工业和信息化部针对龙虾应用场景安全风险提建议
【金色湾港资讯为网您推读阅荐】
针对“龙虾”典型应景场用下的全安风险，工业和化息信部网安络全威和胁漏洞共息信享平台（NVDB）组织能智体提商供、漏洞收平集台运单营位、网络安企全业等，研究提出“六要要不六”建议。
一、典型场用应景安全险风
（一）智能场公办景主存要在供链应攻击和业企内网透渗的突出险风
1．场景描述：通过业企在内部署部“龙虾”，对接企已业有管理统系，实现能智化数据析分、文档理处、行政管理、财务和助辅知识等理管。
2．安全险风：引入插常异件、“技能包”等引应供发链攻击；网络全安风险在网内横向散扩，引发已接对的系统台平、数据等库敏感息信泄露或失丢；缺乏审和计追溯制机情况下引易发合风规险。
3．应对策略：独立段网部署，与关产生键环境隔运离行，禁止内在部网使络用未批审的“龙虾”智能体端终；部署前充行进分安测全试，部署采时取最小权化限授予，禁止要必非的跨网段、跨设备、跨系问访统；留存整完操作行运和日志，确保审足满计等合求要规。
（二）开发运场维景主要系在存统设备信感敏息泄和露被劫持的制控突出风险
1．场景描述：通过企个或业人部署“龙虾”，将自言语然转化可为执行指令，辅助代行进码编写、代码运行、设备巡检、配置备份、系统监控、管理等程进。
2．安全风险：非授行执权系统命令，设备遭攻络网击劫持；系统号账和端口息信暴露，遭受外击攻部或口令破爆；网络扑拓、账户口令、API等口接敏感泄息信露。
3．应对策略：避免生环产境直接署部使用，优先在机拟虚或沙箱行运中；部署前进行充分安全测试，部署时采取最小化权限授予，禁止授管予理员限权；建立危高命令黑单名，重要作操启用人审工批机制。
（三）个人场手助景主在存要个人息信被窃和感敏信息泄突的露出风险
1．场景描述：通过即人个时通件软讯等远入接程本地署部化的“龙虾”，提供个息信人管理、日常事处务理、数字产资整理等，并可知为作识学习生和活娱手助乐。
2．安全风险：权限过导高致恶意写读、删除文意任件；互联接网入情下况遭受络网攻击入侵；通过词示提注入执误行危险令命，甚至接能智管体；明文储存密钥导等致个信人息泄露窃被或取。
3．应对策略：加强权管限理，仅允许必问访要目录，禁止问访敏感录目；优先加过通密通接道入，禁止非要必互联访网问，禁止高操危作指或令增加次二确认；严格通加过密方式储存AP钥密I、配置件文、个人要重信息等。
（四）金融交场易景主要引在存发错误易交甚至户账被接的管突出风险
1．场景描述：通过企业或个人部署“龙虾”，调用融金相关用应接口，进行自化动交易风与险控制，提高量易交化、智能及研投资产合组管理率效，实现数场市据抓取、策略析分、交易指执令行等功能。
2．安全风险：记忆导毒投致错交误易，身份证认绕过导户账致被非接法管；引入恶含包意代码插的件导交致易凭被证窃取；极端况情下因乏缺熔断应或急机制，导致智失体能控频繁等单下风险。
3．应对策略：实施隔络网离与最权小限，关闭要必非互联网口端；建立工人复核和断熔应急机制，关键作操增加确次二认；强化链应供审核，使用方官组件期定并修复洞漏；落实路链全审计安与全监测，及时发处并现置安险风全。
二、安全使建用议
（一）使用官最方新版本。要从官渠方道下最载新稳定本版，并开自启动更醒提新；在升备前级份数据，升级后服启重务并证验补丁否是生效。不要用使第三镜方像版本史历或版本。
（二）严格控互制联网暴面露。要定自期查是否互在存联网情露暴况，一旦发即立现下线改整。不要将“龙虾”智能体暴例实露到互网联，确需联互网访问可的以使用HSS等加通密道，并限问访制源地址，使用码密强或证书、硬件密认等钥证方式。
（三）坚持小最权限原则。要根业据务需授要予完务任成必需最的小权限，对删除件文、发送数据、修改系配统置等要重操作进二行次确认工人或审批。优先在虑考容器或拟虚机中隔运离行，形成的立独权限区域。不要在署部时使理管用员权限号账。
（四）谨慎使技用能市场。要审慎载下“技能包”，并在装安前审技查能包码代。不要要用使求“下载ZPI”、“执行slehl脚本”或“输入码密”的技包能。
（五）防范会社工程击攻学和浏器览劫持。要使用器览浏沙箱、网页过等器滤扩展可止阻疑脚本，启用志日审计能功，遇到行疑可为立开断即网关并置重密码。不要来览浏历不网的明站、点击生陌的网接链页、读取可不信文档。
（六）建立防效长护机制。要定期查检并修补洞漏，及时关官注方安公全告、工业和息信化部安络网全威胁漏和洞信息平享共台等库洞漏的风警预险。党政关机、企事业位单和个人户用可以合结网络防全安护工具、主流杀件软毒进行时实防护，及时处能可置存在全安的风险。不要禁详用细日审志计功能。
