本文档为 Lawsight 平台安全信任中心（Trust Center）的技术解决方案，基于 2026 年 11 月 6 日完成的《Stilta 安全体系系统设计实现文档》逆向成果，结合 Lawsight 现有产品形态、微服务拓扑、AI 工作流与已知工程缺陷，定制出一套可立项、可开发、可验收的安全体系建设方案。方案同时覆盖对客披露层（Trust Center 门户与政策件）与对内实现层（身份、数据、AI、网络、监控、响应、连续性、合规），并给出 P0/P1/P2 三阶段落地路线图。

与 Stilta 相比，Lawsight 的安全建设不是照搬，而是继承其六条设计原则与 14 个控制域骨架，在五个方向上做差异化重写：其一，中国法域合规双轨（网安法/数安法/个保法/生成式 AI 暂行办法/等保 2.0）与国际框架（SOC 2、ISO 27001、GDPR、EU AI Act）并行；其二，图像版权分析引入图片证据链完整性控制（哈希、EXIF、溯源、防串案）；其三，把已有的 awaiting_review、confidence、待补不编造、引用锚定直接升格为 EU AI Act 对齐的 HITL 与透明度控制；其四，针对当前 8000/8005/8111 三套工作流共用公网 IP、demo-user 混用、闸口谓词缺陷、Agent 空转与多跑互斥等问题，给出统一身份、租户上下文与 AI 输出门禁的改造设计；其五，模型供应商以智谱 glm 系列为主，需补齐零训练、零留存与生成式 AI 备案路径。

方案的核心交付物包括：Trust Center 门户信息架构与五件套上线清单、可直用的 DPA/ToS 零训练条款、员工书面批准访问流程、30 天删除技术实现、BYOK 与租户隔离设计、AI 输出门禁与提示注入防护、SIEM 用例集、以及 90 天内可完成的 P0 工程清单。全部控制点均标注【继承 Stilta】【Lawsight 特化】【现状补丁】【规划项】四类来源，便于工程与法务分工。

本方案面向三类读者：安全与后端工程（第 6–15 章实现设计）、法务与合规（第 5、9、16 章政策与双轨合规）、产品与 GTM（第 1、4、5、18 章对客话术与竞对对齐）。建议按第 18 章路线图立项，P0 以 30 天为限完成 Trust Center 最小可用集，避免在与 Stilta、Solve Intelligence 的企业采购评审中继续缺席。

1. 执行摘要

Lawsight 是面向专利无效、侵权分析、FTO、类案检索与图片版权比对的 Agentic AI 法律工作台。平台处理的是律师特权工作成果、诉讼级检索轨迹与高价值证据链，安全体系不是附属能力，而是企业客户与律所准入的直接前提。竞品 Stilta 已凭借 trust.stilta.com（SafeBase）+ SOC 2 Type II + ISO 27001 对齐 + 零训练承诺完成企业级信任运营；Solve Intelligence 亦已上线 SOC 2 Type II + ISO 27001 + ISO 42001 + 零训练零留存话术。Lawsight 在分析纵深与中文要素级审阅流上具备护城河，但在安全认证与 Trust Center 上仍是空白，这是当前企业 GTM 的第一短板。

本方案的目标是在继承 Stilta 安全骨架的前提下，用 90 天建成 Lawsight 自己的 Trust Center 最小可用集，用 180 天完成核心技术控制与双轨合规准备。设计遵循六条原则：零训练（约束自身与每个模型供应商且 under contract）、默认私有项目、员工访问客户内容需书面批准、传输 TLS 1.2+ 与静态加密（KMS 或 BYOK）、区域即处理地（存储与 AI 处理同域）、模型供应商零留存。

方案分为对客披露层与对内实现层。对客披露层复刻并本地化 Stilta 的 Trust Center 五件套：合规认证页、13–14 类控制项、风险画像、政策文档库、受控深披露申请通道；同时新增中国法域披露（等保备案、生成式 AI 备案、个保法权利入口）。对内实现层针对 Lawsight 现状补齐统一网关与租户上下文、三套工作流（图像 8000 / FTO 8005 / 类案 8111）的身份贯通、图像证据哈希与防串案、AI 输出门禁（引用完整性、闸口谓词、空转标注、多跑一致性）、以及审计日志与 SIEM。

P0（0–30 天）交付 Trust Center 上线所需的最小事实集合：DPA v0.9 与 ToS 零训练修正、30 天删除 SLA、员工书面批准访问流程、安全专页与子处理方清单、统一 API 网关鉴权、生产与 demo 环境隔离。P1（30–90 天）交付 BYOK/CMK、租户隔离加固、AI 输出门禁、审计日志与 SIEM 基础用例、月度渗透测试启动。P2（90–180 天）启动 SOC 2 Type I / ISO 27001 认证准备与等保二级备案，完成 EU AI Act 治理政策与 AI 系统开发和评估政策。

2. 设计目标、范围与方法

2.1 设计目标

• 对客可披露：30 天内上线 trust.lawsight 类信任中心（或官网 /security + /trust 双入口），提供可与 Stilta SafeBase 对标的控制项清单与文档申请通道。
• 合同可承诺：DPA、ToS、零训练修正、30 天删除、员工书面批准、子处理方清单五件套成型，法务可直接用于企业评审回复。
• 技术可验证：统一网关、租户隔离、加密、审计日志、AI 输出门禁等控制有明确接口、数据模型与验收标准，不停留在话术。
• 现状可补丁：针对已实证的闸口谓词 bug、A7/A8/A10 空转、多跑互斥、公网裸奔、demo-user 混用等问题给出加固设计。
• 双轨可演进：中国法域与欧盟/美国法域并行，避免先做国际认证再补中国备案的返工。

2.2 范围与非目标

范围覆盖 Lawsight 生产与预发环境的安全架构、Trust Center 对客披露、政策文件、AI 工作流安全、数据全生命周期、事件响应与连续性、双轨合规路线。实施对象包括图像版权分析服务（当前 :8000）、FTO 分析服务（当前 :8005）、类案检索服务（当前 :8111）以及未来的组合分析、专利撰写等模块。

非目标：本期不承诺已完成 SOC 2 Type II 或 ISO 27001 认证（P2 启动准备，不做虚假披露）；不实现本地化私有部署的产品化交付（可作路线项）；不重构业务分析算法本身，只在其外层加安全与可信门禁；不涉及销售定价与商业化策略。

2.3 方法与标注规范

方法为三步：第一步，继承 Stilta 已验证的 14 控制域与六原则，作为骨架；第二步，用 Lawsight 实证现状（服务端口、模型、已知缺陷、已有 HITL 能力）做差异替换；第三步，按阿里云/ Azure 双栈与中国合规要求补全实现。全文统一标注：

• 【继承 Stilta】：直接沿用 Stilta 已披露且经竞品调研验证的控制点与话术。
• 【Lawsight 特化】：因产品形态差异必须重写的设计（图像证据、审阅流、中国合规、多工作流）。
• 【现状补丁】：针对本次调研中实证的工程缺陷所做的安全加固。
• 【规划项】：当前无实现、需排期建设的控制。

2.4 信息来源

Stilta 侧来源为 trust.stilta.com、stilta.com/security、DPA v1.0、Common Paper CSA 2.1 零训练修正、隐私通知（采集日 2026-11-06）。Lawsight 侧来源为工作台长期记忆中已实证的任务运行记录（CASE-20261105/20261106 系列、T-BCC1B6E2、T-D58BA15B、T-FF13D4F47CD0 等）、竞品分析文档与用户画像。凡 Lawsight 内部未提供的网络图、密钥现状、云账号结构，本方案按行业标准补全并标注【规划项】，不编造现有实现。

3. Lawsight 业务与威胁模型

3.1 产品形态与数据语料

Lawsight 当前提供四类核心工作流：图像作品侵权分析（权利图 vs 被诉图，权属闸口、A0–A13 智能体链、三视角评审、红队攻击、律师审阅稿）；FTO 自由实施分析（S1 特征解析至 S7 质检，TACD 检索）；类案检索（五阶段 Agentic 工作流，争点—证据—撰写—引用校验）；以及配套的法规/法条/行政处罚引用识别。规划中对标 Stilta 的深度分析（无效/侵权/可专利性/SEP）与组合分析（千件批量）为后续模块，安全设计需预留其接入。

数据语料包括：客户上传的图片原图与被诉图（含 EXIF、哈希）、专利与技术交底材料、案情描述、法院裁判文书与法规条文（经 WK MCP 与自建库）、分析中间产物（相似度度量、要件评分、证据登记表）、以及最终的律师审阅稿与签发意见。公共语料与客户特权材料必须严格分区。

3.2 三类高价值资产与安全目标

• 特权工作成果：无效检索记录、FTO 结论、侵权比对意见、图片版权意见书。泄露可能直接改变诉讼格局，对应保密性目标。
• 检索轨迹即战术情报：查过什么等于担心什么。跨辖区专利检索史、类案召回集、图片比对哈希库均需防对手侧写，对应隐匿性目标。
• 证据链可审计：律师签发前必须能回溯每个结论的证据与置信度。Lawsight 已有引用锚定与 confidence，但存在空转零引证、法条登记空、多跑互斥等缺陷，对应完整性与可审计性目标。
• 跨境与双法域：中国客户要求数据不出境或经安全评估出境；国际客户要求 EU/US 驻留。对应合规性目标。

3.3 威胁模型（Lawsight 特化 STRIDE）

在 Stilta 六类 STRIDE 威胁之上，Lawsight 新增四类高优先级场景：

• 跨案串写与证据污染：同一图像哈希在多个案件复用（已实证 a=6c22f3fe… 与 b=f41096ec… 在 B25D13/C3D050/110D18/998808/00CE0B 多案出现），若不做案件级证据隔离，一次泄露或一次脏缓存即可污染多份意见书。缓解：案件级证据命名空间 + 哈希去重但结论隔离 + 串案检测告警。【Lawsight 特化】
• AI 输出完整性攻击：闸口谓词与 inputs 自相矛盾仍放行、空转 Agent 仍标 done、三跑结论互斥（insufficient→non_infringe→infringe）。这既是质量缺陷也是安全缺陷（可被用于操纵结论）。缓解：输出门禁 + 闸口谓词与原始 inputs 强一致 + 多跑分歧熔断。【现状补丁】
• 图片元数据与人格权：EXIF 含拍摄者、GPS、设备序列号；AI 生成图与真人摄影混同（A4 类型漂移）。缓解：上传即脱敏可选项、类型锁定、生物特征与人脸不入门禁。【Lawsight 特化】
• 检索供应链投毒：WK MCP 配额耗尽后若静默降级到不可信网络来源，或类案证据混入 403/404 自媒体（已实证 ZAKER/知乎/搜狐多条死链仍进入证据登记表），将直接污染法律意见。缓解：来源权威性评分 + 死链不入证据池 + 配额耗尽显式失败而非降级。【现状补丁】

3.4 现状风险快照（截至 2026-11-06）

以下为已实证、需在 P0/P1 优先闭环的风险，不等同于完整渗透测试结论：

• 服务暴露面：图像/FTO/类案工作流疑似经公网 IP 直连（8.163.3.162:8000/8005/8111），未见统一网关、WAF 与私有网络边界描述。【规划项】
• 身份与租户：任务记录普遍使用 demo-user/Vincent，未见租户隔离、SSO 与 MFA 证据；user_id 形如 ft_、lc_ 前缀但未形成租户边界。【现状补丁】
• AI 闸口完整性：权属闸口 state=pass 与 registration/chain_evidence=false 自相矛盾多次复现；驳回后仍写 done；escalation_required 与签发脱钩。【现状补丁】
• Agent 空转：A7/A8/A10 数毫秒完成且 citations=[]，质量徽章 passed 与实质证据不足互斥。【现状补丁】
• 多跑互斥：同一案件三次运行结论 insufficient / non_infringe / infringe，图像哈希未变。【现状补丁】
• 外部依赖：wk-mcp 多次 quota_exhausted；TACD 检索余额不足导致 FTO 三次重试均败；LLM 集中在 glm-5.3-flashx 单模型。【规划项】

4. 与 Stilta 的继承与差异化设计决策

4.1 继承项（直接沿用）

• 六条安全设计原则全文沿用，作为 Trust Center 首屏原则区。
• 14 个控制域骨架沿用：产品安全、应用安全、数据安全、访问控制、基础设施、端点安全、政策、事件响应、风险管理、BC/DR、持续监控、数据隐私、法律、报告。
• 零训练 + 零留存 + 默认私有 + 书面批准 + TLS 1.2+ / BYOK + 区域即处理地 + 30 天删除，作为对客承诺的标准句式。
• 受控深披露双层设计：自助页披露控制点名称，SOC 2 报告、渗透测试报告、网络图、数据流图走申请审批。
• 风险画像三元组格式：数据访问级别 / 影响级别 / RTO。Lawsight 建议自评为：数据访问级别「内部」、影响级别「重大」、RTO 24 小时（P1 达成后再披露 24 小时，P0 如实标注「目标值」）。

4.2 差异化重写项

下表为关键设计决策，工程与法务应按此执行而非照抄 Stilta。

4.3 不做的事

• 不在 Trust Center 声称尚未取得的认证（SOC 2 Type II、ISO 27001 证书号）。P0 文案用「对齐」「建设中」「目标 2027 Q2 提交审计」。
• 不复制 Stilta 的瑞典区域、a16z/YC 背书、PTAB 71% 等与其绑定的事实。
• 不用「银行级」「军工级」等无法验证的修饰词。
• 不把 demo 环境与生产混用，不在 Trust Center 截图 demo-user 任务。

5. Trust Center 产品设计（对客披露层）

5.1 门户信息架构

Trust Center 是面向客户安全评审的自助门户，对应 Stilta 的 trust.stilta.com。P0 建议路径：lawsight.cn/trust 与 lawsight.com/trust（或统一 trust.lawsight.cn），主站 /security 保留产品化安全卖点页并跳转 Trust Center。信息架构如下：

• 首页：六原则卡片 + 合规状态徽章（仅列真实状态）+ 风险画像三联 + 文档申请 CTA + 订阅更新。
• 合规认证：SOC 2（状态：准备中/Type I 目标）、ISO 27001（对齐建设中）、GDPR（对齐）、个保法（对齐）、生成式 AI 暂行办法（备案进度）、等保（定级备案进度）。
• 控制项库：14 个控制域，每域列出控制点名称与一句话实现摘要，点击展开「我们怎么做」。
• AI 可信：零训练、零留存、证据锚定、HITL（awaiting_review 截图示意，用脱敏界面）、置信度与不编造、EU AI Act 对齐说明。
• 图像证据安全（Lawsight 独有栏目）：哈希固化、串案隔离、EXIF 策略、AI 生成图识别边界。
• 数据处理：驻留区域图（国内/国际分开画）、30 天删除、导出权、BYOK 说明。
• 子处理方：模型供应商、云、WAF、日志、MCP 数据源，含处理目的与区域。
• 政策库：可接受使用、访问控制、AI 系统开发和评估、事件响应、BCP/DRP 摘要、DPA、ToS、隐私政策（访客级 + 用户级两份）。
• 漏洞报告：security.txt + 表单 + PGP/加密邮箱，承诺响应时限。
• 文档申请：SOC 2 报告（未来）、渗透测试摘要、网络图、DPA 副本、ISO 证书（未来），走 NDA + 人工审批。

5.2 首屏文案基线（可直接使用）

以下文案继承 Stilta 句式并替换为 Lawsight 事实，禁止替换为未达成项：

• 零训练：您的文档、图片、提示词与分析结果永不用于训练、微调或评估 Lawsight 自有模型或任何第三方模型。该承诺同时约束我们与每一家模型供应商，并写入合同。
• 默认私有：项目默认私有。组织数据与其他客户数据隔离。共享需显式授权。
• 员工访问：Lawsight 员工访问您的案件内容，须事先获得您的书面批准，全程留痕可导出。
• 加密：全链路 TLS 1.2+；静态加密采用云 KMS 托管密钥，企业版支持 BYOK。
• 驻留：中国大陆客户数据存储与 AI 处理均在境内区域完成；国际客户可选新加坡/东亚区域。退出后 30 天内删除全部数据，含备份。
• 人机协同：所有分析结论默认进入律师审阅流（awaiting_review），系统不自动签发法律意见。每个事实附带引用与置信度，缺失证据标注待补，不编造。

5.3 五件套上线清单（P0 必交付）

5.4 受控深披露流程

设计借鉴 Stilta SafeBase 的 NDA 门：客户在 Trust Center 提交申请 → 选择材料（渗透测试摘要、网络图、DPA 全文、BCP 目录）→ 签署线上 NDA → 安全负责人 2 个工作日内审批 → 水印 PDF 限时链接（7 天）。所有申请进入审计日志。禁止将生产网络图原图直接挂在公网。

5.5 订阅与更新

提供邮箱订阅安全态势变化（新认证、新子处理方、重大事件通报）。事件通报阈值：波及客户数据的事件按 DPA 时限主动通知；仅内部事件月报汇总。此项继承 Stilta 并与第 14 章事件响应联动。

6. 总体安全架构

6.1 架构分层

目标架构为六层，替代当前公网直连三端口的状态：

• 用户与身份层：浏览器/客户端 → auth.lawsight 独立认证域（OIDC）。国内可选钉钉/企微/飞书 IdP，国际可选 Entra/Okta。强制 MFA。
• 边缘接入层：统一 API 网关（国内推荐阿里云 API 网关或 MSE/Higress；国际推荐 Azure Front Door + APIM）。前置 WAF（OWASP Top 10 + Bot）与 DDoS 清洗。TLS 1.2+ 终结。仅网关暴露公网。
• 应用与工作流层：图像分析、FTO、类案检索、未来组合分析，各自部署于独立命名空间/函数/容器，经内网调用网关与模型代理。
• Agent 编排层：A0–A13 / S1–S7 / 五阶段类案管线。新增输出门禁 Sidecar：引用完整性、闸口一致、空转标注、成本熔断。模型调用统一经 LLM Proxy（零留存端点 + 区域路由 + 密钥轮换）。
• 数据层：对象存储（原图/文书/PDF）按租户前缀隔离 + KMS；向量/检索索引按租户分片或行级安全；审计日志仅追加。国内区与国际区物理分开。
• 安全运营与治理层：SIEM、审计、合规监控、密钥管理、事件响应、Trust Center 内容后台。

6.2 信任边界三原则

• 边界收敛：外部流量只进网关，:8000/:8005/:8111 一律撤出公网，改内网 + 网关路由 /api/vision、/api/fto、/api/case。
• 东西向隔离：工作流服务间默认拒绝，按服务账号 + 最小权限调用；数据层走私有终结点/专有网络。
• 跨切面治理：审计与 SIEM 独立采集，不依赖业务库存活；租户上下文在网关注入后全链路透传，任何服务不得信任客户端自报的 user_id。

6.3 与现有服务的迁移路径

现状补丁（P0，可不动业务代码）：在网关层为三套工作流加 JWT 鉴权、租户头（X-Tenant-Id、X-User-Id）、限流与审计插件；公网安全组仅放行网关；demo-user 降级为预发环境专用账号，生产禁用。P1 将服务注册到内网服务发现，网关按租户路由到独立命名空间。

7. 身份与访问管理

7.1 客户侧身份

联合身份为核心。P0 实现邮箱+密码+强制 MFA（TOTP）+ 会话短时效（访问令牌 15 分钟，刷新令牌轮换）；P1 接入钉钉/企微/飞书与 SAML/OIDC。密码不由 Lawsight 明文保存（Argon2id）。登录异常（异地、不可能移动、暴力破解）进入 SIEM 用例 U-01。管理员可导出审计日志。

会话与令牌：OIDC 标准流；刷新令牌绑定设备指纹；登出即吊销；API 调用仅接受网关签发的 JWT，工作流服务不自行发token。

7.2 RBAC 权限矩阵

角色语义为 Lawsight 定制，机制对齐 Stilta 最小权限：【Lawsight 特化】新增「律师审阅人」与「证据员」角色，匹配审阅流。

注：● 默认允许；◑ 受限或需审批；— 默认拒绝。项目默认私有，跨项目默认可达性为零。入转离触发权限同步回收；特权操作二次确认；季度权限复核作为 SOC 2 证据。

7.3 Lawsight 内部访问（书面批准）

继承 Stilta「批准即留痕」：员工访问客户内容必须事先获得客户明确书面批准（Trust Center 或站内信生成的批准单，含案件号、操作者、有效期、用途）。技术实现：

• 批准单数据模型：approval_id、tenant_id、case_id、operator_email、reason、expires_at、status、client_approver。
• 运维通道经堡垒机/PAM 会话录制；生产数据访问票据化，有效期默认 4 小时。
• 无批准单的访问尝试触发 SIEM U-04 高优先级告警。
• P0 先行流程化（工单+审批），P1 上 PIM/JIT 技术化。

8. 数据保护、加密与租户隔离

8.1 数据分类分级

8.2 加密与密钥管理

密钥双层层级：KEK 在 KMS/HSM，按策略轮换；DEK 由 KEK 包裹后随数据存储。BYOK 客户自主控制 KEK，合同终止可撤销密钥使数据不可读，与 30 天删除形成密码学+流程双删除。【继承 Stilta】【规划项】P0 先落地平台 CMK 全量覆盖；P1 提供 BYOK 开关（阿里云 BYOK / Azure Key Vault）。

8.3 租户隔离（四层）

• 存储层：对象存储按 tenant/{tenant_id}/case/{case_id}/ 前缀，绑定独立加密作用域；禁止扁平桶+文件名区分。
• 应用层：网关注入租户上下文，每个请求校验资源归属；工作流服务不得读取 X-Tenant-Id 以外的来源。
• 检索层：向量库/索引按租户分片，或行级安全过滤；图片哈希库允许跨案件「查重」但结论与证据不跨案件写。
• 缓存与队列：以租户为隔离键；案件级证据缓存 TTL 与案件关闭联动清空，防串案。

跨租户越权纳入月度渗透测试标准用例，对应 SIEM U-03。【继承 Stilta】【现状补丁】

8.4 图像证据完整性（Lawsight 独有）

这是本方案最重要的特化模块。已实证同一对哈希在多个案件复用，且存在同图异案。设计如下：

• 上传即固化：SHA-256（内容）+ pHash/dHash（感知）+ 文件大小 + MIME，写入 evidence_asset 表并返回证据 ID。后续分析只引用 evidence_id，不得重算覆盖。
• 案件绑定：evidence_id 与 case_id 绑定；跨案件引用同一图仅共享原始字节，不共享中间产物（掩码、保护池、相似度）。
• 串案检测：若两案件的结论、红队项或审阅稿出现相同 evidence_id 且未声明「同图异案」，SIEM 告警并冻结签发。
• EXIF 策略：默认保留 EXIF 供权属分析；客户可选择「上传前剥离 GPS/序列号」。人脸区域不进入公开示例。
• AI 生成图：A4 类型锁定 photography/illustration/AI_generated，登记类型与 VLM 判定冲突时强制 CONTESTED，禁止空保护池直接推不相似。
• 删除：客户删除案件时，对象、索引、哈希索引一并进入 30 天删除队列；哈希若用于平台级滥用黑名单需脱敏且在 DPA 披露。

9. 数据生命周期与隐私工程

9.1 六阶段生命周期

• 输入：特权材料与图片进入，绑定项目访问策略与证据 ID。
• 传输：TLS 1.2+ 认证会话，网关校验租户。
• Agent 处理：RAG/证据锚定、零训练零留存；图像比对度量在 Lawsight 域内完成，不把原图整体发给模型除非必要且经 ZDR 端点。
• 存储：境内/国际对应区域，CMK/BYOK。
• 备份：异地加密备份，权限分离，防勒索。
• 销毁：停止使用后 30 天内删除主存储与备份；BYOK 客户可即时撤销密钥。

9.2 保留、导出与删除

客户可随时请求导出（案件包：报告、证据清单、图片、审计日志摘要）。30 天删除承诺【继承 Stilta】技术实现：

• 删除队列：主存储打删除标记 → 备份同步 → 索引清除 → 密钥材料按策略失效 → 二次验证 → 删除凭据入审计日志。
• 范围明确包含备份副本（Stilta 此项未完全披露，Lawsight 直接承诺，作为超越点）。
• 法务更严客户可在 DPA 约定 7 天/立即删除与删除证明。
• 逻辑删除 30 天窗口兼防误删；窗口内客户可撤销。

9.3 数据主体权利与双法域隐私

设数据隐私官（可由安全负责人兼任并对外公布邮箱 dpo@）。DPIA 在新工作流上线与跨境传输前执行。数据主体请求（访问、更正、删除、可携带、撤回同意）工单化，个保法/GDPR 时限内闭环。RoPA 随 DPA 维护。泄露通知：涉个人数据 72 小时内报监管（网信/公安按中国路径；GDPR 按欧盟路径），客户通知按 DPA。CCPA：不出售、可删除、可导出。

中国特有：【Lawsight 特化】个人信息出境需评估（标准合同/认证/安全评估三路径按规模选择）；图片若含可识别自然人肖像，提示客户取得授权；自动化决策（AI 结论）提供拒绝与人工复核入口——即 awaiting_review 本身。

10. AI / Agent 安全与可信设计

10.1 零训练的合同与技术双层实现

合同层：DPA 明确禁止将客户数据用于训练、微调、评估、RLHF；对每个模型供应商（智谱及未来新增）要求同等条款副本并归档。技术层：训练与推理环境分离，无以客户数据为输入的训练管线；可向客户提供「无训练管线架构声明」。验证要点写入 Trust Center FAQ。【继承 Stilta】

10.2 零留存与模型供应商边界

LLM Proxy 统一出网：按供应商配置零留存端点、区域（境内客户走境内推理）、密钥独立管理、请求/响应脱敏日志（不落原图、不落全文提示词）。对智谱：确认 API 数据处理条款是否支持不留存、不训练；如不能，P0 在 DPA 向客户如实披露当前供应商能力边界并列入 P1 更换/加签。【规划项】【现状补丁】当前 glm-5.3-flashx 单点，P1 增加备用供应商并做区域路由。

10.3 把审阅流升格为 HITL 控制

Stilta 的「默认人机协同」是话术，Lawsight 已有实现应作为 Trust Center 差异化证据：【Lawsight 特化】

• awaiting_review 状态机：分析完成 ≠ 结论生效；律师未审阅不得导出「已签发」意见。
• confidence 与 escalation_required：低于阈值强制升级，不得自动通过。修复已实证的「三视角 all_pass 但 escalation_required=true 仍 workflow_done」。
• 待补不编造：缺失证据必须标待补，禁止虚构案号、法条、当事人。类案任务中 planner 虚构人身损害与民法典 1179/1183 条的领域错配属 P0 修复项。
• 审阅留痕：律师修改、驳回、重写、红队回应全部入审计日志，形成 EU AI Act 要求的日志留存与人类监督证据。
• 透明度披露：向客户说明模型角色、局限性、不得替代法律意见（ToS 已有非法律意见声明则沿用）。

10.4 AI 输出门禁（现状补丁，P0 工程重点）

10.5 提示注入与 Agent 滥用

• 输入侧：检索语料与上传文档注入模式检测与标记。
• 编排侧：系统指令与外部内容结构性隔离。
• 工具侧：工具白名单 + 沙箱；导出、共享、删除需用户确认。
• 输出侧：G-1 至 G-8 门禁 + 敏感信息过滤。
• 行为侧：工具调用次数、外部请求频率与成本限额，异常熔断。

10.6 AI 治理政策与 EU AI Act / 生成式 AI 办法

制定《AI 系统开发和评估政策》，内容覆盖：系统分级判定记录（法律 AI 是否落入高风险/生成式服务）、模型与语料变更评估、输出质量周期性测评（用已积累的空转/互斥案例做回归集）、人类监督有效性验证、客户透明度披露。对齐 NIST AI RMF 与 EU AI Act 透明推理/证据输出/默认 HITL。中国侧：评估是否构成生成式 AI 服务对外提供，按《生成式人工智能服务管理暂行办法》准备备案材料（算法机制、训练数据来源、安全评估）。【Lawsight 特化】

11. 网络与基础设施

11.1 网络分区

国内栈（主）：阿里云 VPC，公网仅 API 网关与静态资源 CDN；WAF + DDoS；RDS/OTS/OSS/Key Vault 等经私有终结点；堡垒机管理。国际栈：Azure VNet + Front Door + Private Endpoints，结构对齐 Stilta 推断设计。两栈数据不互通，客户驻留即处理地。【Lawsight 特化】

子网划分：网关子网、应用/工作流子网、数据子网、管理子网；NSG/安全组默认拒绝东西向；管理平面禁公网 SSH/RDP。

11.2 容器与运行时

工作流服务容器化；镜像私有仓库 + CI 漏洞扫描与签名；非特权服务账号；拒绝特权容器；Agent 编排与批处理索引节点池分离。【规划项】

11.3 端点与共担责任

员工端点：反恶意软件、软件防火墙、磁盘加密、补丁基线、EDR（P1）。设备合规作为访问内部系统前置。共担责任：云厂商负责云本身，Lawsight 负责身份、数据、应用、网络配置；模型供应商为第二层共担，受零留存与保密条款约束。【继承 Stilta】

12. 应用与产品安全工程

12.1 SDLC

SAST + SCA 作为合并门禁；IaC 扫描；密钥泄露检测进提交钩子；修复时限高危 7 天、中危 30 天，逾期升级。当前已知 AI 缺陷（闸口、空转、互斥、坐标 crop bug colorgeom.py:154）应作为回归用例进入 CI，防止复发。【现状补丁】

12.2 渗透测试

目标节奏对齐 Stilta 月度外部渗透测试（P0 可先半年度起步，Trust Center 如实标注频率，不得虚标月度）。范围必须包含：未授权访问与跨租户越权、认证与会话、注入、API 滥用、提示注入、图像证据串案、网关绕过。整改闭环进漏洞台账，可作 SOC 2 证据。【继承 Stilta】【规划项】

12.3 SBOM

每次构建生成 SBOM（CycloneDX/SPDX）并归档；新 CVE 小时级映射受影响部署。面向客户按需提供 SBOM 摘要。【继承 Stilta】【规划项】

13. 日志、审计与安全监控

13.1 审计日志

四类事件：认证（登录、MFA 失败、令牌签发）、授权（角色变更、共享、越权拒绝）、数据（案件创建、图片上传、导出、删除、审阅签发）、管理（员工经批准访问、密钥操作、子处理方变更）。字段：操作者、租户、对象、时间戳、来源 IP、结果、approval_id（如涉运维访问）。仅追加存储，在线 90–180 天，归档 ≥1 年。管理员可导出。【继承 Stilta】【规划项】

13.2 SIEM 用例集

U-11 至 U-13 为 Lawsight 特化用例。SIEM 平台 P0 可用云日志服务 + 告警规则起步，P1 评估商业 SIEM。【规划项】

13.3 自动合规监控

控制项清单化定时评估：加密配置、MFA 开启率、权限复核、备份成功率、网关覆盖率（三服务是否已撤公网）、门禁规则启用率。偏差生成工单。对外与 Trust Center 订阅一致。【继承 Stilta】

14. 事件响应

14.1 六阶段流程

检测与报告（SIEM、渗透、漏洞报告入口、客户报告）→ 分级与启动（波及租户范围与数据敏度，指定响应人员）→ 遏制（隔离、吊销凭证、保全证据，含图像哈希证据）→ 根除 → 恢复（自加密备份，对接 RTO）→ 复盘改进。【继承 Stilta / NIST SP 800-61】

14.2 分级、上报与通知

指定响应人员 P0 即明确到人并公布 security@。漏洞报告入口与渗透整改共用台账。【继承 Stilta】

15. 业务连续性与灾难恢复

15.1 指标

15.2 备份保护

备份独立密钥、备份账户与生产权限分离、删除备份双人操作（防勒索）。BCP/DRP 文档 P0 出摘要版挂 Trust Center，全文受控申请。【继承 Stilta + 补 RPO】

16. 合规框架（中国 + 国际双轨）

16.1 双轨矩阵

16.2 政策文件体系

• 可接受使用政策
• 访问控制政策
• AI 系统开发和评估政策
• 事件响应政策
• 数据备份与保留政策
• SDLC 与漏洞管理政策
• 子处理方管理政策
• DPA、ToS、用户级隐私政策、访客隐私政策

按年度评审与版本化管理，对齐 ISO 27001 Annex A 5.1/5.2。【继承 Stilta 推断】

16.3 治理组织

P0 设：安全负责人（Trust Center 对外接口）、数据隐私官、指定事件响应人员、模型供应商合规负责人（可兼任）。网络保险作为残余风险转移，P1 评估投保。【继承 Stilta】客户审计权写入 DPA。

17. 供应链与模型供应商治理

• 子处理方清单随 DPA 维护，变更提前通知客户（Stilta 常见为 30 天）。
• 关键供应商年度安全评审（认证、事件历史、数据处理条款）。
• SBOM + 依赖漏洞扫描覆盖软件供应链。
• 语料与类案来源权威性校验；死链/自媒体不入证据池。
• WK MCP / TACD 配额耗尽必须显式失败，禁止静默降级到不可信检索。【现状补丁】
• 网络保险作经济转移层。

18. 实施路线图与验收标准

18.1 P0（0–30 天）：Trust Center 最小可用 + 现状止血

• 上线 Trust Center 门户（六原则、控制项 14 域、AI 可信、图像证据安全、文档申请）。
• 五件套：DPA v0.9、ToS 零训练修正、用户级隐私政策、安全控制项页、子处理方清单 v1。
• 统一 API 网关鉴权与限流；:8000/:8005/:8111 撤公网；demo-user 与生产隔离。
• AI 输出门禁 G-1~G-8 最小实现（空转、闸口一致、多跑互斥、死链证据）。
• 图像证据 SHA-256 + pHash 固化与案件绑定；串案告警 U-11。
• 员工书面批准访问流程（工单化）。
• 审计日志最小集（登录、任务发起、导出、批准访问）与 security@ / 漏洞报告入口。
• 30 天删除队列与导出接口。
• 指定 IR 人员与分级预案。

P0 验收：Trust Center 可公开访问且无虚假认证声明；网关未鉴权访问工作流 API 被拒；同图跨案签发被 U-11 拦截；G-1 能捕获 A7/A8/A10 空转样本；DPA 可发送给意向企业客户。

18.2 P1（30–90 天）：核心技术控制

• SSO（钉钉/企微/飞书 + OIDC）与 MFA 全量；RBAC 落地审阅人角色。
• CMK 全量静态加密；BYOK 企业版设计评审。
• 租户隔离四层改造完成；跨租户渗透用例通过。
• LLM Proxy 零留存端点 + 备用供应商；智谱数据处理条款确认或替换。
• SIEM 用例 U-01~U-13 上线；审计日志 WORM。
• 首次外部渗透测试（范围含提示注入与串案）。
• SBOM 进 CI；SAST/SCA 门禁。
• 备份异地加密 + 首次恢复演练，RTO/RPO 实测。
• AI 系统开发和评估政策 v1.0；生成式 AI 备案评估提交。
• BYOK/删除/驻留在 Trust Center 更新为「已实现」。

18.3 P2（90–180 天）：认证与深披露

• SOC 2 Type I 审计启动；ISO 27001 ISMS 内审。
• 等保定级备案与测评准备。
• 月度渗透测试节奏（或如实披露双周/月度）。
• Trust Center 接入 SafeBase/Oneleet 评估。
• 网络图与数据流图受控披露版。
• 网络保险投保决策。
• EU AI Act 技术文档与日志留存方案成稿。

18.4 资源与 RACI 摘要

• 安全/后端：网关、租户、加密、日志、门禁、备份。
• AI 工程：G-1~G-8、LLM Proxy、HITL 状态机修复、空转与互斥回归集。
• 前端/产品：Trust Center 门户与审阅流 UI（批准单、导出、安全中心）。
• 法务：五件套、双轨合规、子处理方、备案。
• 负责人：安全负责人对 Trust Center 事实性负责，禁止营销侧添加未达成认证。

19. 对客 FAQ 与评审话术（摘录）

• 你们和 Stilta 有什么区别？——Lawsight 聚焦中文法域与要素级审阅流，独有图片版权分析；安全六原则与行业对齐（零训练、零留存、BYOK、30 天删除、HITL），并在中国网安/个保/生成式 AI 备案上更完整。
• 会拿我的数据训练模型吗？——不会。合同约束我们自己与每一家模型供应商，可提供无训练管线声明。
• 员工能看到我的案件吗？——仅在你书面批准后，且全程留痕，你可导出访问日志。
• 结论可以直接用于诉讼吗？——不能。系统输出为审阅稿，默认 awaiting_review，律师签发前不构成法律意见。
• 图片分析会泄露我的原图吗？——原图租户隔离存储，跨案件仅可做哈希查重，不共享比对结论；可选拆除 GPS 等敏感 EXIF。
• 数据存在哪里？——中国大陆客户存境内区域，AI 处理同域；国际客户可选指定区域。退出 30 天删除含备份，企业版可撤销 BYOK 密钥即时不可读。
• 有 SOC 2 吗？——正在准备 Type I，未取得前不在官网宣称已认证。可先提供 DPA、控制项清单与安全白皮书。

20. 局限性声明

本方案基于 2026-11-06 公开竞品调研与 Lawsight 工作台任务实证编制，未完成对 Lawsight 生产云账号、网络拓扑、密钥现状与全部代码仓库的现场审计。标注【规划项】的控制点为设计目标而非现状陈述。实施时应先做一次内部资产盘点与渗透基线测试，修正与实际的偏差后再冻结架构。不得将本方案中的目标认证状态用于对外营销。

附录 A　Lawsight 已有能力 → 安全控制映射

附录 B　DPA / ToS 关键条款模板（中文直用）

零训练条款：未经客户书面同意，服务方不得将客户数据（包括但不限于上传文档、图片、提示词、检索式、分析结果、审阅稿）用于训练、微调、基准评测、RLHF 或改进任何机器学习模型，包括服务方自有模型与第三方模型。服务方应促使其模型供应商承担同等义务，并应客户要求提供该等合同义务的证明摘要。本条款在协议终止后继续有效。

零留存条款：服务方调用第三方模型处理客户数据时，应使用零留存（Zero Data Retention）端点或同等技术与管理措施，确保第三方仅在本轮推理中处理内容以返回结果，处理后不保留静态副本。

员工访问条款：服务方员工或承包商访问客户非公开案件内容，应事先取得客户书面批准（含电子批准），说明访问者身份、目的与有效期，并记入访问日志。客户可随时导出该日志。

删除条款：客户停止使用服务或请求删除的，服务方应在 30 日内删除客户数据，包括主存储与备份副本，并向客户提供删除凭据。企业版客户可提前撤销自带密钥使数据即时不可读。

非法律意见：服务方提供的分析结果为辅助研究工具输出，不构成法律意见，不建立律师-委托人关系，默认进入人工审阅流程，未经客户授权人员签发不得对外使用。

中国出境：涉及个人信息出境的，服务方按中国法律法规履行出境安全评估、标准合同备案或保护认证等义务，并在子处理方清单中披露境外接收方（如有）。

附录 C　术语表（新增/易混）