SAFi v1.5.0 发布：面向企业级治理 AI 的全新功能

企业级 AI 的采用正在从「能不能用」转向「敢不敢用」。SAFi v1.5.0 的发布正是对这一转变的直接回应——它不是简单堆叠功能，而是围绕一条主线展开：让组织对 AI 系统的数据访问、工具调用、人员协作和审计结果拥有可落地的控制力。

敏感数据保护：把防线放在本地

SAFi 现在会在提示词发送到外部模型提供商之前，于本地完成敏感信息筛查。检测范围覆盖社会安全号码、信用卡号、银行路由号及相关标识符。

这一设计的关键在于「本地」——敏感数据不必先离开组织的边界再被拦截。当 SAFi 阻断一条提示词时，用户会收到明确的解释，而非一个笼统的错误码。法律保留（legal hold）还会暂停相关的记录销毁与脱敏例程，确保合规场景下数据不被意外清除。

对于金融、医疗、法律等强监管行业，这种「先筛查、再外发」的路径比事后审计更具实际约束力。

企业身份与访问管理：接入现有基础设施

SAFi v1.5.0 支持组织将其接入既有的身份体系，覆盖以下能力：

• Microsoft Entra ID 单点登录
• TOTP 多因素认证
• SCIM 2.0 用户与角色配置
• 自动化账号注销
• 基于 DNS 的域名验证
• 租户感知的工作区路由

这组能力的价值在于把用户生命周期管理的责任交还给企业已有的 IAM 体系，而不是要求管理员在 SAFi 内部再维护一套平行账号。SCIM 2.0 的引入意味着用户入职、转岗、离职的权限变更可以自动化流转，减少人为遗漏带来的访问风险。

SCIM 2.0（System for Cross-domain Identity Management）是一套用于跨域身份管理的开放标准协议，由 IETF 以 RFC 7642/7643/7644 发布。它定义了标准的 REST 端点与 JSON Schema，使身份提供方（如 Entra ID、Okta）能够自动向应用系统推送用户和群组的创建、更新与停用事件。相比厂商私有的同步接口，SCIM 2.0 让「人员入职即自动开通权限、离职即自动回收访问」成为跨系统的通用能力，避免管理员在多套系统中手工维护同一份人员名册。

Microsoft Entra ID（原 Azure Active Directory）是微软的云身份与访问管理服务，广泛用于企业单点登录、条件访问策略和多因素认证。将 SAFi 接入 Entra ID 意味着用户可以直接使用既有企业凭据登录，无需在 SAFi 内单独创建密码；同时权限组、角色可以从目录服务同步过来，与原有的账号生命周期流程保持一致。

TOTP（Time-based One-Time Password，基于时间的一次性密码）是 RFC 6238 定义的多因素认证算法，通过共享密钥与当前时间窗口生成 6 位数字验证码，通常由 Authenticator 类应用生成。它不依赖短信或硬件令牌，部署成本低，适合作为企业登录的第二重校验。

安全与完整性：从部署到运行时

管理员可以使用 Verify this Install 功能，将实际部署与 SAFi 的签名发布清单进行比对，确认安装未被篡改。

该版本还新增或强化了以下措施：

• 对外部工具返回结果进行提示注入模式筛查
• SHA-256 包与依赖校验
• 更新服务器与文档解析依赖
• 以非特权 Docker 容器运行
• 从子进程环境中移除凭据
• 移除运行时动态安装 npm 包的能力

这些改动共同压缩了部署风险面。尤其值得关注的是对外部工具结果的注入筛查——当 AI 系统调用第三方工具时，返回内容本身可能成为攻击载体，这一层筛查填补了提示词安全之外的另一处缺口。

**提示注入（Prompt Injection）**是指攻击者将恶意指令隐藏在 AI 系统读取的内容中，诱导模型偏离原有任务、泄露系统提示或执行未经授权的操作。它可以分为直接注入（用户直接在输入中构造越权指令）和间接注入（恶意内容藏在网页、文档或第三方工具返回结果中，被 AI 读取后触发）。对于会调用外部工具的 Agent 来说，间接注入风险尤其突出——工具返回的文本本身就是不可信输入。SAFi 对外部工具结果做注入模式筛查，正是把防护点前移到「工具输出进入模型上下文」这一关键环节。

**签名发布清单（signed manifest）**是软件供应链完整性的常见做法：发布方用私钥对一份列出所有文件及其哈希值的清单签名，安装方用公钥验证签名和哈希，从而确认收到的软件包确实由官方发布、且未被篡改。Verify this Install 就是基于这一机制，让管理员可以随时核对当前部署与官方清单是否一致。

团队协作与审批工作流

用户可以共享对话、研究线程和知识文件夹给同事或指定群组。细粒度权限控制谁可以查看或编辑共享资源，专门的 Shared with Me 视图将协作内容与个人对话历史分开。

新的 Attention Inbox 提供统一入口，集中审查：

• 账号与角色访问请求
• 工具权限请求
• 安全通知
• 合规告警

特权工具的访问可以要求第二位授权管理员审批，从而支持职责分离（separation of duties）。申请人也可以追踪自己提交请求的状态。

这套设计把「谁在什么条件下可以调用哪些工具」变成了显式的、可审批的流程，而非默认放行。

**职责分离（Separation of Duties，SoD）**是内部控制与合规审计中的核心原则：关键操作不应由单一人员独立完成，而需要至少两人分角色参与，以降低误操作和内部舞弊的风险。在 AI 平台上，这条原则典型地体现为「特权工具双人审批」——请求者提交工具权限申请，第二位授权管理员审阅并放行，双方都不能单独完成整条链路。SoD 常见于金融、医疗、政务等受审计约束的场景，也是 SOC 2、ISO 27001 等框架重点考察的控制项。

模型目录、导出与平台更新

SAFi v1.5.0 引入了更多模型集成和稳定的无版本模型标识符。这意味着后端模型版本可以更换，而不会破坏已保存的提示词、书签或配置。

治理后的答案和已完成的对话轮次可导出为 PDF、Microsoft Word、Microsoft Excel 和 Markdown，便于将经过审查的输出移入报告、记录和运营流程。

此外，Agent 可以按日或按周计划运行并通过邮件发送摘要，摘要内容从 Markdown 转换为品牌化 HTML。SAFi 还支持渐进式 Web 应用（PWA），可在桌面和移动端的现代浏览器中安装；Service Worker 仅限静态资源，治理状态、策略定义和账本记录不会被缓存。

平台支持方面，MySQL 8.4 LTS 成为标准支持的数据库目标，同时支持 Python 3.11、3.12 和 3.13，SCIM 2.0 端点要求 HTTPS，工具集成采用经过审核的 Python 模块和标准 MCP 服务器。

**无版本模型标识符（versionless model identifier）**指的是一类稳定的逻辑名称，例如「某个通用对话模型」这样的别名，而不是绑定到具体版本号（如 GPT-4o-2024-08-06）的硬编码引用。后端可以在标识符背后替换实际模型版本，而调用方保存的提示词、书签、Agent 配置无需改动。这对企业很重要：模型供应商的版本迭代往往伴随行为、价格或能力的差异，如果标识符与版本强绑定，每次升级都意味着一次全量配置迁移和回归测试；使用无版本标识符则可以把「模型切换」变成一次可控的运维动作。

**MCP（Model Context Protocol）**是一种用于连接 AI 应用与外部工具/数据源的开放协议，定义了客户端与服务器之间的标准交互方式，使同一个工具服务器可以被不同 AI 前端复用。SAFi 采用经过审核的 Python 模块和标准 MCP 服务器，意味着工具集成遵循统一契约，既便于审计，也减少每个集成都自成一套的风险。

企业 AI 治理的务实一步

SAFi v1.5.0 的功能清单折射出一个趋势：AI 治理不再是附加在模型之上的合规标签，而是嵌入到身份、数据流、工具调用和审批链条中的工程能力。从本地敏感数据筛查到签名清单验证，从 SCIM 配置到 Attention Inbox 的职责分离，这些功能共同回答了一个问题——组织如何在享受 AI 能力的同时，对「AI 系统如何访问数据、使用工具、与人协作并产生可审计结果」保持实际控制。

对于正在评估企业级 AI 平台的组织，建议在测试环境中验证升级路径，并对照发布说明逐项确认自身合规要求的覆盖情况。