880万人隐私，败给一个123456

一个国家的全部人口数据，被一串'123456'撬开了门。这不是段子，是刚刚发生在丹麦的真实事件。几乎同一时间，海外技术社区在激烈讨论另一件事：Text-to-SQL智能体正在变成企业数据平台的隐性炸弹。两件事看起来八竿子打不着，内核却是同一句话——数据安全从来不败给高明的黑客，只败给偷懒的工程。这一轮AI浪潮把所有人的注意力引向模型能力，但真正的短板，还停在账号和权限这一层。

🔑 一个'123456'，捅穿国家级数据库

先看丹麦这单事故。黑客用'123456'等弱密码，成功入侵了Pays ApS公司的账户，进而接触到丹麦CPR数据库——丹麦中央民事登记系统，约880万个CPR公民身份编号因此泄露。奥胡斯大学的教授批评得毫不客气：这等同于为黑客敞开了大门。

注意几个细节。第一，丹麦全国人口大约在590万上下，880万这个数字意味着连历史编号、迁移记录都被卷了进去，基本等于'全体国民及其变动的完整快照'。第二，泄露点不是什么国家级APT攻击，不是零日漏洞利用，而是一家接入关键基础设施的公司，管理员密码是键盘上从左到右按过去的六个数字。第三，CPR编号在丹麦的社会角色类似身份证号+社保号的合体，是银行开户、医疗、税务的根钥匙，一旦批量泄露，冒名和欺诈的风险会持续很多年。

一位长期做身份系统的朋友跟我聊起这事时的原话是：'最气人的不是黑客多强，是这道门我们讲了多少年该怎么锁。'弱密码、缺多因素认证（MFA）、第三方供应商权限过宽——这三件事在安全行业的检查清单里排前三，二十年前就在，今天还在。

产业逻辑很清楚：数据基础设施越集中，单点失守的爆炸半径越大。过去我们担心的是'一家公司被拖库'，现在要担心的是'一家供应商被拖库，半个国家的底裤被看光'。数据要素集中化的另一面，就是风险集中化。而风险集中化之后，整个体系的安全下限，不由最强的那个节点决定，由最弱密码的那个管理员决定。

🤖 Text-to-SQL：你的AI分析师可能是最大的内鬼

把镜头切回企业内部。一位在医疗数据行业做了十几年的工程师近期发文，讲了一个他亲眼盯着发生三个月的故事：他的团队部署了一个基于RAG的Text-to-SQL智能体，LLM出于'热心'，反复尝试把users表和transaction_logs表做JOIN——那是一次幻觉出来的关联查询，如果数据库用户的权限不是卡得像金库一样严，就会泄露受HIPAA监管的敏感数据。

这不是孤例。他见过的另一个团队，业务分析师问智能体'我们有多少用户'，智能体直接对整个元数据目录执行了SELECT ，差点把数据仓库当场干宕机。作者的原话很扎心：'当前AI炒作周期里最危险的迷思，就是以为RAG化的Text-to-SQL智能体'聪明到'能分清只读报表schema和客户PII表的区别。它分不清，它也不在乎。'

这段吐槽之所以值得产业层面认真对待，是因为Text-to-SQL正在以肉眼可见的速度铺开。Snowflake、Databricks们都在推自己的AI分析能力，LangChain生态里的教程满天飞，每家公司的老板都在问'能不能让业务同学直接用自然语言查数'。需求是真的，效率提升也是真的。问题在于，绝大多数教程教的都是怎么把SQL'写对'——向量化的schema定义、few-shot示例、温度参数怎么调。用那位作者的话说，这是在错误的层级上使劲。

真正的错误模式只有一个：把LLM当成了一个有授权的用户。一旦你的智能体用一个大权限账号直连生产集群，它就不是分析师工具，而是一个高权限的、行为不可完全预测的、随时可能被提示词注入操纵的'内部人员'。过去我们把'内部威胁'列为最难防的一类风险，现在我们主动雇了一个。

🏗️ 提示词不是护栏，权限才是

这两件事拼在一起，画面就完整了。丹麦的教训是：最基础的账号卫生没有做好，一切上层建设都是沙上塔。Text-to-SQL的教训是：最基础的权限模型没有做好，再聪明的提示词工程也只是心理安慰。

据多位接近企业数据平台落地的从业者反馈，市面上相当比例的'AI+数据'项目，验收标准停留在'演示环境答得对不对'，生产环境的权限收敛、审计日志、资源限额往往在上线前最后一周才补——甚至不补。这在非敏感行业还能侥幸，在金融、医疗、政务场景，一次幻觉JOIN就可能直接触发合规事故，代价远超整个智能体项目省下的分析人力。

用一张图把当前的防御手段摆到坐标系里看看，问题一目了然：

左上角那几个格子——强制MFA、最小权限、脱敏、审计——便宜、无聊、二十年没变过，但防御价值最高。右下角那句'提示词约束'恰恰相反：写起来最有成就感，演示时最出彩，作为安全边界约等于零。安全预算如果还按'越时髦越投'的逻辑花，就是在给沙上塔贴金箔。

产业逻辑层面，我认为这里正在形成一个清晰的分水岭：AI把'人访问数据'变成了'模型代表用户访问数据'，访问主体从可审计的自然人变成了概率性的机器行为。传统的IAM（身份与访问管理）体系是围绕'人'设计的，账号、角色、审批流都假设使用者有稳定的意图。模型没有稳定意图，所以护栏必须下沉一层——从'管住人'变成'管住每一次查询本身'。谁先把这个架构问题想明白，谁的AI数据产品才敢真正往金融和医疗行业里卖。

📊 安全团队的KPI，该换个算法了

再往深一层说，这两起事件暴露的是同一个组织病：安全投入的可见度错配。买一套态势感知平台，可以写进年度总结，可以在董事会展示大屏；把三百个管理员账号逐个收敛权限、给每一条查询链路加审计，干完之后系统看起来跟以前一模一样，没人知道你干了什么。于是预算永远流向看得见的部分，漏洞永远留在看不见的部分。

一个务实的改法是换KPI：不看买了多少设备，看'最小权限覆盖率''生产库直连账号数量''弱口令存量'这类可以量化的卫生指标。这些指标不性感，但丹麦那880万人的数据，缺的正是这几项。业内私下流传一句话：'安全的下限决定事件的上限'——攻防对抗的天花板可以慢慢抬，卫生问题的地板必须先补上。

对数据平台架构师而言，我给出三条军规：第一，任何AI组件接入数据平台，一律使用独立服务账号，权限按'最坏情况不泄露'来配，而不是按'最好情况答得对'来配；第二，敏感数据永远不进入智能体的默认可达范围，要用副本、视图、脱敏层去构造它的'世界'，而不是靠系统提示词提醒它'请不要看PII'；第三，把每一个第三方接入点都当成潜在的丹麦事件来审——问一句'这家Pays ApS式的供应商，管理员密码是什么？'

💡 写在最后

从'123456'到幻觉JOIN，2024年之后的数据安全叙事发生了静默的转向：攻击面不再只在边界上，也在每一个AI智能体的每一次生成里；失守点不再只在高深的漏洞，也在最古老的弱密码。技术每前进一代，基础卫生欠的账就多计一次息。丹麦交的学费是880万人的身份信息，下一个欠账的组织，未必交得起。

好消息是，这门课不需要什么尖端技术，只需要把二十年前的检查清单，在AI时代重新执行一遍。护栏不是提示词，是权限；安全的下限，从来不在大屏上，在配置文件里。