AI 安全工程师面试怎么答：威胁建模、控制设计与事故响应

面试官给你一个即将上线的 AI 业务系统：它会读取客户资料、调用内部服务，还能建议账户变更。对方问的不是“你知道哪些漏洞”，而是“你会先保护什么、怎样限制权限、如何证明控制有效，以及出事后怎么恢复”。

这才是 AI 安全工程师岗位的主线。第一层回答要把系统讲清楚，第二层追问要把控制落到身份、边界和证据上。只背框架名称，无法解释一个错误怎样变成真实后果，也无法说明团队凭什么恢复服务。

先问最坏后果，再列资产和威胁路径

不要从漏洞清单起手。先问业务想完成什么，以及哪种失败最不能接受。可能需要保护的是客户数据、账户状态、业务决策、服务连续性、模型配置、工具权限或事故证据。

资产至少可以分成几层：

• 客户与企业数据；
• 模型接口、配置和发布版本；
• 检索索引、记忆与数据来源；
• 服务身份、凭证与授权状态；
• 工具动作和外部系统记录；
• 评测数据、发布门槛与回滚能力；
• 日志、告警与事故调查材料。

列完资产，还要区分后果。回答错误和跨租户数据泄露不是同一级别；工具建议被拒绝和付款、删除已经执行也不是同一级别。威胁建模的价值，是把输入、组件或身份受到影响之后，怎样跨过边界并触达资产讲清楚。

每条关键路径都问四件事：

1. 谁能够影响这一步？
2. 这一步使用了哪种身份和权限？
3. 失败或滥用时会留下什么证据？
4. 如果下一层控制也失效，最小可信后果是什么？

这样回答，面试官才能判断你是在做系统分析，还是只会报风险名称。供应链是其中一条路径，但依赖来源、制品完整性和发布链路应由 AI 供应链攻击面试指南 继续展开，不能把所有问题都塞进一篇角色指南。

身份、租户和信任边界必须拆开

AI 系统最容易说模糊的一句话是“Agent 调用了工具”。到底是谁的 Agent、代表哪个租户、用哪种服务身份、访问哪个对象、经过谁批准，这些问题不拆开，后面的最小权限就没有对象。

面试时可以明确列出：

• 发起请求的用户与所属租户；
• 接收请求的应用服务；
• 模型或模型服务账号；
• 检索和数据服务；
• 执行工具的 worker；
• 审批人、运营人员与事故响应角色；
• 评测、部署和回滚服务。

然后标出信任变化：外部数据进入受控系统，检索结果进入模型上下文，模型输出变成结构化动作建议，策略服务做授权判断，worker 获得短期执行能力，外部状态发生改变，最后证据进入监控与事故系统。

关键原则是把信息和权限分开。模型可以提出动作，但不能自己证明当前身份有权执行；人工可以批准业务意图，执行服务仍应重新校验租户、对象、动作、当前状态和审批范围。

多租户系统还要说明隔离落在哪里。上下文、检索结果、凭证、缓存、日志和工具调用是否都带有可验证租户边界？共享组件若被信任，依据是什么？一句“数据库做了隔离”不足以覆盖模型上下文和外部动作。

AI Agent 控制平面系统设计指南 可以帮助你继续拆任务身份、审批、回滚和审计，但安全回答仍要指出每条边界由哪个服务强制执行。

控制要和后果等级匹配

控制不是越多越好。成熟回答会说明每项控制对应哪条威胁路径、由谁执行、失败时进入什么状态。

对高价值动作，至少讲清：

• 谁能提出请求；
• 哪个可信服务负责授权；
• 允许访问的租户、对象和动作；
• 最小数据与工具范围；
• 权限有效时间；
• 动作是否可逆；
• 何时必须人工审批；
• 校验不确定时如何降级；
• 哪份回执证明决定和结果。

读取、建议、审批和提交的后果不同，最好拆成独立路径。短任务不应长期持有高权限凭证；高风险动作在身份或范围无法确认时，应拒绝、转人工或进入只读模式，而不是让模型“自行判断”。

例如，Prompt Injection 可能让低信任内容影响模型的动作建议。防御重点是把授权留在模型之外，限制当前身份和对象范围，对高后果动作增加审批，并验证最终状态。Coding Agent 场景专项指南 独立负责仓库间接指令、现场权限收窄与即时处置。

最小权限只缩小后果半径，不代表动作一定正确。还要配合结构化参数、服务端状态校验、次数与成本限制、幂等处理、结果验证、监控和可恢复失败状态。

检测与安全验证必须留下可核验证据

如果一个控制既不能测试，也无法在事故中还原，它在面试里很难成立。你需要说清敏感决定前后会留下哪些证据，以及哪些内容必须最小化保存。

一条可用的安全时间线可以关联：

• 请求和租户标识；
• 数据来源引用与信任标签；
• 模型、策略和工具版本；
• 动作建议与校验后的参数；
• 授权结果和原因码；
• 审批身份、范围和有效期；
• 执行结果与状态变化；
• 告警、遏制和恢复状态。

可观测性不能成为无限采集的借口。秘密、完整个人数据和敏感业务内容不应默认进入所有日志。优先使用脱敏引用、哈希、原因码、访问控制与保留期限，在调查价值和数据风险之间做明确取舍。

安全验证也不能只跑一次成功流程。测试集应覆盖正常使用、无权身份、跨租户尝试、异常参数、过期状态、重复请求、依赖不可用，以及看起来异常但实际合法的输入。后者能帮助团队识别控制是否靠大量误报换取表面安全。

量化要围绕决策和后果。可以观察越权动作是否被阻止、高风险建议是否逃逸、发现和遏制耗时、同类失败是否重复、误报带来多少运营负担，以及回滚或人工替代是否真正可用。不要虚构通用阈值，也不要用一个平均分证明系统安全。

Agent 可观测性面试指南 进一步说明怎样还原工具调用和状态变化，而不声称能读取模型的私有推理。LLM 评估工程师面试指南 则适合把事故样本变成可审计数据集、失败切片和发布门槛。

事故处置要分遏制、恢复和复盘

事故刚发生时，先控制后果，不要急着宣布根因。指定 owner，暂停或限制危险路径，保留易失证据，确认哪些外部动作已经发生，并在凭证可能暴露时缩权或轮换。

可以按这个顺序回答：

1. 确认告警并建立事故负责人；
2. 限制新的高权限动作；
3. 保留相关版本、日志、审批和状态；
4. 确认受影响身份、租户、工具、数据和时间范围；
5. 处理外部后果，必要时撤销或收窄权限；
6. 分开沟通已知、未知、当前决定和下次更新时间；
7. 定义安全状态，验证后再恢复能力。

遏制可能牺牲体验。只读模式、缩小租户范围、人工审批队列或临时关闭高风险能力，都可以在降低权限的同时保留部分业务价值。高信号回答还会说明谁承担人工负载，谁接受临时风险，以及临时方案何时退出。

恢复必须分阶段。先恢复低风险查询，再恢复受审批保护的写入，最后才考虑高权限自动动作。每一步都要有观察窗口、告警、回退负责人和扩大权限的证据。仅仅改了一段配置，不足以证明凭证、外部后果、数据完整性和监控缺口已经解决。

复盘不要只盯最终错误输出。应找到最早失效的 owner 层，把事故还原成可重复测试，补充相邻变体，明确控制负责人和残余风险，再确认修复进入了真实生产路径。

四套框架要分工协作，不能互相替代

框架名称只有在帮助你做决定时才有价值。

• OWASP GenAI Security Project 可以帮助整理应用层风险和检查面，但不是监管规则，也不是安全认证。
• NIST AI 100-2 E2025 提供对抗性机器学习的术语与分类，可用于统一威胁描述，但不会自动给出具体系统设计。
• MITRE ATLAS 提供面向 AI 系统的威胁知识库，可帮助构造调查和验证场景，但不代表每种技术都适用于当前系统。
• CISA Secure by Design 更适合追问产品应在哪里承担安全责任、怎样提供安全默认值和可用控制，但仍不能替代具体威胁模型。

组合方式可以很朴素：先画业务和资产，再统一威胁语言；选择与系统路径相关的场景；把控制放在不可绕过的身份和执行边界；用代表性证据验证；最后把结果带回事故准备和产品设计。

面试中要主动说明框架缺口。哪套框架帮助了哪项决定，哪些事实仍依赖本公司的架构、数据规则和事件证据，必须分开。

把项目经历讲成角色级判断链

一个完整项目故事不应从“我们加了很多安全措施”开始，而应按判断链展开：业务目标、关键资产、威胁路径、身份和边界、控制选择、验证证据、事故或演练结果、后续改进。

你可以用八步结构：

1. 业务目标与关键资产；
2. 最可信的高后果失败；
3. 参与身份与租户边界；
4. 威胁路径和未确认假设；
5. 预防与最小权限控制；
6. 检测和安全验证证据；
7. 遏制与分阶段恢复；
8. 复盘、残余风险和下一轮验证。

收口时不要假装掌握所有答案。你可能仍需要当前架构、数据分类、业务损失、租户模型、合规要求、事故分工、可接受降级和证据质量。把未知项说清楚，比给出一个脱离环境的万能控制更可信。

常见问题

AI 安全工程师面试应该先画什么？

先画业务目标、关键资产、参与身份、信任边界、可能后果和威胁路径。控制设计必须能回到这张图，而不是从工具清单倒推问题。

OWASP、NIST、MITRE ATLAS 与 CISA 应该怎样组合？

可以分别用于整理应用风险、统一威胁术语、构造威胁场景和检查产品安全责任。要说明每套框架支持哪项决定，不能把任何一套当成完整标准或安全保证。

最小权限回答怎样才不空泛？

要明确身份、租户、任务、对象、动作、权限持续时间、审批规则和结果证据，并说明授权或校验无法完成时，系统怎样拒绝或进入更安全的替代路径。

AI 安全事故回答必须包括哪些环节？

至少包括遏制影响、保留证据、确认范围、处理凭证和危险动作、沟通未知项、分阶段恢复，以及把事故转成回归测试和控制改进。

参考资料

• OWASP GenAI Security Project：Top 10 for LLM Applications 2025
• NIST：Adversarial Machine Learning Taxonomy and Terminology
• MITRE ATLAS
• CISA：Secure by Design

下一步

• 了解 Interview AiBox 功能全景
• 阅读 核心面试工作流指南
• 查看 产品路线图
• 下载 Interview AiBox