前言
Agent 智能体时代，智算中心如同数字世界的 "发电站"，源源不断生产 Token，支撑大模型推理、智能体调度、具身智能运行。但传统安全架构沿用互联网时代的防护逻辑，已经很难适配 AI 新型攻击：算力被劫持滥用、各类提示词注入绕过 WAF、模型权重投毒窃取成为智算中心三大高频致命威胁华为企业业...。
在 2026 华为全联接大会上，华为正式发布星河 AI 三层安全围栏解决方案 ，提出 "以 AI 守护 AI" 的设计思想，从网络围栏‑Agent 围栏‑主机围栏构建端到端纵深防御，覆盖 Token 从网络入口、大模型交互，再到 LLM 主机运行的完整全生命周期安全管控，解决当前智算行业普遍的安全痛点华为企业业...。
很多企业在建智算中心的时候，优先关注 NPU 规模、光模块、组网时延，安全往往作为后置补配。但 AI 攻击链条已经打通：边界入侵→恶意提示词投毒→主机窃取权重，单点失守就会造成算力巨额损耗、核心模型泄露。本文结合官方发布资料，拆解威胁根源、三层围栏技术架构、关键指标，同时聊聊这套方案带给行业的启示与现实思考。
一、Token 生产时代，智算中心面临三大原生安全威胁
华为在发布会上总结当前 AI 算力业务的三类核心风险，这也是当前政企、能源、金融智算平台普遍遇到的现实问题华为企业业...：
1. 算力资源被滥用劫持
攻击者利用接口漏洞、Token 劫持入侵算力集群，植入挖矿、批量推理任务，大量消耗 GPU/NPU 算力资源。很多企业不是被直接攻破系统，而是云账单异常暴涨才发现算力被盗。传统云端安全检测存在时延，攻击发生数分钟甚至数十分钟之后才告警，巨额算力损耗已经发生。算力滥用已经成为 Token 生产首要威胁。
2. 提示词注入攻击绕过传统安全设备
普通 WAF、内容过滤基于静态特征匹配，极易被各种变体、嵌套、隐形提示词注入绕过。攻击者构造特殊输入诱导大模型泄露内部文档、密钥、业务数据。攻击发生在大模型业务层，传统网络安全设备很难识别攻击意图。如果检测时延过高，还会直接影响用户对话、智能体业务体验，安全与业务性能成为两难。
3. 主机侧数据窃取与模型投毒
攻击者入侵 LLM 运行服务器，窃取训练数据集、核心模型权重；或者在训练、更新环节植入恶意样本实现模型投毒。大模型权重、训练数据属于企业最高价值资产，一旦外泄会带来商业、合规双重打击。但智算主机负载已经拉满，传统 EDR 安全代理 CPU 开销大，部署之后会挤占推理、训练算力，很多智算集群为了性能直接关闭主机防护。
核心矛盾浮出水面：AI 安全不能简单叠加传统安全组件。如果防护本身大量消耗算力，就会反过来挤压 Token 生产能力。行业迫切需要一套 "安全不抢算力、防护不拖业务" 的原生 AI 安全架构。
二、星河 AI 三层安全围栏完整架构解读
整套方案遵循边界拦截‑业务层防护‑底层主机加固纵深防御思想，三层围栏各司其职、联动协同，覆盖流量入口、Agent 交互、模型运行主机完整链路，三层分别对应三款核心产品：HiSecEngine AI 防火墙、HiSec AI Guard 大模型内容安全、HiSec Endpoint AIDR 轻量化主机防护华为企业业...。
第一层：网络围栏 ------ 边界拦截，把恶意流量挡在算力集群门外
部署位置：智算中心数据中心边界，Token 业务出入口 核心硬件产品：HiSecEngine AI 防火墙
- 内置AI 挖矿专用算力检测引擎 ，恶意挖矿流量检出率 95%，实现毫秒级阻断恶意流量，攻击流量还未进入算力集群就直接拦截，区别于传统云端事后检测模式，避免算力已经被消耗才发现威胁华为企业业...。
- 聚焦解决算力劫持、异常外联、恶意访问算力推理接口等网络层风险。
- 价值：在网络边界完成第一道过滤，不让恶意请求抵达大模型服务，从源头减少算力无效消耗。
痛点对比：传统方案大多是攻击进入集群后再上报云端分析，时间窗口内 NPU 已经被恶意任务占用；网络围栏把 AI 检测引擎下沉到硬件网关本地，做到攻击即拦截。
第二层：Agent 围栏 ------ 业务层防御，抵御提示词注入攻击
部署位置：通算区，大模型、Agent 服务前端 核心产品：HiSec AI Guard 大模型内容安全产品
- 针对提示词注入、记忆投毒、恶意指令攻击，恶意指令识别准确率达**95%**华为企业业...。
- 深度基于昇腾算子做底层优化，单条提示词检测时延控制 150ms 以内，业界平均水平为 500ms，业务侧几乎无感知，解决 "做安全就卡顿，要性能就关安全" 行业两难问题华为企业业...。
- 防护覆盖输入提示词、模型输出结果双向检测，抵御各类绕过式 Prompt 注入，守护 Agent、大模型交互全流程内容安全。
很多企业踩坑：直接把提示词检测放在应用层，检测逻辑效率低下，叠加模型推理时延，业务接口超时频发，最终被迫关闭安全校验。Agent 围栏的核心价值就是把安全检测性能做到不拖累业务。
第三层：主机围栏 ------ 内核级守护 LLM 运行环境，安全不抢占算力
部署位置：智算区 LLM 计算主机 核心产品：HiSec Endpoint AIDR 轻量化主机防护
- 采用内核级 eBPF 异常行为检测技术，不需要侵入业务进程，实时监控服务器异常进程、文件篡改、异常外联行为华为企业业...。
- 重点防范模型权重非法读取、篡改、后门投毒、训练数据集窃取。
- 关键指标：运行时 CPU 占用率低于 1%，远低于业界 5% 平均水平，真正实现 "安全不抢算力、防护不拖效率"，可以大规模部署在满负载的 NPU 智算节点上，不用为了安全牺牲训练、推理性能华为企业业...。
这一点对智算集群意义重大：万卡级集群，每多占用 1% CPU，整体算力损失就非常可观。传统 EDR 在智算服务器部署往往因为资源开销过高被运维拒绝启用。
三层围栏的协同逻辑
- 网络围栏在外围拦截挖矿、恶意访问流量；
- Agent 围栏拦截提示词注入、恶意指令，保障大模型业务交互安全；
- 主机围栏守住最后一道底线，就算边界、业务层被绕过，依然可以监控主机异常行为，防止模型权重、训练数据被窃取篡改； 三层安全告警可以联动，实现攻击链路溯源，完成从发现‑研判‑阻断‑审计闭环。根据公开实践案例，该方案在某智算中心上线 7 天，就发现 415 个高危漏洞，处置 322 起威胁事件华为。
三、行业深度思考：AI 原生安全，不等于传统安全简单堆砌
过去建设智算安全，很多企业做法：传统防火墙 + WAF + 普通 EDR 直接堆一套上去。但 AI 业务的特殊性决定这套模式会遇到三重死局：
- 性能死局：主机安全组件开销太高，智算服务器算力宝贵，安全防护占用过多 CPU，业务性能下降，运维只能关掉防护；
- 检测死局：提示词注入属于业务语义层面攻击，传统基于字符、正则的 WAF 很难识别变种、多层嵌套的 Prompt 攻击；
- 响应死局：算力劫持攻击，传统安全事后上报，等告警出来算力已经大量被消耗，损失已经形成。
星河三层围栏给出的解题思路是AI 原生安全，以 AI 对抗 AI：
- 检测引擎下沉，把 AI 威胁检测放到网关、业务网关本地，实现毫秒级即时阻断，而不是依赖云端事后分析；
- 针对 AI 特有攻击（挖矿劫持、提示词注入、模型投毒）做专项模型训练，而不是复用互联网 Web 安全规则库；
- 做轻量化内核级技术优化，把安全组件资源开销压到极低，让防护可以常驻运行，不会为性能妥协关闭安全。
同时大会上南非国家电力公司也分享能源关键基础设施视角：AI 正在大规模进入电力、工业 OT 场景，AI 带来的网络物理融合风险持续放大，关键行业智算安全已经不再只是 IT 部门小事，上升到企业董事会风险治理层面，需要完整体系而不是零散工具堆砌华为企业业...。
四、什么样的场景适合这套安全架构？落地启示
适用业务场景
- 政企自建智算中心、万亿大模型训练推理集群；
- 金融行业私有大模型、风控智能体平台；
- 能源、工业关键基础设施的 AI 算力平台；
- 对外提供 API、Agent 服务，存在公网访问入口的大模型业务。
给企业建设智算安全的几点实操启示
- 安全前置规划，不要事后补配：智算中心规划阶段就要把网络‑Agent‑主机三层安全纳入设计，不要等算力集群上线之后再叠加安全设备，容易出现性能冲突。
- 不能只看防护能力，必须做性能压测：AI 安全产品选型除看检出率，必须实测检测时延、主机 CPU 占用，避免防护开启后大模型业务卡顿、推理性能下降。
- 风险分层看待：网络层防算力劫持，业务层防提示词注入，主机层防权重窃取，三层缺一不可，只靠某一层无法实现完整防御。
- 安全和业务要联动：告警不只是日志，要能够联动限流、阻断、溯源审计，适配 Agentic 智能体时代全链路合规审计需求。
五、总结
随着 Agent 智能体规模化落地，Token 成为 AI 时代核心生产产物，算力劫持、提示词注入、模型投毒成为智算中心的 "新三大安全顽疾"。传统网络安全体系面对 AI 新型攻击已经力不从心。
华为星河 AI 三层安全围栏，跳出 "传统安全组件简单堆砌" 思路，践行以 AI 守护 AI理念：网络围栏在边界毫秒级拦截算力劫持流量，Agent 围栏高效抵御提示词注入攻击，主机围栏以极低资源开销守护 LLM 模型权重与训练数据，三层形成完整纵深防御闭环。
对行业的启示：智算中心建设，NPU、光模块、组网时延只是一半，AI 原生安全底座同样是基础设施不可分割的一部分。未来智算中心评价标准，不只有算力规模、训练速度，同样要看能否保障 Token 安全、稳定、可信的生产。
标签：星河 AI、三层安全围栏、智算安全、Token 安全、提示词注入、算力劫持、模型投毒、eBPF、Agent 安全 阅读时长：11 分钟
互动讨论：你所在的智算平台，遇到过算力劫持、提示词注入哪些真实问题？你认为 AI 原生安全最大的难点是性能，还是攻击手段持续变种？欢迎评论区交流！