本卡為 FR-122 母案。建 AI 閘道（jedi-ai-gateway 套件）＋檔案沙箱（guidant-sandbox 容器）＋背景工作行程（guidant-worker），把小幫手、動態儀表板、證據自動分類三支 AI 功能全部接上共用的資安守門與稽核。第一階段拆為 6 個子需求、21 張子任務卡，本卡只列規劃，實作在子卡。子卡清單在末段（建完後補）。

這系列在做什麼（白話）

現在小幫手、儀表板、證據分類這三支功能，各自直接打外部 AI（Anthropic／OpenAI／Google），沒有共用的「安檢」與「紀錄」。這次要蓋一道共用的「AI 閘道」——所有要送去外部 AI 的內容，都先經過同一道門：先掃有沒有密碼／個資，再判斷有沒有人想偷改 AI 的行為（提示注入，prompt injection，指有心人把指令藏在資料裡想蓋過系統原本的指示），才真的打出去，最後把結果、花費、耗時都記下來。

另外，使用者上傳的檔案（例如要拿去分類的合規證據）可能藏著看不見的惡意指令（白色文字、極小字、零寬字元——肉眼看不到但程式讀得到的字）。今天這些檔案是在能連外網、帶著 AI 金鑰的環境裡直接拆開處理，等於「打開陌生包裹的房間，鑰匙插在門上還能打電話出去」。這次把「拆檔案」搬進一個沒有鑰匙（無 AI 金鑰）、也不能打電話出去（不能連外網）的隔離房間（容器）處理，拆完的內容才交給閘道去問 AI。

最後，證據分類這種要處理很多檔案、跑很久的工作，今天是在網站的 API 行程裡直接跑，重啟網站服務會把它中斷。這次把這類長工作搬到一支獨立的背景工作行程（guidant-worker），送出後立刻回覆「已受理」，工作在背景跑，網站重啟也不受影響。

為什麼要做

討論稿（discussion.md）系統性盤點了三支 AI 功能的資安問題，共 16 項（🔴 危急 4、🟠 高 6、🟡 中 4、🟢 低 2），對照 OWASP（國際權威資安組織）LLM Top 10 2025 與歐盟 AI 法案第 50 條。最嚴重的四項：① 證據檔可藏隱形指令操縱分類結果；② 使用者輸入與系統指令混在同一段訊息可蓋掉系統指令；③ 密碼／私鑰／個資沒攔截就送外部 AI；④ 分類理由把證據原文整段抄出來存 DB／上雲端硬碟。決策者裁示優先序：資安先解、成本其次；架構要共用、預留 DDD 分層與六邊形架構（核心只定義需要什麼介面，外部技術接上去實作，方便未來換元件）；有現成的開源工具就不要自己重造。

首腦讀完後的重點（關鍵設計決策）

• D1 閘道與沙箱的 client 放同一支套件 jedi-ai-gateway（內分 extract 拆檔 client 與 complete 打 AI 兩模組），不拆兩支——兩者共用型別，worker 兩個都要用。
• D2 分類容器改純拆檔（不再打 AI、不再帶金鑰）放進第一階段——藏字操縱與容器可任意連外網兩項危急問題，都是「拆不可信檔案」跟「拿著金鑰連外網」共處一室造成的，折衷方案等於只解決一半。
• D3 PDF 視覺模式（把整頁當圖片給 AI 看，防止用假字型騙過文字擷取）只在偵測到疑似注入時才切換，不全面開——因為視覺模式的 AI 花費是文字模式的 3～5 倍。
• D4 守門規則放 YAML 規則檔（不是寫死在程式裡），新增規則不用改程式、不用重編譯（Nuitka，落地版打包用的編譯器），可以單獨更新。
• D5 ai_call_log（AI 呼叫紀錄表）預設只存內容的指紋碼（hash）與字數，不存原文；租戶可以選擇開啟「完整保留 N 天」，到期自動清除——稽核紀錄本身不能變成新的個資外洩風險點。
• D6 worker（背景工作行程）第一階段**只搬「證據分類」**這個工作，因為它是唯一「拆不可信檔案＋打 AI」的長工作；SSP 匯入、框架 PDF 匯入等其他長工作留到第二階段，避免第一階段範圍失控。
• D8 判斷「這段文字像不像在對 AI 下指令」用 Meta 出的開源模型 Prompt Guard 2（比另一款開源方案準確度高，商用免費但要在產品說明標「Built with Llama」）。
• D9 統一呼叫各家 AI（Anthropic／OpenAI／Google／Ollama）用開源套件 LiteLLM，以 library 形式直接載入程式（不是另外起一個服務），因為我們的守門與稽核都要自己做，多一個服務只會重疊。
• D11 DEV 開發環境才架設 Langfuse（AI 呼叫的除錯／觀測平台）方便開發時看清楚每次呼叫的細節；出貨包不含，稽核資料留在自家資料庫受租戶隔離（RLS）保護。
• 成本三題（第三階段，本次不實作，先知道方向）：計量單位用「點數」（例如小幫手聊一次 1 點、分類一份證據 5 點，方便客戶理解與報價）；原廠 AI 金鑰用「試用額度」模式（用完引導客戶換自己的金鑰，不是無上限燒錢）；額度用滿時只擋 AI 呼叫，其他功能與歷史資料照常顯示。
• 採用開源元件：LiteLLM（MIT 授權）、Presidio（MIT 授權，微軟出的機敏資料偵測工具）、Prompt Guard 2（Llama Community License，需標示出處）、spaCy（MIT 授權，Presidio 依賴的自然語言處理套件）、ONNX Runtime（MIT 授權，跑 Prompt Guard 2 模型用）。

怎麼拆