中国网络安全产业联盟技术规范：人工智能防火墙安全技术要求
范围与目的
本规范规定了人工智能防火墙的技术要求，适用于人工智能防火墙的设计、开发、测试与部署，旨在提升面向人工智能系统的安全防护能力。
规范性引用文件
包括GB/Z 185.1-2026、GB/T 25069-2022、GB/T 20281-2020等标准。
术语和定义
定义了人工智能防火墙、词元、工具、技能等术语。
缩略语
解释了A2A、ACP、AI、ANP、API等缩略语。
概述
人工智能防火墙是在传统防火墙基础上，针对人工智能系统特有安全风险设计的产品，具备增强安全防护能力。其特性包括：面向非人类身份识别和管控、深度安全攻击意图感知、快速变种未知威胁识别、自主安全推理和策略生成、智能计算资源调用监控等。
安全技术要求
安全功能要求
组网与部署
- 支持多种部署模式，包括调用者与被调用者之间、人工智能信息系统内部网络边界等。
- 支持云服务、数据中心、企业园区等部署场景。
- 具备面向AI的路由能力，支持基于多种策略的路由转发。
- 具备面向AI的负载均衡功能，实现动态负载分担和故障自动切换。
网络层控制
- 支持自定义安全策略，包括用户身份、智能体身份等。
- 支持IP/MAC地址绑定关系智能学习和异常检测。
- 支持IP地址黑白名单功能。
- 支持带宽管理、连接数控制、会话管理等。
- 支持安全域划分和网络隔离。
- 支持加密流量解析。
应用层控制
- 支持HTTP/HTTPS、WebSocket、gRPC等通用应用层协议的解析和控制。
- 支持A2A、ACP、ANP、SLIM等智能体通信协议的解析和控制。
- 支持对提示词注入攻击、多模态形式隐藏恶意指令的检测。
- 支持对上传至外部公开大模型的操作进行限制和敏感信息扫描。
- 支持对用户从大模型应答内容中下载文件的检测和过滤。
- 支持内容价值观过滤和敏感数据脱敏处理。
- 支持基于认证的网络访问控制，识别和认证非人类身份。
- 支持对智能体、模型、算力等智能计算资源调用的监控和可观测性能力。
攻击防护
- 支持异常会话的识别和主动终止。
- 支持基于AI增强的网络层畸形报文、协议异常或未知威胁的检测和阻断。
- 支持面向应用层抗拒绝服务攻击、认证协议防重放、跨协议元数据语义一致性校验。
- 支持模型攻击防护，包括藏毒、漏洞防利用、防破坏、防耗尽、防注入、防诱导等。
- 支持工具调用攻击防护，包括Skills/MCP Server注册安全扫描、恶意Skills检测、恶意注册或篡改工具调用攻击防护等。
- 支持API攻击防护，包括模型服务API安全防护、内部API安全防护、利用大模型实施攻击行为的检测与阻断等。
安全审计、告警与统计
- 记录智能体资源访问、用户敏感资源访问、AI安全策略匹配和处置等安全事件。
- 支持会话级日志的智能聚合检索。
- 对高频发生的相同告警事件进行合并告警。
- 支持网络流量统计、算力用量统计、智能资产统计、攻击事件统计。
自身安全要求
身份标识与鉴别
- 宜具备弱口令字典功能。
- 用于登录设备的账户或认证凭据不应硬编码。
- 支持与Radius身份认证服务器之间的安全通道通信。
- 对AI模型推理服务的调用方进行身份标识与鉴别。
- 对AI模型自身的身份进行标识。
管理能力
- 宜向授权管理员提供AI模型的生命周期管理功能。
- 宜向授权管理员提供AI推理策略的配置与调整功能。
- 宜提供AI模型运行状态监控功能。
管理审计
- 应支持对安全日志进行防护。
- 具备设备日志、安全事件等信息采集和上送能力。
- 宜对AI模型的加载、更新、卸载、回滚等生命周期操作进行日志记录。
- 宜对AI模型推理过程中的关键决策行为进行审计记录。
- 宜对AI模型推理异常进行告警和日志记录。
管理方式
- 支持通过安全的远程管理方式对AI模型进行版本更新与配置变更。
- 提供AI模型服务的健康检查接口。
安全支撑系统
- 宜支持设备启动时以硬件根为起点，逐级校验启动链上固件或软件的数字签名。
- 宜支持堆栈保护、编译安全选项、地址空间随机化等漏洞防利用能力。
- AI模型运行环境宜与业务处理环境进行安全隔离。
- AI模型运行环境应采用最小权限原则配置。
- AI模型运行环境的依赖库和框架应不含已知中、高风险安全漏洞。
AI模型安全
- 应对AI模型文件进行完整性校验。
- 应具备抵御对抗样本攻击的能力。
- 宜对AI模型的推理行为设定安全边界。
数据安全与隐私保护
- 宜对AI模型推理过程中产生的临时数据和中间结果进行安全管理。
AI算法安全
- 应对AI模型的重要判断决策设定人工审查或二次确认机制。
- 宜记录和管理AI模型的完整版本信息。
- 可建立AI模型的持续监控与模型衰减检测机制。
集中管理要求
平台对接基础能力
- 产品应支持与防火墙统一管理平台、安全综合管理平台实现标准化对接与集中纳管。
设备集中运维管理
- 产品应支持向管理平台归一化上报设备运行状态、算力负载、全网流量日志、AI安全攻击事件、防护统计指标等数据。
AI防护策略集中管控
- 产品应支持管理平台集中编排、批量下发AI专属安全策略。
- 产品应支持策略版本管理、冲突检测、灰度下发及全局回收能力。
- 产品应支持接收安全管理平台下发的动态安全处置指令。
- 产品应支持来自接收端侧威胁检测（EDR）和响应产品、其他防火墙等的威胁信息，进行协同安全事件分析、推理和防护。
性能要求
产品应满足GB/T 20281-2020中6.3提出的相关要求。
安全保障要求
产品应满足GB/T 20281-2020中6.4提出的相关要求。
附录A
人工智能防火墙组网部署场景示例
- 包括数据中心、园区分支互联两个典型场景，通过部署人工智能体防火墙，有效隔离南北向和东西向安全风险，提升安全水平。
