[security-hardening] backend-CHEK-ai：Prompt 注入、输出泄露、工具权限与日志脱敏

[hongzexin]

背景

来自 2026-06-06/07 frontend-app/CHEK 上线前安全与滥用风险排查。DEV 集群存在 backend-chek-ai，网关公开路由包含 /api/chek-ai/**、/api/chek-ai/openapi.json。源码归属为 chekdata/CHEK monorepo 的 backend-CHEK-ai。

风险

• 用户通过 prompt injection 套取系统提示词、内部策略、上下文、token 或隐私。
• 模型输出泄露 API key、token、private key、系统规则或内部信息。
• 如果 AI 服务有工具/内容检索能力，可能被用户诱导越权读取或执行。
• 日志记录完整 prompt、用户隐私、token、上游错误体或模型上下文。

要求

• 关键规则、可访问数据范围、工具白名单必须服务端维护，不靠 prompt 自约束。
• 输入过滤和裁剪：拒绝系统提示词/密钥/越权读取/绕过审核等高风险请求。
• 输出审核：拦截 key/token/private key/system prompt/内部策略/用户隐私泄露。
• 工具调用前做服务端权限校验，不让模型决定是否有权。
• 错误响应和日志脱敏，不回显上游完整错误体。

验收

• 单测覆盖 prompt extraction、secret extraction、敏感输出、越权工具调用、日志脱敏。
• DEV smoke 证明高风险输入被拒绝或降级，敏感输出不会下发给客户端。
• 输出当前 AI 服务的公开 API、工具白名单、日志保留策略。