一次AI数字人流水线的安全加固复盘

背景

流程：上传真人视频素材 → HeyGen生成数字人形象 → TensorFlow做口型同步和表情驱动 → 渲染输出 → 存云存储。看似简单，生产环境坑不少。

API Key管理

同事曾把HeyGen的API Key明文写进config.yaml并推到GitLab。后来统一接入Vault，密钥动态拉取，代码只留占位符：

heygen:
  api_key: ${vault:secret/heygen#api_key}
  ttl: 3600

云端推理安全

业务方想用裸机Docker省钱，直接否掉——容器逃逸、内核共享、补丁管理都是风险。最终上云厂商容器服务。TensorFlow模型做了两件事：权重从独立对象存储拉取，不打包进镜像；加载前做SHA256校验防供应链投毒：

import hashlib

def verify_model(model_path, expected_hash):
    sha = hashlib.sha256()
    with open(model_path, 'rb') as f:
        for chunk in iter(lambda: f.read(8192), b''):
            sha.update(chunk)
    if sha.hexdigest() != expected_hash:
        raise RuntimeError("Model hash mismatch")

数据流敏感信息

人脸和声音属个人敏感信息，加了两道关卡：原始素材进入HeyGen前先像素化人脸，只保留姿态信息；云存储默认私有，对外分发走签名临时URL，15分钟过期。

曾因测试桶ACL误配成公共读出了一身冷汗。现在CI里跑合规检查脚本，每次变更都扫所有存储桶ACL。

总结

跑了一个多月整体稳定。最明显的变化是团队对密钥管理和云配置的敏感度上来了。安全这东西，平时不觉得，出事就晚了。