在企业 IT 安全团队与首席信息安全官（CISO）评估生成式 AI 助手（如 Cohere Coral）时，最核心的顾虑往往集中在越权访问：当 Coral 接入 Microsoft SharePoint 或 Google Drive 等企业核心知识库后，普通员工是否能通过日常对话检索到底层未授权的高管薪酬表、收并购战略方案或敏感人事档案？
明确的结论是：Cohere Coral 并不依赖大语言模型（LLM）的提示词（Prompt）或合规声明来拦截越权行为，而是在数据检索与集成基础设施层强制实施文档级访问控制列表（ACL）校验与基于角色的访问控制（RBAC）。Coral 通过用户委托身份认证（OAuth 2.0 / On-Behalf-Of 流程）、运行时安全裁剪（Security Trimming）与元数据前置过滤，确保检索范围严格限定在提问员工本身具有读取权限的文件集合内。
如果一名员工在 SharePoint 或 Google Drive 中无权打开某份机密文档，Coral 的数据连接器在检索阶段就会将该文档完全排除在候选范围之外。未经授权的文本永远不会进入大模型的上下文窗口（Context Window），生成式问答因而从物理数据链路杜绝了信息泄露的可能。
核心威胁模型：简易企业 RAG 为何通不过合规审计
在初级的检索增强生成（RAG）方案中，开发团队往往采用全局超级管理员服务账号（Service Account）将全公司所有网盘文件统一向量化，存入未做权限隔离的向量数据库中。
这种设计存在致命隐患：
- 文档在切块和入库时丢弃了底层的原始访问控制列表（ACL）。
- 检索器在全量企业数据向量空间中无差别搜索相关度最高的文本块。
- 系统试图通过系统提示词（System Prompt）进行权限控制（例如添加“如果你不是 HR 主管，请勿透露薪酬信息”）。
安全专家普遍认同：大语言模型本质上是概率推断引擎，天然容易受到提示注入（Prompt Injection）、越狱指令与上下文诱导的攻击。攻击者或普通员工只要设计特定的提问技巧，就能轻易绕过提示词层面的限制。
Cohere Coral 的解决思路是将安全防线建立在确定性的数据控制平面，而不是交由概率性的大模型判断。
三层权限校验架构
Cohere Coral 的企业安全边界由三层递进的机制共同保障：身份传递、检索层安全裁剪与有据生成引用锚定。
+-----------------------------------------------------------------------+
| 第一层：企业身份验证与委托授权 |
| 企业单点登录 IdP（Microsoft Entra ID、Okta、Google Workspace） |
| 用户发起会话 -> 生成具有范围限制的 OAuth 2.0 委托令牌 |
+-----------------------------------------------------------------------+
|
v
+-----------------------------------------------------------------------+
| 第二层：检索层安全裁剪与 ACL 继承 |
| - 实时 API 连接器：以用户身份调用下游 Microsoft Graph 或 Drive API， |
| 由源系统本身的 ACL 引擎直接过滤未授权结果 |
| - 预索引向量搜索：结合用户组 SID 与文档 ACL 元数据进行前置布尔过滤 |
| * 任何无权访问的文档块均在输入大模型前被彻底剔除 * |
+-----------------------------------------------------------------------+
|
v
+-----------------------------------------------------------------------+
| 第三层：模型有据生成与可溯源引用（Command R / R+） |
| - 模型仅能依据送入上下文的合规文本块组织回答 |
| - 生成的每一项陈述都严格绑定来源引用 |
| - 若检索结果为 0，模型直接返回安全拒答，杜绝幻觉猜测 |
+-----------------------------------------------------------------------+
1. 身份传递与委托授权（第一层）
Coral 与企业身份提供商（IdP）原生集成，支持基于 SAML 2.0 和 OpenID Connect（OIDC）的单点登录（SSO），兼容 Microsoft Entra ID（原 Azure AD）、Okta 及 Google Workspace。
当员工登录 Coral 并向知识库提问时：
- 拒绝共享特权账号：Coral 不会使用全知全能的管理员密钥去替所有人查询数据。
- 用户令牌转发（On-Behalf-Of）：Coral 连接器采用 OAuth 2.0 授权码模式及委托访问令牌。发起检索时，系统将当前用户的独立 Access Token 传递至下游数据源。
- 权限实时联动：一旦员工在企业 IdP 中离职、转岗或被移除特定用户组，其在 Coral 端的连接器访问权限会即刻同步失效。
2. 检索层安全裁剪与 ACL 继承（第二层）
防止越权泄露的核心防线是安全裁剪（Security Trimming）——在搜索结果送入排序模块和大模型 Prompt 之前，彻底剔除一切无权访问的资源。
根据企业技术架构，Coral 支持两种安全裁剪模式：
A. 实时 API 连接器模式（查询时裁剪）
针对以直连方式访问的知识源（如直接查询 SharePoint 或 Google Drive）：
- 连接器携带用户的 OAuth 令牌直接调用源系统的检索接口（如 Microsoft Graph API
/v1.0/search/query或 Google Drive APIfiles.list）。 - 底层源系统执行其自身的权限校验逻辑。SharePoint 和 Google Workspace 会核实当前提问者的身份、归属群组以及文件分享属性。
- 源系统 API 仅返回该员工在操作系统中本来就能看见的文件。对于无权查看的文件，API 响应中根本不会出现这些记录。
B. 预索引企业搜索模式（元数据摄取 + 检索前置过滤）
对于将海量文档预先切块、向量化并存入向量数据库（如 Cohere Toolkit 搭建的企业检索方案或 OpenSearch）的高性能架构：
- ACL 元数据同步摄取：数据摄取通道在提取文档正文与生成向量时，同步抓取每篇文档的完整安全元数据，包括所有者 ID、允许读取的用户列表、安全组标识符（Group SID）及继承标识。
- 查询期用户属组解析：用户发起提问时，系统通过 SCIM 或目录 API 实时解析该用户的所有安全群组。
- 向量搜索前置过滤（Pre-Filtering）：向量数据库在计算余弦相似度或执行 BM25 关键词匹配之前，首先执行强制布尔过滤条件，严格校验用户的组 ID 是否存在于文档的允许访问列表中。未授权文档的向量根本不会参与相似度计算，更不会进入后续的 Cohere Rerank 重排序。
3. 有据生成与可溯源引用（第三层）
Cohere 的旗舰模型（如 Command R 和 Command R+）经过专门的有据生成（Grounded Generation）微调训练：
- 强制文本锚定：模型仅能根据上下文窗口中实际注入的已检索文本段落生成回答，并为每一句话标注精确的引用来源。
- 无匹配结果时的安全拒答：若安全裁剪机制过滤了所有敏感候选文件，导致送入模型的合规段落为空，模型不会凭借预训练记忆进行猜测或幻觉生成，而是直接给出安全提示，说明未找到相关授权信息。
核心数据源权限适配：SharePoint 与 Google Drive 对比
不同企业网盘的权限控制体系存在结构差异，Coral 连接器能够精准适配这些底层特性：
| 对比维度 | Microsoft SharePoint / OneDrive (Microsoft 365) | Google Drive (Google Workspace) |
|---|---|---|
| 权限层级结构 | 租户 -> 网站集 -> 子网站 -> 文档库 -> 文件夹 -> 文件级 ACL | 共享云端硬盘（Shared Drives）、我的云端硬盘、文件夹共享、文件级 ACL |
| 用户组解析机制 | Microsoft 365 组、Entra ID 安全组、SharePoint 嵌套用户组 | Google Workspace 网上论坛群组、组织部门（OU）、直接邮箱共享 |
| 对接集成协议 | Microsoft Graph API（OAuth 2.0 委托权限范围） | Google Drive API v3（OAuth 2.0 用户范围） |
| 安全裁剪执行点 | Graph API 搜索引擎实时拦截；向量库前置匹配群组 SID | Drive API 查询引擎实时拦截；向量库前置匹配用户/群组 ID |
| 继承中断处理 | 精准识别并遵循 SharePoint 中断继承（Broken Inheritance）与唯一定义 | 自动遵循共享云端硬盘角色并继承上级文件夹，支持显式权限覆盖 |
SharePoint 权限处理要点
SharePoint 的权限继承极为复杂，各部门常常会在统一文档库中针对特定文件夹“中断继承”（Stop Inheriting Permissions），单独为特定小组赋权。
在接入 Coral 时：
- 员工提问触发带有该员工上下文的 Graph 委托令牌。
- Graph API 自动根据 SharePoint 的安全令牌服务（STS）评估该员工的有效访问令牌。
- 如果财务文档库中某个子文件夹仅对高管开放，普通员工在 Coral 对话时，该文件夹下的所有文件在 Graph API 层面均返回空，模型完全感知不到该文件的存在。
Google Drive 权限处理要点
Google Workspace 分为个人“我的云端硬盘”和协同管理的“共享云端硬盘（Shared Drives）”，并提供查看者、评论者、协作者、内容管理者和管理者等多级角色。
在接入 Coral 时：
- Coral 发起 OAuth 授权流程，获取以该用户邮箱为范围的只读权限。
- Google Drive API 在响应搜索请求时，自动基于当前用户邮箱和所属 Google 群组进行边界隔离。
- 未将该员工添加为成员的敏感共享云端硬盘（如法务部或人力资源部专盘），连接器完全无法检索，杜绝了跨部门越权污染。
Cohere 平台级管理控制与 RBAC 治理
除了继承数据源原生的文件级 ACL，Cohere 平台本身也提供精细的治理工具：
平台管理角色：所有者（Owner）与普通用户（User）
Cohere 控制台将平台管理权限与普通问答权限严格解耦：
- 所有者（Owner）/ 管理员：负责管理企业团队成员、配置全组织共享的数据连接器、签发及撤销生产环境 API 密钥、配置企业单点登录（SSO），以及监控企业计费和审计日志。
- 普通用户（User）：仅可使用对话界面向已启用的连接器发起合规问答，无权变更底层系统集成端点或调整模型配置。
连接器权限范围切分（Connector Scoping）
企业 IT 管理员可按业务部门划分连接器的可见性与可用性：
- Salesforce 连接器：仅授权给销售与客户成功部门的用户组。
- 内部知识库 Wiki 连接器：全员开放。
- 财务与 ERP 连接器：严格限制仅允许财务部与管理层访问。
这构成了双重纵深防御：甚至在评估具体文件 ACL 之前，不相关的业务系统管线就已经在组织单元级别实现了访问隔离。
审计日志与 SIEM 监控集成
对于受法规监管的企业，所有 AI 检索行为都必须具备可追溯性。Cohere Coral 支持输出结构化日志并对接到企业 SIEM 系统（如 Splunk、Datadog 或 Microsoft Sentinel），记录内容包括：
- 发起调用的认证用户标识与精确时间戳。
- 会话过程中调用的连接器及工具名称。
- 检索召回的文档唯一 ID 与来源 URL。
- 最终模型生成回答中呈现的具体引用源。
安全团队可通过自动化规则监控是否有员工频繁探测敏感词汇，或排查潜在的内部异常访问行为。
部署边界保障：私有云部署与数据零保留（ZDR）
在金融、医疗及跨国企业的合规审查中，数据边界与传输安全与访问控制同等重要：
- 私有 VPC 与本地化部署：Cohere 模型与知识助手可直接部署在企业拥有的私有虚拟云（AWS、Azure、Google Cloud 或 Oracle Cloud Infrastructure）或物理机房中。业务文档和检索流量始终处于企业防火墙之内。
- 数据零保留协议（Zero Data Retention）：Cohere 提供严格的合规保障，企业员工输入的提示词、检索到的内部机密文本以及生成的问答结果绝不会保存在公共服务节点上，更不会被用于训练公共基座模型。
- 传输与存储加密：所有连接器调用均采用 TLS 1.3 强制加密，索引数据存储支持基于企业客户自持密钥（CMEK）的 AES-256 加密。
隐藏的安全陷阱：源系统的“过度分享”治理
即便 Cohere Coral 严格遵循了底层的 ACL 机制，企业 IT 仍需正视一个现实风险：AI 助手本身不会突破权限，但它会极大地放大底层系统中已经存在的“过度分享（Over-Sharing）”配置缺陷。
例如：如果某位财务人员无意中将高管薪水表设置为“企业内拥有链接的任何人均可查看”，在人工查找时代，该文件可能因为路径隐蔽而未被他人察觉。然而当接入 Coral 后，普通员工询问“公司目前的薪酬结构如何？”时，由于底层系统判定该员工合法拥有查看权限，Coral 便会合法检索该文件并生成摘要。
CISO 与 IT 安全团队上线前自检清单
在正式向全员开放 Coral 数据连接器之前，建议执行以下加固步骤：
- 排查源系统过度共享隐患：在 Microsoft 365（使用 Microsoft Purview）和 Google Workspace 中执行安全扫描，排查被赋予“全公司可读”或“拥有链接者均可访问”的敏感资产。
- 强制开启用户委托模式（OAuth）：检查所有连接器配置，确认已启用用户级委托令牌，杜绝使用单一管理员服务账号代理所有检索请求。
- 按业务域切分连接器：为高风险部门（法务、财务、薪酬）配置专属连接器，并在 IdP 端进行访问白名单控制。
- 统一令牌生命周期管理：将 OAuth 刷新令牌（Refresh Token）有效期与企业统一安全策略对齐，确保离职或异动人员凭据及时失效。
- 开启 SIEM 告警规则：对短时间内大量跨目录检索或频繁触发无权限拒答的异常行为建立监控规则。
总结
Cohere Coral 采用零信任原则构建了面向企业级生成式 AI 的检索防线。通过在检索链路前端贯穿用户委托认证，由下游系统或向量索引在物理数据平面直接执行安全裁剪，并结合 Command 模型的严格引用约束，Coral 从架构底层确保了员工对话始终严格受限于其原生的文档级权限与基于角色的访问控制边界。
参考资料
- An Overview of Cohere's RAG Connectors | Cohere
- GitHub - cohere-ai/cohere-toolkit: Cohere Toolkit is a collection of prebuilt components enabling users to quickly build and deploy RAG applications.
- GitHub - cohere-ai/quick-start-connectors: This open-source repository offers reference code for integrating workplace datastores with Cohere's LLMs, enabling developers and businesses to perform seamless retrieval-augmented generation (RAG) on their own data.
- AI Security and Data Protection | Cohere