← 工具集 AP · 0018 · 2026-09-03
企业内部研发 → 外部 Coding Agent · 转义脱敏架构验证

escapegate

内网研发想借外部 Coding Agent 干活,又不能把公司名/客户名/内部系统原样甩出去。 这套 Demo 模拟一条内网Agent → 转义Agent(出站) → 外网Agent → 转义Agent(回收) → 内网Agent 的最小闭环,每一步的分级、脱敏、改写、审计、放行/拦截判断都摊开给你看,不是黑盒演示。

▶ 打开测试网页 需自备智谱 BigModel API Key
五阶段可视化· L0-L3 分级· 可逆令牌化· 对抗性审计 Agent· 入站扫描 + 反向映射还原

架构流程图

内网Agent 和外网 Agent 是两个互不信任的边界,转义 Agent 是唯一跨过这条边界的角色——出站时做五步加固, 回收时做两步校验,任何一步不满足都不会往下走。L3 高敏内容在第一步就直接短路,连转义 Agent 自己的规则引擎都不会再往下看。

内网Agent ① 发起原始请求 (可含真实标识符) L3 → 内部 私有模型 内网Agent ⑤ 收到最终产出 (真实标识符已还原) 外网Agent ③ 执行脱敏后的 任务 完全独立信任边界 不持有 vault 不知道你是谁 转义Agent · 出站 分级 分类器 规则引擎 + 可逆令牌化 去语境化 (可选) 对抗性 审计Agent 三路信号 加权决策 + 出站网关 转义Agent · 回收 入站扫描 密钥/依赖风险 反向映射还原 占位符 → 真实值 L3 高敏 → 当场短路 规则引擎/审计 Agent 都不会看到原文 直接路由回内部私有模型,不外发

全链路五步

这是什么 / 不是什么

密钥与隐私

  • 自带智谱 BigModel Key,浏览器 localStorage 保存
  • Key 随每次请求走 HTTP Header 转发,服务端不记录不落盘
  • 不提供公共额度,没有 Key 无法运行全链路

最新进展 · 2026-09-07

面向芯片设计公司试点的深度优化

为了评估这套架构能不能扛住半导体制造业内网的真实请求(工艺配方、良率数据、RTL 设计、lot 号这类几乎不自报家门的内容), 针对性做了四层优化,并新建了一套 103 条芯片设计场景专属评测集(带精确实体标注,能算召回率而不只是分级准确率对不对)。 下面的数字全部来自真实评测运行,不是估算。

指标 基线 优化后
实体检测召回 / 精度(不传业务黑名单)0.226 / 0.4640.959 / 0.942
过度脱敏率8.9%0.0%
分级准确率(golden / 半导体 v1)0.592 / 0.7350.854 / 0.974
3 次重复分级一致率0.9520.981
部署形态四角色全公网混合模式 + 启动闸 + 离线镜像
检测 + 分级怎么改的
  • ·接入中文 NER(GLiNER 零样本 + Presidio 中文模型)识别人名/项目代号/内部系统名,不再只靠人工传黑名单。
  • ·本地小模型(bge-small-zh 句向量 + 逻辑回归)做第一道分级,和 LLM 分级双审取更保守结果,离线可用、可复现。
  • ·"结构本身即资产"的内容(原始良率 wafer map、PDK 规则数值、跨产品线全量 RTL 等)明确收紧判 L3。
两个备选方案,如实验证的结论
  • ·数值表格保结构变换:能保护数值本身这项资产,但不降低审计 Agent 猜出行业的能力(列名/表形状才是线索)——定位是配合人工复核的折中档,不是替代 L3 拦截。
  • ·多 MaaS 可见性拆分:只有 25% 的任务能拆成独立片段分发给不同厂商,拆开的确更难被反推(审计置信度 −0.146),但覆盖面窄,不可拆就必须回退单路整体处理。

诚实的边界

以上数字全部来自合成评测数据集,真实检出率、真实误伤只有客户内网的真实请求能给出——所以下一步是内网"影子模式": 先只记录不外发,用真实请求量化再决定是否放开外网路由。今天在本机对真实 BigModel / Ollama Cloud / 火山方舟三家 公网模型 API 跑通了完整闭环(L3 高敏内容当场拦截不出网,L2 内容脱敏后真实外呼、审计通过、正确还原真实标识符); 混合部署模式和离线镜像已经就绪,但尚未合并进下方这个公开测试网页——公开演示 为了让任何人一把 Key 就能跑通,仍是四角色收敛到 BigModel 一家的简化版本。

真实评测用例

下面三条来自 103 条专属评测集,三类岗位各挑一条,标注和实测决策都是评测脚本真实跑出来的,不是编的演示稿。 内部域名、密钥这类标识信息已经改写成通用占位,不对应任何真实客户。

工艺/良率/测试 L2 标注 · 实测 L2 结果:脱敏后放行,外网 Agent 执行完成
这段 STDF 解析脚本在 ADV-T5503-09 导出的文件上跑不动,PTR 记录解析到一半就报 struct.error,帮我看看:

from pystdf.IO import Parser
LOT = "HF19B-2602-C04"  # D5-24G-A 首批
def parse(path):
    with open(path, 'rb') as f:
        p = Parser(inp=f)
        p.addSink(BinSink(lot=LOT))
        p.parse()

另外顺便按 soft bin 画个 wafer bin map,失效 pin 类型归一下类。

含 ATE 机台号、产品代号与 lot 号,但没有测试 pattern/trim 表这类测试程序资产——代号化之后是个通用 STDF 解析问题,外网 Agent 看不到 ADV-T5503-09 / D5-24G-A / HF19B-2602-C04 本身。

电路/RTL/DFT L3 标注 · 实测 L3 结果:当场拦截,路由回内部私有模型
LP5X-12G-C 的 eFuse 安全配置寄存器初始化代码,帮我 review 一下 root key slot 的锁定顺序对不对,JTAG unlock challenge 是不是该在 OTP 读完之后:

#define OTP_ROOT_KEY_SLOT3   0x40A00C30
#define SEC_LOCK_REG         0x40A00F00
void sec_init(void) {
  otp_read(OTP_ROOT_KEY_SLOT3, key, 32);
  jtag_unlock_challenge(key);
  REG(SEC_LOCK_REG) |= LOCK_ALL;  // 先解锁再上锁?
}

eFuse/OTP root key 槽位、安全启动锁定顺序、JTAG 解锁机制属于"实现逻辑本身即资产",命中收紧后的强制 L3 判据,规则引擎和审计 Agent 都不会看到原文。

IT/MES/数据平台 L3 标注 · 实测 L3 结果:当场拦截,路由回内部私有模型
调 测试数据中台TDH-9 的 REST 接口一直 401,我本地配置是这样,帮我看看是不是 header 拼错了:

BASE = "https://yms.corp.example-fab.local/api/v2"
api_key = "sk-fabdemo-8f3ae91b2c7d4e5f"
r = requests.get(f"{BASE}/lots", headers={"X-Auth": KEY})

API 密钥和内网域名是凭证本体,不是"能不能猜出公司"的问题——凭证一旦出网,不管有没有被反推出行业都是事故,所以规则引擎直接拦截,不需要走到分级/审计那一步。

怎么用

  1. 01
    拿一把 BigModel Key 去 open.bigmodel.cn 控制台 生成一个 API Key,格式类似 xxxxxxxx.xxxxxxxx。
  2. 02
    粘贴进测试网页 打开测试网页后顶部就是密钥输入框,粘贴保存,下次打开自动记得(存在你自己浏览器里)。
  3. 03
    点一个示例案例,或自己写 页面内 9 个示例来自真实评测数据集,点击即可填入表单;也可以直接写一段包含姓名/邮箱/内部代号的请求自己测。
  4. 04
    点"运行全链路" 几十秒内真实调用多个 LLM API,五个阶段的判断依据、脱敏前后文本、风险分、最终产出物逐段展示。

一句话定位

不是"信任外部 Agent",而是让内网请求在离开信任边界之前,先被拆解到"看不出是谁、猜不出干什么"的程度——每一步判断都可审计,拦截优先于放行。