数据安全与合规

先识别 Agent 扩大的数据面

盘点从业务任务而非数据库表开始。用户输入、附件和身份进入 Gateway；企业文档、数据库和 Tool 返回进入 Context；Prompt、模型输入输出、缓存、Memory、RAG 索引、Trace、评测集、Artifact 与反馈继续形成副本。开发者调试导出、标注平台、告警工单和供应商支持渠道也属于处理链。

派生摘要、Embedding、分类标签、风险分数和哈希仍可能关联个人、商业秘密或源文档。数据地图为每一跳记录字段、来源、用途、主体类别、系统、地域、加密、访问角色、保留和下游接收方，并关联权威原始记录。未知流向不得用“平台内部”笼统覆盖。

每次处理绑定用途与最小化

用途写成可验证任务，例如“核对当前订单能否退款”，而不是“改进服务”。基于用途反推必要字段：模型可能只需要商品、金额和政策条款，不需要完整身份证号；Tool 只需要订单 ID 和授权主体，不需要整段对话；子 Agent 只收到完成委派所需的局部 Context。

日志、质量评测、安全调查、产品分析和模型训练是不同二次用途，需要分别确定许可、访问、保留和退出机制。生产交互不应因“将来可能有用”默认永久保存或进入训练。GDPR Article 5规定目的限制、数据最小化和存储限制等原则，但具体合法基础与例外必须由适用法分析决定。

分类决定允许的处理路径

企业通常以公开、内部、机密、受限或敏感分级，再叠加 PII、凭据、健康、财务、未成年人、出口管制和行业数据标签。分类落到字段和片段，因为同一文档的标题可能公开，正文含客户数据，附件又含密钥。处理策略据此决定可用模型、地域、Tool、日志级别和允许接收方。

自动分类器会漏检，也会对代码、混合语言、图片和编码内容误判。高影响路径采用“自动检测 + 确定性规则 + 抽样复核”，并记录漏检处置：停止外发、撤销访问、清理派生副本、通知 Owner 和更新测试集。分类置信度不能替代访问授权。

逐跳检查数据去向

每个处理节点都回答主体、目的、数据切片、地域、保留、训练使用、日志、下游接收方、删除接口和事件通知。数据在 HTTPS 中加密，只能说明传输保护，不能说明接收方用途正当、训练关闭、驻留满足要求或删除可验证。

模型 Provider

核验目标 API 和合同对应的实际数据使用、默认保留、Zero Data Retention 条件、地域、子处理方、加密、访问、滥用监测和事件通知。不同产品层、功能或区域可能采用不同条款，不能把营销页结论泛化到所有端点。配置、合同与能力探测共同形成证据。

内部/第三方 Tool

Tool 接收最小字段和面向目标资源的身份，输出携带分类与来源。第三方 Tool 的日志、Webhook、支持工单和二次子处理方进入数据地图；内部 Tool 也不能因为在同一网络就绕过租户、用途和保留控制。

Memory/RAG/Trace/Artifact

每类存储定义租户隔离、字段加密、密钥边界、访问审计、写入来源、过期与删除传播。共享索引必须在检索执行点做资源级过滤；Trace 默认只保存可诊断元数据和受控 Artifact 引用，避免观测系统成为最大明文副本。

开发、标注、运营和审批者的最小访问。人类访问按职责、工单和时间限制，生产全文查看使用 Just-in-Time 授权、理由、审计和到期回收。审批者只看到作出决定所需证据，标注者使用去标识样本；Break-glass 访问需要事后复核，不能演化成常规排障入口。

删除要覆盖所有派生副本

保留期按用途和数据类别定义，而不是全平台统一天数。会话、长期 Memory、索引、Embedding、缓存、Trace、评测集、Artifact、导出和备份建立派生关系与独立 TTL。删除编排从权威主体或记录出发，向下游发出可幂等请求，并收集完成、失败、重试与不可立即删除的原因。

Legal Hold、财务留档或安全事件可能与删除请求冲突。系统不能静默忽略，而要将适用范围、批准角色、隔离方式、访问限制和解除条件记录为受控状态。备份通常按生命周期过期而非在线逐条改写，因此需要证明恢复流程不会让已删除数据重新进入生产。

type DeletionEvidence = {
  requestId: string;
  subjectOrRecordRef: string;
  stores: Array<{
    system: string;
    artifactKinds: string[];
    status: 'deleted' | 'held' | 'expired-with-backup' | 'failed';
    evidenceRef: string;
  }>;
  owner: string;
  completedAt?: string;
};

这是教学用证据结构，不代表法律上充分。演练应从一条真实形状的测试交互出发，验证在线记录不可查询、索引不再召回、缓存失效、评测副本处理、备份恢复隔离和审计完整。

数据保护贯穿静态、传输与使用中

TLS、存储加密和密钥轮换保护传输与静态数据；字段脱敏、Tokenization 和 DLP 缩小暴露；RBAC/ABAC、租户隔离与 Break-glass 管理访问；Secret Manager 与短期凭据防止密钥进入 Prompt、日志、错误和客户端。加密不能替代最小化，因为有权解密的模型、Tool 或人仍可能过度处理。

NIST Privacy Framework 1.0是自愿隐私风险管理工具；官方同时发布了 1.1 Initial Public Draft，正式采用时必须记录选用版本和状态。工程控制要通过负向授权、跨租户、DLP 绕过、密钥轮换、删除和恢复测试验证，并由访问审计与事件指标持续证明。

第三方与变更需要持续治理

供应商审查覆盖数据角色、用途、训练、地域、保留、删除、加密、子处理方、政府请求、事件通知、审计权、导出和退出。合同不能替代技术配置，技术配置也不能替代合同责任；采购、Security、Privacy、Legal、System Owner 分别签署自己能够验证的部分。

模型、区域、API 功能、Tool、Memory 策略、日志采集和用户群变化都会改变处理活动。变更门禁比较旧新数据流、用途、接收方、保留与控制证据，必要时重新做隐私影响评估。季度访问审查、端到端删除演练和数据泄露桌面推演负责发现长期漂移。

每条数据风险指定 Owner，并记录控制之后仍存在的残余风险，例如供应商子处理链不可完全观测、备份只能按周期过期或分类器存在漏检。是否接受这些风险由有权限的业务、隐私与法务角色共同判断，并设置复审日期和退出条件。