大模型安全接入网关LinkAI

发表于 分类于 Waline： 阅读次数： 本文字数： 2.9k 阅读时长 ≈ 3 分钟
LinkAI 是一个开源的大模型安全接入网关，支持数据脱敏、隐私保护和全链路审计。

简介

什么是 LinkAI ？

LinkAI（智链 AI 网关）是一个面向企业和个人的大模型安全接入网关。它可以在统一代理转发大模型 API 的基础上，内置数据脱敏、隐私保护、全链路审计三大安全能力，确保敏感信息不泄露、每次调用可追溯。支持 OpenAI、Anthropic、Azure、通义千问、DeepSeek 等主流提供商，三态熔断器保障高可用。

主要特点

  • 双层脱敏引擎：管理员全局强制脱敏 + 用户自定义规则，关键字/正则匹配，敏感数据在请求发出前自动替换，绝不会到达上游提供商
  • 链式哈希审计日志：每条审计日志通过哈希链关联，防篡改防删除，完整记录请求/响应，满足合规审查需求
  • 零信任令牌体系：每个成员独立令牌，分层配额管控，超额自动熔断，兼顾安全管控与灵活使用
  • 全链路容灾自愈：三态熔断器 + 健康探测 + 自动切换备用提供商，AI 调用稳定不掉线
  • 多协议原生透传：支持 OpenAI 兼容、Anthropic 原生协议，业务端零改造接入
  • 开源免费：基于 Apache License 2.0 协议开源，可免费使用和修改

应用场景

  • 企业 AI 应用保护：企业在使用 AI API 时保护内部敏感信息不泄露
  • API 配额管控：团队使用 AI API 时进行用量控制和审计
  • 多平台统一接入：统一管理多个 AI 提供商的 API，支持自动容灾切换
  • 合规审查需求：需要记录和追溯 AI 调用日志的企业和开发者

LinkAI 是一个保护 AI 调用隐私安全的企业级网关解决方案。

安装

在群晖上以 Docker 方式安装。

在注册表中搜索 link-ai，选择第五个 star7th/link-ai，版本选择 latest。

本文写作时，latest 版本对应为 sha-7aead72；如需 ARM 版本（树莓派、Apple Silicon），使用 star7th/link-ai:arm-latest

卷

在 docker 文件夹中，创建一个新文件夹 link-ai，并在其中建一个子文件夹 data

文件夹 装载路径 说明
docker/link-ai/data /app/data 存放数据

端口

本地端口不冲突就行，不确定的话可以用命令查一下

1
2
# 查看端口占用
netstat -tunlp | grep 端口号
本地端口 容器端口
3333 3333

环境

可变 值
NODE_ENV production
PORT 3333
DOCKER_SETUP true
NEXTAUTH_SECRET NextAuth.js 密钥

环境变量说明：NEXTAUTH_SECRET 用于 NextAuth.js 会话加密，生产环境建议使用随机生成的强密钥，可使用命令 openssl rand -hex 32 生成。

命令行安装

docker cli 安装

如果你熟悉命令行，可能用 docker cli 更快捷

1
2
3
4
5
6
7
8
docker run -d \
  --name=link-ai \
  --restart=always \
  -p 3333:3333 \
  -v $(pwd)/data:/app/data \
  -e DOCKER_SETUP=true \
  -e NEXTAUTH_SECRET=16775a91e5e9f2d0c6c5e6877ddd5b86d41bdefae480690253c5bbe44e32a589 \
  star7th/link-ai:latest

docker-compose 安装

也可以用 docker-compose 安装，将下面的内容保存为 docker-compose.yml 文件

1
2
3
4
5
6
7
8
9
10
11
12
13
14
version: '3.8'

services:
  link-ai:
    image: star7th/link-ai:latest
    container_name: link-ai
    restart: always
    ports:
      - "3333:3333"
    volumes:
      - ./data:/app/data
    environment:
      - DOCKER_SETUP=true
      - NEXTAUTH_SECRET=16775a91e5e9f2d0c6c5e6877ddd5b86d41bdefae480690253c5bbe44e32a589

然后通过 SSH 登录到您的群晖，执行下面的命令：

1
2
3
4
5
6
7
8
9
10
# 新建文件夹 link-ai 和 子目录
mkdir -p /volume1/docker/link-ai/data

# 进入 link-ai 目录
cd /volume1/docker/link-ai

# 将 docker-compose.yml 放入当前目录

# 一键启动
docker-compose up -d

运行

在浏览器中访问 http://<群晖IP>:3333 即可进入初始化界面。首先要创建管理员

登录成功后的主界面

提供商

首先要增加提供商

还是以 硅基流动 为例

目前硅基流动（SiliconFlow）注册就送 16 元的代金券

注册地址：

https://cloud.siliconflow.cn/i/NkUiXVhQ

和之前的不同，现在的券虽然多了2块钱，但是有有效期，不过可以用于 Pro/ 开始的模型

  • 名称：就叫 硅基流动
  • 代码：这个必须要唯一
  • 协议类型：默认的 OpenAI 就行
  • API 地址：硅基的地址是 https://api.siliconflow.cn/v1
  • API 密钥：填入硅基的秘钥
  • RPM (Requests Per Minute)：指每分钟请求数
  • TPM (Tokens Per Minute) ：指每分钟 Token 数

添加成功后，可以测试一下

令牌

添加令牌，用于管理对 LinkAI 的访问

可以限制 Token 和访问速度

  • 名称：无所谓
  • RPM限制：0 就是无限制
  • TPM限制：0 就是无限制
  • Token配额限制：0 就是无限制
  • 绑定提供商：就我们前面添加的 硅基流动

创建成功后，会生成一个令牌

之后还可以编辑限制和配额

脱敏

脱敏是 LinkAI 的特色

通过新建规则，可以对手机号、邮箱、身份证、银行卡号、IP地址等进行替换操作

添加了一些系统内置的规则

测试

用 Cherry Studio 测试，先添加提供商

输入相关信息

  • API 密钥：就是我们前面创建的令牌
  • API 地址：就是 link-ai 的地址，填入 http://<群晖IP>:3333

随便加了几个模型

网上找了一段简历进行测试，里面包含了编造的邮件、手机和身份证的信息

审计

进入审计日志，找到带脱敏的记录

看到手机命中了 2 次，邮箱命中了 1 次，但实际上第一次命中的应该是身份证，可能是因为编造的规则不正确导致的

回到首页，可以看到 Token 的用量等

注意事项

  1. 数据持久化：请务必配置卷挂载路径 /app/data，否则数据会在容器重启后丢失
  2. 端口冲突：默认端口 3333，如果被占用请自行修改
  3. 安全密钥：生产环境请务必修改 NEXTAUTH_SECRET，使用 openssl rand -hex 32 生成强密钥
  4. API Key 安全：在配置 AI 提供商时注意保护 API Key 安全，不要泄露到日志中

参考文档

智链 AI 网关 LinkAI Gateway - 保护每一次 AI 调用的隐私安全
地址：https://github.com/star7th/link-ai

star7th/link-ai - Docker Hub
地址：https://hub.docker.com/r/star7th/link-ai