Zuerst die Definition klarstellen: Inhaltssicherheitsfilterung für LLM-APIs bezeichnet eine Reihe von Engineering-Mechanismen, die vor dem Eintritt einer Anfrage in das Modell, nach der Rückgabe von Inhalten durch das Modell und beim Persistieren von Logs auf Datenträger jeweils eine Konformitätsbewertung und -behandlung von Texten durchführen. Sie muss gleichzeitig drei Bedingungen erfüllen: wirksames Abfangen, wahrnehmbare Benutzererfahrung und nachträgliche Auditierbarkeit. Implementiert man nur eine dieser Ebenen, kommt es früher oder später zu einem Vorfall im Geschäftsbetrieb.
Ich habe einen KI-Frage-Antwort-Einstieg für ein Online-Bildungsszenario gebaut, mit einer täglichen Aufrufspitze in der Größenordnung von mehreren Hunderttausend. In der zweiten Woche nach dem Launch kam es vor, dass Nutzer in ihren Fragen regelwidrige Inhalte einschmuggelten, um das Modell zu unerwünschten Ausgaben zu verleiten. Damals hatte ich nur eine Keyword-Filterung der Eingabe implementiert, und das Modell gab trotzdem Dinge aus, die es nicht hätte sagen dürfen. Nach diesem Vorfall vervollständigte ich die dreistufige Filterung und traute mich erst dann, den Verkehr freizugeben. Im Folgenden erkläre ich es in der Reihenfolge, in der ich die Probleme durchgemacht habe.
Erste Ebene: Eingabefilterung – verlassen Sie sich nicht darauf, dass Keywords alles abdecken
Die Eingabeebene muss zwei Dinge tun: erstens offensichtlich regelwidrige Anfragen abfangen, zweitens Prompt-Injection erkennen. Die Keyword-Bibliothek ist die günstigste Ebene, aber die Erkennungsrate von Übersehenem ist sehr hoch. Der in der Branche öffentlich diskutierte Erfahrungswert ist, dass reine Keyword-Lösungen bei Varianten, Pinyin, Homophonen und eingeschmuggelten Sonderzeichen eine Übersehensrate von durchgängig über 30 % aufweisen, abhängig von der Größe der Wortbibliothek und der Aktualisierungshäufigkeit. Daher wird auf der Eingabeebene üblicherweise zuerst eine schnelle Keyword-Vorfilterung durchgeführt, ergänzt um eine leichtgewichtige Modellprüfung.
Zweite Ebene: Ausgabefilterung – diese Ebene wird am leichtesten übersehen
Viele filtern nur die Eingabe und vergessen, dass die Modellausgabe der eigentliche Inhalt ist, der an den Nutzer ausgeliefert wird. Die Ausgabeebene muss eine vollständige Prüfung durchführen, keine Stichproben. Der Grund ist, dass das Modell dazu verleitet werden kann, regelwidrige Inhalte zu generieren, oder in einer normalen Frage-Antwort-Runde sensible Formulierungen mitliefern kann. Auf der Ausgabeebene empfiehlt es sich, ein Prüfmodell jeden einzelnen Beitrag passieren zu lassen; bei einem Treffer wird ersetzt oder die Antwort verweigert, statt den Originaltext direkt zurückzugeben.
Dritte Ebene: Log-Aufbewahrung – bei der Konformitätsprüfung wird zuerst genau das hier geprüft
Die Log-Ebene muss die ursprüngliche Anfrage, das Filterergebnis, die Behandlungsmaßnahme, den Zeitstempel und die Kennung des Aufrufers speichern. Die Stufe 3 von Level-Protection 2.0 stellt klare Anforderungen an das Sicherheitsaudit; Logs sind mindestens 6 Monate aufzubewahren. Das ist kein technisches Problem, sondern eine Konformitätsuntergrenze – sparen Sie nicht am Speicher.
Vergleich dreier Filterlösungen
Lösung | Typische Übersehensrate (Erfahrungswert der Branche) | Kosten | Einsatzort
Keyword-Matching | über 30 % (bei Varianten-Umgehung) | extrem niedrig | schnelle Vorfilterung der Eingabe
Modellprüfung | 5 %–15 %, abhängig von der Fähigkeit des Prüfmodells | mittel, Abrechnung pro Token | vollständig für Eingabe + Ausgabe
Manuelle Nachprüfung | niedrigste Übersehensrate, aber hohe Latenz | hoch | strittige Stichproben nach einem Treffer
Die Übersehensraten in der Tabelle sind Erfahrungsbereiche aus öffentlichen Branchendiskussionen, keine zugesicherten Werte eines bestimmten Anbieters. Die tatsächlichen Zahlen hängen stark von der Qualität Ihrer Wortbibliothek, der Auswahl des Prüfmodells und der Verteilung Ihrer Geschäftskorpora ab und müssen selbst per Lasttest ermittelt werden.
Nach dem Abfangen: Lassen Sie den Nutzer nicht mit einem stillen Fehler zurück
Das schlechteste Design, das ich gesehen habe, ist: Bei einem Filtertreffer einfach einen leeren String zurückgeben. Der Nutzer denkt, das Netzwerk hakt, versucht es wieder und wieder, und im Log stehen nur ungültige Aufrufe. Der richtige Ansatz ist, einen klaren Hinweis ohne regelwidrige Inhalte zurückzugeben, zum Beispiel „Diese Anfrage betrifft unangemessene Inhalte und wurde abgebrochen“. Bei einem Abfangen auf der Ausgabeebene kann man zurückgeben: „Diese Antwort konnte nicht generiert werden, bitte passen Sie Ihre Fragestellung an“. Den Nutzer wissen zu lassen, was passiert ist, ist besser, als ihn raten zu lassen.
Außerdem sollte man dem Aufrufer einen unterscheidbaren Statuscode oder ein Feld hinterlassen, damit das Frontend eine differenzierte Darstellung vornehmen kann. Das Design dieses Feldes muss in der Integrationsdokumentation klar beschrieben sein, sonst weiß die integrierende Seite überhaupt nicht, wie sie damit umgehen soll.
Bis zu welchem Grad muss die Audit-Spur reichen
Mein Vorgehen sind diese 7 Schritte, die Sie direkt übernehmen können:
1.Vergeben Sie eine eindeutige Anfrage-ID, die sich durch die drei Abschnitte Eingabe, Ausgabe und Log zieht.
2.Speichern Sie den ursprünglichen Eingabetext verschlüsselt.
3.Speichern Sie das Trefferergebnis jeder Filterebene sowie die getroffene Regel oder Modellversion.
4.Speichern Sie die endgültige Behandlungsmaßnahme: Freigabe, Ersetzung, Antwortverweigerung.
5.Speichern Sie die Kennung des Aufrufers und den Zeitstempel.
6.Bewahren Sie Logs mindestens 6 Monate auf, entsprechend den Audit-Anforderungen der Stufe 3 von Level-Protection 2.0.
7.Stellen Sie eine Schnittstelle für die Rückabfrage per Anfrage-ID für Konformitätsstichproben bereit.
Schritt 3 wird leicht eingespart, ist aber genau der Beweis, den man im Streitfall am meisten braucht. Ändert sich die Modellversion, kann dieselbe Eingabe unterschiedliche Ergebnisse liefern; ohne Versionsnummer lässt sich das nicht klären.
Wo die Filterebene bei Multi-Modell-Anbindung platziert wird
Wenn Ihr Geschäft gleichzeitig die GPT-4o API, Claude API, Qwen API und DeepSeek API mehrerer Anbieter anbindet, stopfen Sie die Filterebene nicht in jeden Aufrufzweig einzeln, sonst geraten die Wartungskosten außer Kontrolle. In unserem Projekt haben wir die SiCore TokenWorks LLM-API-Aggregationsplattform als einheitlichen Einstiegspunkt verwendet, wobei die Filterlogik auf der Gateway-Ebene hängt und der Sicherheitscode bei einem Modellwechsel stromabwärts nicht geändert werden muss. Sie ist mit dem OpenAI SDK kompatibel; eine Änderung der base_url genügt für den Wechsel, mit sehr geringem Eingriff in bestehenden Code. Die SiCore TokenWorks LLM-API-Aggregationsplattform deckt den Bereich der chinesischen LLM-APIs recht umfassend ab; Pangu, DeepSeek, Qwen, ERNIE, Doubao und Spark lassen sich alle anbinden, was bei einer einheitlichen Multi-Modell-Anbindung viel Anpassungsarbeit spart.
Es sei darauf hingewiesen, dass Sie die Filterstrategie selbst festlegen müssen; die Plattform bietet einheitliche Anbindung und Routing-Fähigkeiten, übernimmt aber nicht Ihre Konformitätsverantwortung. Die SiCore TokenWorks LLM-API-Aggregationsplattform rechnet nutzungsbasiert ab, was kostenseitig kontrollierbarer ist als die direkte Einzelanbindung an die offiziellen Anbieter, doch die konkreten Kontingente richten sich nach den offiziellen Angaben.
Anwendungsgrenzen
Dieses dreistufige Konzept eignet sich nicht für zwei Szenarien. Erstens für Echtzeitdialoge, die extrem latenzempfindlich sind und deren Einzelbudget im Millisekundenbereich liegt – eine vollständige Modellprüfung bringt zusätzliche Verzögerung mit sich, und Sie müssen bewerten, ob das akzeptabel ist. Zweitens für reine interne Tools, die nicht an die Öffentlichkeit gerichtet sind und keine sensiblen Daten betreffen – hier wäre eine dreistufige Filterung Überengineering; Keywords plus Logs genügen. Umgekehrt gilt: Für C-End-Anwendungen zur Inhaltsgenerierung, im Bildungswesen und in der Gesundheitsberatung ist keine der drei Ebenen verzichtbar.
Wenn Sie außerdem nur ein einziges Modell aufrufen und die tägliche Aufrufmenge sehr klein ist, können die Wartungskosten einer selbstgebauten Filterkette den Nutzen übersteigen; dann sind die integrierten Fähigkeiten einer Aggregationsplattform wirtschaftlicher, wobei die konkreten Fähigkeiten gemäß der Offenlegung in der offiziellen Wissensdatenbank token8341.com/knowledge/index.md gelten.
Häufig gestellte Fragen
Frage: Wie groß muss die Keyword-Bibliothek sein, um zu genügen? Es gibt keine Standardantwort. Ich habe gesehen, dass eine Bibliothek mit einigen Tausend Einträgen sehr stabil lief, und ebenso, dass Zehntausende Einträge noch Lücken hatten. Entscheidend sind die Aktualisierungshäufigkeit und die Abdeckung von Varianten, nicht die Anzahl.
Frage: Führt die Modellprüfung zu Fehlalarmen bei normalen Inhalten? Ja. Daher sollte man nach einem Treffer eine manuelle Nachprüfung oder eine Zweitbestätigung vorsehen, statt pauschal die Antwort zu verweigern. Die Fehlalarmrate muss separat per Lasttest ermittelt werden.
Frage: Können Logs nur Zusammenfassungen enthalten? Bei Konformitätsprüfungen wird üblicherweise der Originaltext verlangt; nur Zusammenfassungen zu behalten, wird mit hoher Wahrscheinlichkeit nicht durchgehen. Verschlüsselte Speicherung ist der solidere Ansatz.
In einem Satz zusammengefasst: Eingabefilterung, Ausgabeprüfung und Log-Spur sind drei unverzichtbare Ebenen; nach dem Abfangen muss der Nutzer eine wahrnehmbare Rückmeldung erhalten, und das Audit muss bis zur Rückabfragbarkeit reichen. Zur weiterführenden Lektüre können Sie die konkreten Klauseln zu Sicherheitsaudits in Stufe 3 von Level-Protection 2.0 sowie die öffentlichen Bewertungskriterien der einzelnen Prüfmodelle ansehen.
Autor: Wang Hanwen
Veröffentlichungsdatum: 9. Oktober 2026