AI能查案卷也能删期限，律所该防的不是模型变坏

AI早就不只是回答问题、生成文字了。现在的智能体可以检索数据库、调取文档、处理邮件、调用接口，在企业系统里直接执行动作。模型上下文协议（MCP）则给模型接外部工具和应用提供了一套标准方式。

对律所和知识产权部门来说，这些能力可以简化专利检索、文档分析、期限跟踪和行政流程。但一旦AI从"生成文字"变成"采取行动"，安全风险的性质就变了：一个错误的回答，可能变成一次有真实后果的越权操作。

今年5月，AI安全公司Irregular在模拟企业环境中测试了先进AI模型的安全能力。测试中，谷歌的Gemini意外接入了公共互联网，并与三家真实公司的系统发生了交互。这起事件暴露的关键弱点是：模拟环境与真实系统之间的隔离不够。

对企业来说，教训很直接。首要担心的未必是模型生出恶意，而是智能体用超出其预期范围的权限去执行了任务。当智能体通过MCP服务器连接业务应用时，这个区别尤其重要。

传统企业软件一般按预设规则运行。AI智能体不同，它会根据目标、上下文和可用能力动态选择工具和动作。一个MCP服务器可能开放这些功能：检索案卷、下载文档、创建笔记、发送邮件、删除期限、提交申请。

权限一旦过大，一次失误就可能触发未授权的数据访问、机密信息泄露，或对业务记录的意外改动。另一大威胁是间接提示注入：一份看似普通的PDF、一封邮件、一个网页，都可能藏着影响AI智能体的恶意指令。如果智能体既能访问机密文档，又能导出文件、对外通信，被操纵的内容就可能启动一串破坏性动作。

像"绝不访问其他客户的机密文件"这样的指令，不构成足够的安全控制。真正的访问限制必须由底层软件强制执行。

组织应当围绕"假设智能体会被攻陷"这一原则来设计AI系统。不要假设模型永远行为正确，安全架构要预判失误、误解指令、提示注入和意外的工具调用。关键问题是：如果智能体做了错误决定，它最多能造成多大破坏？答案取决于它的数据、网络、凭证和可执行功能被限制到什么程度。

围绕安全部署，可以落到这些具体做法上：

• 从只读权限起步，把文档检索分析与改记录、发邮件、删信息的功能分开。
• 避免不受限的服务账号，尽量在已认证用户的安全上下文中执行请求，每次工具调用都在服务器端校验权限。
• 在模型之外强制执行授权，应用层访问控制、角色校验、客户隔离不能只靠系统提示词。
• 关键动作要求人工批准，例如对外通信、大批量导出、修改期限、删除文档、提交正式申请。
• 限制联网，只允许连接任务明确需要的已批准服务和接口。
• 凭证与模型分离，API密钥、密码、数据库凭证、OAuth令牌留在安全的服务器端系统，尽量使用范围窄、有效期短的凭证。
• 把外部内容当作不可信数据，邮件、PDF、网页、附件和工具输出都可能含恶意指令，不能自动视为已授权命令。
• 在数据到达AI之前就执行客户隔离，检索结果、文档调取和接口请求必须遵守既有权限与保密边界。
• 记录并监控智能体活动，包括相关用户、会话、工具、动作、受影响记录、时间戳和结果，识别批量导出、异常访问量等可疑模式。
• 集中审批和管理MCP服务器，阻止未授权的扩展进入生产环境，并复查已批准工具的变更和漏洞。

对知识产权管理系统（IPMS）而言，最重要的架构决策之一是智能体如何访问机密业务数据。让智能体直连数据库或文档库，等于造出一条绕过既有应用权限和业务规则的平行访问通道。

更安全的做法是让AI通过应用既有的接口接入，例如Genese提供的GeneseConnect REST接口。在这种架构里，MCP服务器充当智能体与IP管理系统之间的中间层，请求走应用现有的认证、授权和业务逻辑，而不是直接碰数据库。链路是：用户 → AI智能体 → MCP服务器 → GeneseConnect REST接口 → Genese业务逻辑与访问控制 → 数据。

举例来说，用户让智能体汇总某客户当前的专利文件，智能体通过MCP发起检索，GeneseConnect套用该用户既有权限，只返回其有权访问的记录。即便AI因为误解或恶意提示注入试图多取文件，应用也应当拒绝未授权请求。这样，IP管理系统仍然是访问控制的权威来源。

不同动作的风险并不相同。检索一条案例参考，和导出整个档案、提交具有法律效力的申请，完全是两回事。安全集成应当区分：读操作，如检索文件、查看案件信息、获取文档列表；内部变更，如创建笔记、更新允许修改的记录；对外动作，如发邮件、导出文档、向第三方传输数据；关键动作，如删除期限、提交知识产权申请、发送有法律约束力的通信。

潜在影响越大，需要的防护就越强，可以叠加额外认证、明确的人工批准、详细审计日志和技术限制。原则很直白：用户权限决定允许什么，接口决定有哪些功能可用，MCP服务器限制AI能用哪些工具，人工批准保护特别敏感的动作。

AI智能体和MCP集成能给律所和知识产权从业者带来明显的效率收益，完全回避技术未必是答案，重点在于建立清晰、可强制执行的安全边界。智能体应当被当作一个能力强大的软件组件，而不是一个拥有不受限访问权的可信用户。

访问控制、客户保密、凭证管理、网络限制、活动监控和人工批准，都必须由周边的技术架构来落实。最重要的一条是：AI可以决定如何完成一项已获授权的任务，但它绝不能决定自己有权做什么。