内容安全护栏
HeteroFlow 是本站的异构算力与大模型调度产品。内容安全护栏。内容安全护栏（Guardrails）对大模型对话端点的请求与响应文本做词表审查：词表、作用域、处置动作与适用数据等级组成规则集，命中后按三档动作处置并留观测记录；默认关闭，未启用时对调用链零介入。
内容安全护栏
> 内容安全护栏（Guardrails）对大模型对话端点的请求与响应文本做词表审查：词表、作用域、处置动作与适用数据等级组成规则集，命中后按三档动作处置并留观测记录；默认关闭，未启用时对调用链零介入。
数据安全等级（前置体系）
护栏的适用等级挂在平台的数据分级体系上。平台把数据分三级，密钥与模型（及承载渠道）都带等级，调用时自动比对：
| 等级 | 名称 | 典型定位 |
|---|---|---|
| 1 | 公开数据 | 可对外披露的问答、通用检索 |
| 2 | 内部数据 | 企业内部文档、经营数据 |
| 3 | 敏感数据 | 客户隐私、核心代码——只允许落在本地化部署渠道 |
拦截规则一句话：密钥等级高于模型（渠道）上限才拒，低于或等于放行，越级统一 403 data_level_denied。分级检查在模型级与渠道级两道闸执行（渠道级把等级不足的渠道剔出候选，剔除光了明确归因到数据分级），先于配额检查、贯穿全部推理端点；等级跟密钥走——同一人可持不同等级的多把密钥用于不同敏感度的应用。敏感级密钥的申请与调整走密钥管理的审批链。
动作三档
| 动作 | 请求侧 | 响应侧 |
|---|---|---|
| 拦截（block） | 400 sensitive_words_detected，请求不转发、不计费不占日限 | 内容放行到违规点后以错误帧收尾断流 |
| 掩码（replace） | 归一为仅审计（不改写请求体，保证请求原文与计费口径稳定） | 命中词掩码为 ###，其余内容原样返回 |
| 仅审计（audit_only，默认） | 放行，仅留观测记录 | 字节恒等零改动 |
调用方视角的三条边界：拦截不消耗额度（与配额与限流的拒绝语义一致）；掩码只发生在响应侧，请求原文永不被改写；流式响应已发出的部分物理上无法撤回，拦截上限是「到违规点为止」。
管理侧要点
- 规则模型：名称唯一、词表每行一词、作用域（请求 / 响应 / 双侧）、动作三档、适用等级（勾选 1/2/3，空 = 全级）、行内启停；
- 测试预览：规则编辑面板内置本地预览——输入一句话即时看到命中词高亮、将执行的动作、掩码后的文本，可切换请求/响应侧与密钥等级；上线前建议再用真实密钥打一笔验证；
- 外挂检测服务：除本地词表外，可接自建或云端审核服务（HTTP JSON 契约）。四条行为契约：不阻塞主链（检测与上游调用并行，延迟取二者最大）；检测失败降级放行（绝不因审查服务故障打断业务）；外挂只接受拦截 / 仅审计两种建议；敏感级（DL3）文本永不发往外部检测服务（硬红线）。
三条硬红线（不可配置）
1. 敏感级密钥的响应侧动作恒封顶为仅审计——不给越权者提供「用护栏差异探测内容」的面；
2. 敏感级文本永不外发给外部检测服务；
3. 缓存命中回放同样过护栏——响应缓存不是无规则特区（规则收紧后，旧缓存条目同样拦得住，见响应缓存）。
观测与留痕
每次命中 / 降级落策略观测事件；调用日志详情带护栏观测键，配合 Request-Id 可精确定位任一次审查判定（见审计与日志）。敏感内容审计报表输出拦截计数分布（不含内容本身，隐私设计）。