AI 应用上线前要考虑哪些成本和安全边界？

很多 AI 原型看起来很快：接一个模型接口，写一个输入框，返回一段回答。但真正上线时，要考虑成本、延迟、权限、隐私、失败处理、日志和人工兜底。原型阶段能跑通，不代表可以直接给真实用户用。越是接近业务动作，越要把边界想清楚。

成本是最容易被低估的部分。一次对话可能不贵，但如果用户量上来、上下文很长、每次都带大量资料、还要多轮调用工具，费用会迅速增加。除了模型调用成本，还有向量化、存储、检索、日志、监控和人工审核成本。AI 应用的账要按完整链路算。

安全边界也不能只靠提示词。提示词可以告诉模型不要输出敏感信息，但系统层仍然要做权限过滤、数据脱敏、接口校验和操作确认。模型看到不该看的内容，本身就是风险。正确做法是让模型从源头上看不到无权访问的数据。

AI 成本至少包括输入 token、输出 token、向量化成本、检索成本、工具调用成本和人工复核成本。输入越长、资料越多，成本越高；输出越啰嗦，成本也越高。很多系统回答慢又贵，是因为每次都把大量无关上下文塞给模型。

降低成本的第一步不是换便宜模型，而是减少无效输入。RAG 场景里，只把最相关的资料片段给模型，不要把整篇文档都塞进去。内容助手里，用户只改一段话，就不要把整篇文章都作为上下文。Agent 场景里，工具返回结果要精简，不要把接口原始大对象全部传给模型。

缓存也有价值。固定 FAQ、常见摘要、重复查询结果可以缓存；但涉及用户隐私、实时状态、价格库存的内容要谨慎缓存。缓存不是越多越好，关键看数据是否会变、是否因人而异、是否有安全风险。

不要让模型自己判断用户能不能看某份资料。权限应该在检索前、工具调用前就完成。比如一个员工只能访问自己部门的制度，检索系统就只能返回该部门允许访问的片段；一个客服不能看完整身份证号，工具返回时就应该脱敏。

敏感信息包括手机号、身份证、地址、合同、密钥、内部价格、未发布策略、客户数据等。资料入库前要分级，必要时脱敏。用户输入里也可能带敏感信息，系统要考虑是否存储、存多久、谁能查看日志。很多 AI 应用的风险不是回答错，而是把不该进入上下文的数据留下来了。

可以用敏感词和文本检查工具做初筛，但企业级安全不能只靠关键词。还需要权限系统、审计日志、访问控制、数据保留策略和人工审核。AI 能力越强，越要清楚它不能碰什么。

如果 AI 只是总结文章、整理资料、生成草稿，风险相对可控；如果它要发消息、改订单、退款、删除数据、修改权限、提交审批，风险就完全不同。高风险动作必须有二次确认，不能让模型一句判断直接执行。

比较稳的设计是把动作分级。只读操作可以自动执行，比如查询资料、读取公开文档；低风险写操作可以让用户确认后执行，比如保存草稿；高风险操作需要更严格的业务校验和人工确认，比如付款、删除、权限变更。Agent 尤其要这样设计。

工具接口也要区分只读和写入。不要给一个万能接口，让模型自己决定怎么用。每个工具都应该有明确参数、权限要求、失败返回和日志记录。API 调试和 JSON 工具可以帮助开发阶段检查参数和返回结构，但上线安全要靠系统设计。

AI 应用需要日志，否则出了问题很难定位。至少要记录用户问题、检索命中的资料、模型输入摘要、模型输出、工具调用、错误信息和用户反馈。但日志本身也可能包含敏感信息，所以要控制访问权限和保留时间。

排查时最有用的是链路日志。比如用户问了什么，系统检索了哪些片段，模型依据什么回答，调用了哪个工具，工具返回什么，最终用户看到什么。没有这些信息，就只能猜。很多 AI 问题不是模型单点问题，而是链路里某一步错了。

上线前可以列一张检查清单：成本是否估算过，最大输入长度是否限制，输出长度是否限制，权限是否在模型前生效，敏感信息是否脱敏，高风险动作是否确认，日志是否可追踪，失败时是否有兜底。把这些想清楚，AI 应用才算从演示走向可用。