔离与生成后内容校验），而非完全依赖输入端筛选。

基准评估与实验结果分析

为建立可重复验证的基线，本地确定性实操环境在 5次重复测试中对包含 40个合成案例的测试集进行了评估。测试集覆盖了可回答问题、无答案问题、提示词注入、PII 脱敏、格式验证及多租户隔离场景。

注：上述延迟数据仅代表在本地确定性测试环境中用于安全逻辑验证的表现，并非云端生产环境的网络请求延迟。

快速上手：本地运行与 CLI 评估指引

开发人员可以在本地克隆、索引、启动并评估该参考平台，无需配置付费云 API 或外部凭证。

1. 环境初始化与依赖安装

# 创建并激活 Python 虚拟环境
python -m venv .venv
source .venv/bin/activate  # Windows 用户请执行: .venv\Scripts\activate

# 安装依赖包
pip install -r requirements.txt

2. 文档索引与 REST API 部署

# 导入本地示例知识库
python -m src.rag_platform.cli ingest examples/knowledge

# 使用 Uvicorn 启动 REST API 服务
uvicorn src.rag_platform.api:app --host 0.0.0.0 --port 8000

3. 运行评估与安全基准测试

# 执行黄金标准基线评估
python -m src.rag_platform.cli evaluate evaluation/golden_set.json

# 运行 5次确定性重复基准测试
python -m src.rag_platform.cli experiment evaluation/candidate_test_set.json \
  --repeats 5 \
  --output evaluation/results/local_candidate_test.json

# 运行安全防护专项评估
python -m src.rag_platform.cli security-evaluate evaluation/security_robustness_v2.json

企业级生产部署与 DevSecOps 最佳实践

将确定性本地架构平滑升级至多云生产环境，需要建立完备的 DevSecOps 流程与高可用模型路由：

1. GitOps 与 Helm 自动化部署：将向量检索索引、安全代理 Sidecar 和数据接入 Worker 封装为 Kubernetes 清单，通过 Trivy 扫描镜像漏洞并借助 ArgoCD 实现自动化交付。
2. 统一多云 API 聚合路由：集成如 n1n.ai 这样的多模型 API 聚合网关，不仅能消除单区域宕机风险，还能通过统一接口灵活调用 OpenAI o3、Claude 3.5 Sonnet 及 DeepSeek-V3 等主流模型，大幅简化秘钥管理与计费监控。
3. 自动化质量门禁（Quality Gates）：将回归测试集成至 CI/CD 管道中。若“无依据拒绝准确率”低于 1.0 或“引文覆盖率”低于 0.90，系统自动拦截发布。
4. NIST AI RMF 框架合规：将系统各个模块精准映射至 NIST AI 风险管理框架（Govern, Map, Measure, Manage），并在构建容器镜像时自动生成 SBOM（软件物料清单）。

总结

构建安全、可控的企业级 RAG 架构需要平衡模型生成能力与数据安全、合规审查及多云抗灾能力。通过建立确定性证据流管道、多层安全防护网关以及跨 AWS 和 Azure 的统一 API 路由，企业能够放心地将生成式 AI 落地到核心业务场景中。

Get a free API key at n1n.ai