← Cloudflare AI Gateway / ai-gateway / features / dlp

Настройте Data Loss Prevention (DLP)

Добавьте Data Loss Prevention (DLP) в любой AI Gateway, чтобы начать сканирование промптов и ответов AI на предмет конфиденциальных данных.

• Существующий AI Gateway

1. Войдите в Панель управления Cloudflare ↗ и выберите свой аккаунт.
2. Перейдите в AI > AI Gateway.
3. Выберите шлюз, в котором хотите включить DLP.
4. Перейдите в Firewall на вкладке.
5. Переключить Data Loss Prevention (DLP) к Включено.

После включения DLP вы можете создавать политики, определяющие порядок обработки конфиденциальных данных:

1. В разделе DLP нажмите Добавить политику.

2. Настройте для каждой политики следующие поля:

   • Policy ID: Введите уникальное имя для этой политики (например, "Block-PII-Requests")

   • Профили DLP: Выберите профили DLP для проверки. Запросы и ответы AI будут проверены по каждому из выбранных профилей. Доступные профили включают:

     • Financial Information - номера банковских карт, банковских счетов, номера маршрутизации
     • Информация, позволяющая установить личность (PII) - имена, адреса, номера телефонов
     • Государственные идентификаторы - SSN, номера паспортов, водительских удостоверений
     • Информация о здоровье - номера медицинских карт, данные пациентов
     • Custom Profiles - шаблоны данных, специфичные для организации

   • Действие: выберите действие, которое нужно выполнить при совпадении с любым из выбранных профилей:

     • Флаг - зафиксировать обнаружение в целях аудита без блокировки
     • Block - предотвратить дальнейшую обработку запроса или ответа

   • Проверить: Выберите, что сканировать:

     • Запрос - сканировать пользовательские промпты, отправляемые AI-провайдерам
     • Ответ - сканировать ответы AI-моделей перед возвратом пользователям
     • Оба - сканировать как запросы, так и ответы

3. Нажмите Save чтобы сохранить конфигурацию политики.

Вы можете создать несколько политик DLP с разными конфигурациями:

• Добавить несколько политик: нажмите Добавить политику чтобы создать дополнительные политики с другими комбинациями профилей или действий
• Включение и отключение политик: Используйте переключатель рядом с каждой политикой, чтобы включать или отключать их по отдельности, не удаляя конфигурацию
• Редактирование политик: нажмите на любую существующую политику, чтобы изменить её настройки
• Save changes: всегда нажимайте Save после внесения любых изменений, чтобы применить их

После настройки параметров DLP:

1. Отправьте через свой шлюз тестовый ИИ-запрос с образцом конфиденциальных данных.
2. Проверьте Логи AI Gateway чтобы убедиться, что сканирование DLP работает.
3. Просмотрите результаты обнаружения и при необходимости скорректируйте профили или действия.

События DLP включаются в логи AI Gateway. Когда срабатывает политика DLP, запись лога содержит подробности о совпадении наряду со стандартными полями лога, такими как провайдер, модель, токены и стоимость.

1. Перейдите в AI > AI Gateway > ваш шлюз > Журналы.
2. Выберите любую запись лога, чтобы просмотреть подробную информацию. Для запросов, в которых сработали политики DLP, запись лога включает дополнительные поля DLP:

Когда вы получаете логи через Logs API, записи журнала для запросов, где сработали политики DLP, содержат в ответе специфичные для DLP поля. Эти поля содержат те же данные о совпадениях, что отображаются на панели управления и в cf-aig-dlp заголовке ответа, включая предпринятое действие, ID совпавших политик, ID совпавших профилей и ID записей.

Подробнее о полях логов см. в Документация по логированию.

Чтобы просмотреть только запросы, связанные с DLP:

1. На Журналы вкладке выберите Add Filter.
2. Выберите Действие DLP из вариантов фильтра.
3. Выберите способ фильтрации:
   • FLAG - показывать только запросы, в которых были отмечены конфиденциальные данные
   • BLOCK - показывать только запросы, заблокированные политиками DLP

Когда срабатывают политики DLP, ваше приложение получает дополнительную информацию через заголовки ответа и коды ошибок.

Когда запрос соответствует политикам DLP (независимо от того, помечен он или заблокирован), дополнительный cf-aig-dlp заголовок с подробной информацией о совпадении:

{
  "findings": [
    {
      "profile": {
        "context": {},
        "entry_ids": ["string"],
        "profile_id": "string"
      },
      "policy_ids": ["string"],
      "check": "REQUEST" | "RESPONSE"
    }
  ],
  "action": "BLOCK" | "FLAG"
}

{
	"findings": [
		{
			"profile": {
				"context": {},
				"entry_ids": [
					"a1b2c3d4-e5f6-7890-abcd-ef1234567890",
					"f7e8d9c0-b1a2-3456-789a-bcdef0123456"
				],
				"profile_id": "12345678-90ab-cdef-1234-567890abcdef"
			},
			"policy_ids": ["block_financial_data"],
			"check": "REQUEST"
		}
	],
	"action": "BLOCK"
}

Используйте этот заголовок, чтобы программно определить, какие профили и записи DLP были задействованы, какие политики сработали и произошло ли совпадение в запросе или в ответе.

Когда DLP блокирует запрос, ваше приложение получает структурированные ответы об ошибке:

• Запрос заблокирован DLP

  • "code": 2029
  • "message": "Request content blocked due to DLP policy violations"

• Ответ заблокирован DLP

  • "code": 2030
  • "message": "Response content blocked due to DLP policy violations"

Обрабатывайте эти ошибки в своём приложении:

try {
  const res = await env.AI.run('@cf/meta/llama-3.1-8b-instruct', {
    prompt: userInput
  }, {
    gateway: {id: 'your-gateway-id'}
  })
  return Response.json(res)
} catch (e) {
  if ((e as Error).message.includes('2029')) {
    return new Response('Request contains sensitive data and cannot be processed.')
  }
  if ((e as Error).message.includes('2030')) {
    return new Response('AI response was blocked due to sensitive content.')
  }
  return new Response('AI request failed')
}

• Начните с пометки: начните с действий "Flag", чтобы понять, какие данные обнаруживаются, прежде чем переходить к блокировке
• Настройка уровней достоверности: настройте чувствительность обнаружения в зависимости от допустимого уровня ложных срабатываний
• Используйте подходящие профили: Выберите профили DLP, соответствующие вашим требованиям к защите данных
• Регулярно отслеживайте: Просматривайте события DLP, чтобы убедиться, что политики работают как ожидается
• Тщательно тестируйте: Проверяйте поведение DLP на тестовых конфиденциальных данных перед развертыванием в продакшене

Общие сведения по устранению неполадок AI Gateway см. в Устранение неполадок.

• Проверьте, что переключатель DLP включён для вашего шлюза
• Убедитесь, что выбранные профили DLP подходят для ваших тестовых данных
• Убедитесь, что уровни достоверности не установлены слишком высоко

• Просматривайте логи DLP, чтобы увидеть, какие профили сработали
• Рассмотрите возможность снижения уровней достоверности для проблемных профилей
• Протестируйте на разных образцах данных, чтобы понять закономерности обнаружения
• При необходимости скорректируйте выбор профиля

Дополнительную помощь по настройке DLP см. в Документация Cloudflare Data Loss Prevention или обратитесь в службу поддержки Cloudflare.