AI 系统的安全信息通常散落在许多地方：模型登记表知道版本，数据平台知道训练集，代码仓库知道提示与工具，评测平台保存测试结果，事件系统记录线上故障。单个清单都可能正确，却很难回答一个跨系统问题：某个数据集出现污染后，哪些模型、应用和评测结论会受到影响？
知识图谱的价值，是把这些对象和关系连起来，并保留证据、版本和时间。它不是一张漂亮网络图，也不是把所有日志倒进图数据库，而是一套能被查询和验证的安全事实模型。
## 先从要回答的问题开始
在设计节点之前，先写出五到十个真实问题。例如：当前线上应用使用哪个模型版本？这个版本由哪些数据快照训练？哪项评测覆盖了提示注入？某次事件涉及哪些工具权限？修复措施是否已在所有部署实例生效？
问题决定图谱范围。若团队只需要追踪数据到模型的影响，先做血缘；若需要事件响应，再加入威胁技术、证据和缓解措施。没有问题清单，图谱会迅速变成昂贵的收藏品。
每个问题还要有可判定答案。可以返回“未知”，但不能把缺少关系误读成“没有风险”。
## 一套最小实体模型
可以从九类实体开始：模型版本、数据快照、训练或微调作业、提示模板、工具、应用部署、评测、事件和缓解措施。人员或团队作为责任主体单独建模。
关系使用动词表达，例如“训练于”“生成了”“部署为”“调用”“评测了”“观察于”“影响”“缓解”“替代”和“负责”。每条关系都带来源、采集时间与置信度。
模型和数据必须指向不可变版本，而不是只用名称。`customer-model-latest` 会移动，具体摘要、提交哈希或版本号才可追溯。
## 把事实、观察和推断分开
“部署 A 使用模型 B”可能来自运行配置，是可直接验证的事实；“事件 C 可能利用某种攻击技术”则可能只是分析人员的判断。两者不能用同样确定的边表示。
为断言保存证据类型、原始记录位置、采集器版本和时间。推断关系记录规则、置信度与复核状态。新证据出现时，添加新版本或结束旧关系的有效期，不要直接覆盖历史。
W3C PROV-O 用实体、活动和代理人描述溯源信息，可作为设计参考。一个训练作业是活动，数据快照与模型是实体，流水线或团队是代理人；关系说明使用、生成与责任。
## 威胁分类可以借用现成知识库
MITRE ATLAS 是面向 AI 系统对抗行为的公开知识库，包含战术、技术、缓解和案例。接入时保留其稳定标识与版本，而不是复制一段描述后失去来源。
内部事件可以链接到一个或多个 ATLAS 技术，但要记录证据。相似不等于已经确认。某次异常检索可能与提示注入相关，也可能是数据质量问题，两种假设应并存直到调查完成。
外部分类法解决共同语言，内部图谱仍要描述自己的模型、工具和部署。只导入整套 ATLAS 节点而没有内部关系，不会自动产生安全洞察。
## 用运行事件持续更新图谱
静态盘点很快过期。模型训练、评测、发布和回滚时都应发送事件，包含作业、输入、输出、版本和状态。
OpenLineage 的对象模型以 Dataset、Job 和 Run 为核心，并用 START、RUNNING、COMPLETE、FAIL 等事件描述执行过程。AI 团队可以借用这种思路，为训练、索引构建与评测增加自定义元数据。
事件先进入不可变日志，再由消费者更新图谱。这样即使图数据库重建，也能从原始事件恢复；采集错误也可以追查，而不是悄悄改变历史。
## RDF 还是属性图
RDF 用主语、谓语、宾语三元组表达关系，适合标准化语义、跨组织交换和推理。属性图让节点与边直接携带属性，常更贴近日常工程查询。
选择取决于团队已有基础设施、查询方式和互操作需求。先用几十个真实对象验证查询，再决定存储技术。不要因为“知识图谱”四个字就必须上复杂语义栈。
无论采用哪种形式，都要定义唯一标识、时间语义、关系方向、基数和必填证据。模式文件进入代码版本管理，并为迁移写测试。
## 三类高价值查询
第一类是影响分析：从受污染数据快照向外遍历，找到训练出的模型、部署与下游应用。第二类是覆盖分析：从线上模型出发，检查是否存在目标威胁技术对应的评测与缓解。
第三类是事件重建：按时间连接输入、模型、提示、工具调用、输出、告警和人工操作，找到最早异常节点。查询结果应能打开原始证据，而不是只给出一个红色圆点。
对常用查询建立期望结果测试。新增实体或模式变更后自动运行，防止边方向错误或版本丢失让答案悄悄变化。
## 数据质量决定图谱可信度
图谱最常见的问题不是数据库性能，而是身份重复、时间缺失和来源不明。同一模型可能以仓库名、服务名和显示名出现三次，导致影响范围被拆散。
建立实体解析规则，优先使用不可变 ID；无法合并时保留“可能相同”关系。为每类采集器监控事件延迟、字段缺失、重复率和无法解析比例。
不要把密钥、完整提示内容或敏感原始数据直接放进图谱。存储摘要、受控引用和必要元数据，查询者再按原系统权限打开详情。
## 从六周最小项目开始
第一周选三个安全问题。第二周定义最小实体、关系和 ID。第三周接入一个模型登记源与一个评测源。第四周导入少量威胁分类并建立证据关系。
第五周实现影响、覆盖和事件三类查询。第六周用一次历史事件演练，检查能否找到完整链路、未知项和原始证据。只有这些问题真正得到更快、更可靠的答案，再扩展数据源。
好的 AI 安全知识图谱不会宣称“风险尽在掌握”。它会准确展示我们知道什么、依据是什么、何时有效，以及哪里仍然未知。这种可追溯的不确定性，才是安全工程可以行动的基础。
## 参考资料