如何防止多模态转换导致权限泄露?

多模态助手最容易让人掉以轻心的，往往不是“它懂不懂图、听不听得懂语音”，而是权限有没有跟着内容一起走。一张受限目录里的会议录音，员工可能下不了；可一旦被转成文字、做成摘要，再被切成检索片段，权限边界就可能悄悄松动。很多人还在按“管住原文件”的思路做事，结果真正在流通的，反而是那些转换后的派生内容。

这类泄露通常不是谁故意越权，而是链路断了。图片识别出的描述、语音转写稿、文档切分后的知识片段，看起来像“新东西”，系统若没把它们和源数据绑在一起，检索和回答就会按新对象放行。更麻烦的是组合回答：模型把几段来源不同的材料拼在一起，单独看都不刺眼，合起来却把本不该对外的信息概括出来了。这时候如果只盯着最终回复“像不像机密”，往往已经晚了。

比较稳妥的原则很简单：源数据约束优先。派生内容默认继承来源的访问限制，除非有人明确审核、重新定级。多个来源拼出的结果，按其中限制最严的那份处理，而不是按“看起来最不敏感”的那份放行。权限核对不妨卡在三个关口——接入时确认上传者有没有权提交和处理；检索时确认当前用户能不能碰被召回的片段、图述或转写；输出时再拦一道，避免模型把无权展示的信息重组后送出去。难的不是层级画得多复杂，而是权限能不能跨过文件、文本片段、索引和模型输出持续生效。

要做到这一点，得先给进入链路的数据一张“共同身份证”：来源、责任主体、时间、业务范围、模态、敏感级别、允许用途。原始内容受限，不等于转写、摘要、索引就能自由流通。敏感识别也别只看文件名和目录，合同截图、页脚、语音里的联系方式，转成文本后反而更好搜、更好复制。识别结果不必只会“一刀切拦截”，更实际的是决定能不能建索引、要不要脱敏、是否只限特定空间、要不要人工审批。

训练、检索增强和日志留存更要分开授权，别把“接入助手”默认理解成“什么都能学、什么都能留”。审计也不该只记谁登录过，而应尽量还原：谁在何时让助手看到了什么、经过哪些转换、召回了哪些内容、输出给了谁。当然，日志本身也可能变成新的敏感堆，记关联轨迹往往比无差别堆原文更合适。

你不妨拿一条完整链路自己演练一遍：上传带字的图，提取后再结合内部文档回答，然后逐项看原件、识别文本、检索片段、回复和访问记录，权限与留存能不能对上。对得上，转换才不算开后门；对不上，多模态再聪明，也可能只是多开了一个信息出口。权限跟着内容流动走，这事说起来不热闹，却往往决定助手能不能安心用下去。