基于知识图谱和大语言模型的数据安全风险检测方法、系统、设备及介质与流程

本技术涉及安全风险检测，尤其涉及一种基于知识图谱和大语言模型的数据安全风险检测方法、系统、设备及介质。

背景技术：

1、在当前的数据安全防护领域，静态检测方法仍是主流技术路径之一。这类方法主要依托已知攻击特征库，通过比对网络流量、系统操作等数据与特征库中的条目，识别潜在安全风险。同时，随着数据安全事件频发，行业内逐渐形成了基于历史案件复盘的风险防控思路：对已发生的数据安全风险案件进行深度分析与溯源，提炼风险行为模式，构建相应的模型库，进而以此为依据挖掘、识别潜在风险对象，这已成为数据安全治理的核心业务方向。

2、然而，现有技术存在明显局限性。静态检测方法依赖已知攻击特征，面对不断演变的内部威胁与隐匿攻击时，往往因特征库未及时更新而难以识别，导致大量新型风险漏判。而基于历史案件的风险防控思路，多是对单一案件经验的总结，缺乏对复杂业务场景中多对象关联关系的深度挖掘，难以应对跨业务、多环节串联式的复杂风险行为，在风险预判的精准性和全面性上存在不足。

技术实现思路

1、本技术提供一种基于知识图谱和大语言模型的数据安全风险检测方法、系统、设备及介质，以解决现有静态检测方法依赖已知攻击特征，难以识别不断演变的攻击、基于历史案件的风险防控思路，缺乏对复杂业务场景中多对象关联关系的深度挖掘的问题。

2、第一方面，本技术提供了一种基于知识图谱和大语言模型的数据安全风险检测方法，方法包括：

3、基于数据仓库中的业务对象之间的关联关系，构建业务对象知识图谱；基于数据仓库中的技术元数据之间的关联关系，构建元数据知识图谱；其中，业务对象包含技术元数据；

4、获取用户输入的数据安全判断描述，利用llm从数据安全判断描述中提取预设关键模型特征、风险判定规则、规则顺序；

5、基于风险判定规则对应的图谱操作算子、预设关键模型特征对应的技术元数据、规则顺序，利用元数据知识图谱和预设图谱算子库，生成数据安全判断描述对应的检测流程，获得检测流程对应的风险模型dsl文件；其中，当图谱操作算子的调用参数为业务对象关联的业务对象时，调用对应的业务对象知识图谱，获得关联的业务对象；

6、通过风险模型执行引擎执行风险模型dsl文件，基于风险模型dsl文件中的计算节点的顺序，依次执行计算节点对应的图谱操作算子，最终获得预设疑似风险对象及关联的证据链数据。

7、在本技术的一种实现方式中，在最终获得预设疑似风险对象及关联的证据链数据之后，方法还包括：

8、调用大语言模型，将输出的获得预设疑似风险对象及关联的证据链数据与风险判定规则进行语义比对，获得校验检测结果；

9、将校验通过的结果直接推送至预警模块；

10、将校验未通过的结果，获取大语言模型反馈的匹配差异与错误原因，生成包含匹配差异与错误原因的错误详情，反馈至风险模型执行引擎，触发模型逻辑的自动修正与重组程序。

11、在本技术的一种实现方式中，在将校验通过的结果直接推送至预警模块之后，方法还包括：

12、针对校验通过的结果，在前端界面进行预设疑似风险对象及关联的证据链数据的预警，并同步渲染风险模型执行引擎执行的拓扑结构图。

13、在本技术的一种实现方式中，基于数据仓库中的业务对象之间的关联关系，构建业务对象知识图谱；基于数据仓库中的技术元数据之间的关联关系，构建元数据知识图谱，具体包括：

14、从数据仓库中抽取业务对象对应的实体节点；其中，业务对象对应的实体节点至少包括：人员、设备终端、存储介质、载体、网络节点、机构组织、文件实体、行为操作、系统日志、安全事件、网络流量；从数据仓库中抽取业务对象之间的关联关系，将关联关系作为实体节点之间的边；其中，业务对象对应的边至少分为：从属关系、拥有关系、关联引用关系；

15、基于业务对象对应的实体节点和边，构建业务对象知识图谱；

16、从数据仓库中抽取各业务对象对应的技术元数据，抽象为技术元数据对应的实体节点；技术元数据对应的实体节点至少包括：数据表节点、字段节点、业务术语节点、数据域节点、指标节点、字典节点；

17、从数据仓库中抽取技术元数据之间的关联关系，将关联关系作为实体节点之间的边；技术元数据对应的边至少分为：结构关系、血缘关系、语义关联；

18、基于技术元数据对应的实体节点和边，构建元数据知识图谱。

19、在本技术的一种实现方式中，获取用户输入的数据安全判断描述，利用llm从数据安全判断描述中提取预设关键模型特征、风险判定规则、规则顺序，具体包括：

20、llm 对数据安全判断描述进行语义解析，从数据安全判断描述中提取技术元数据作为预设关键模型特征；

21、llm 以预设关键模型特征为基础，匹配预设的风险判定规则模板库，通过语义相似度计算与风险判定规则匹配度，识别出匹配度大于预设阈值的风险判定规则；其中，风险判定规则与图谱操作算子存在预设绑定关系；

22、获取风险判定规则间的预设逻辑依赖与预设执行约束，生成规则顺序。

23、在本技术的一种实现方式中，基于风险判定规则对应的图谱操作算子、预设关键模型特征对应的技术元数据、规则顺序，利用元数据知识图谱和预设图谱算子库，生成数据安全判断描述对应的检测流程，获得检测流程对应的风险模型dsl文件，具体包括：

24、基于预设风险判定规则与图谱操作算子的绑定关系，将提取的预设关键模型特征映射至元数据知识图谱中的对应实体节点；结合规则顺序中定义的执行约束，动态组装图谱操作算子序列，形成初步的有向无环图结构，作为检测流程；利用检测流程的逻辑骨架，获得结构化算子链；其中，算子链携带元数据实体标识与参数上下文；

25、在算子链基础上，调用预设图谱算子库中的标准化接口，将每个算子转换为可序列化的指令单元，并嵌入规则顺序；

26、将所有指令单元编码为结构化json格式的流程描述，形成风险模型dsl文件。

27、在本技术的一种实现方式中，通过风险模型执行引擎执行风险模型dsl文件，基于风险模型dsl文件中的计算节点的顺序，依次执行计算节点对应的图谱操作算子，最终获得预设疑似风险对象及关联的证据链数据，具体包括：

28、风险模型执行引擎加载风险模型dsl文件，解析结构中的算子链，依据算子链中的计算节点顺序与参数上下文，逐个调用对应的预设图谱操作算子；

29、风险模型执行引擎获取每个算子涉及的预设关键模型特征绑定的实体节点，利用业务对象知识图谱形成初步的元数据关联路径；当算子参数指向业务对象时，引擎自动切换至业务对象知识图谱，通过边关系定位关联的实体节点；

30、在完成单节点图谱操作后，引擎将各算子输出的中间结果按规则顺序进行聚合，构建具备时序与语义一致性的数据流；

31、风险模型执行引擎将所有中间结果按预设风险模式进行关联聚类，识别出符合预设判定规则的预设疑似风险对象；同时，风险模型执行引擎自动将每个预设疑似风险对象与触发的图谱操作、关联的技术元数据实体节点、业务对象实体节点及执行时间戳进行绑定，形成证据链数据。

32、第二方面，本技术提供了一种基于知识图谱和大语言模型的数据安全风险检测系统，系统包括：

33、构建模块，用于基于数据仓库中的业务对象之间的关联关系，构建业务对象知识图谱；基于数据仓库中的技术元数据之间的关联关系，构建元数据知识图谱；其中，业务对象包含技术元数据；

34、提取模块，用于获取用户输入的数据安全判断描述，利用llm从数据安全判断描述中提取预设关键模型特征、风险判定规则、规则顺序；

35、获得模块，用于基于风险判定规则对应的图谱操作算子、预设关键模型特征对应的技术元数据、规则顺序，利用元数据知识图谱和预设图谱算子库，生成数据安全判断描述对应的检测流程，获得检测流程对应的风险模型dsl文件；其中，当图谱操作算子的调用参数为业务对象关联的业务对象时，调用对应的业务对象知识图谱，获得关联的业务对象；

36、执行模块，用于通过风险模型执行引擎执行风险模型dsl文件，基于风险模型dsl文件中的计算节点的顺序，依次执行计算节点对应的图谱操作算子，最终获得预设疑似风险对象及关联的证据链数据。

37、第三方面，本技术提供了一种基于知识图谱和大语言模型的数据安全风险检测设备，设备包括：

38、处理器；

39、以及存储器，其上存储有可执行代码，当可执行代码被执行时，使得处理器执行如上述任一项的一种基于知识图谱和大语言模型的数据安全风险检测方法。

40、第四方面，本技术提供了一种非易失性计算机存储介质，其上存储有计算机指令，计算机指令在被执行时实现如上述任一项的一种基于知识图谱和大语言模型的数据安全风险检测方法。

41、从以上技术方案可以看出，本技术具有以下优点：

42、通过构建‌业务对象知识图谱‌与‌元数据知识图谱‌的双层结构，实现了对数据安全风险中多维实体及其关联关系的系统性建模。相较于传统基于单一案件经验的静态模型，该结构能够动态捕捉跨业务、跨系统的对象联动路径，使风险识别不再局限于孤立事件的特征匹配，而是延伸至由技术元数据驱动的业务逻辑链条。这种图谱化表达方式，解决了现有技术中“缺乏对复杂业务场景中多对象关联关系深度挖掘”的核心缺陷，提升了风险行为模式的结构化表达能力。

43、利用‌大语言模型（llm）‌ 自动解析用户输入的自然语言案件描述，提取预设关键模型特征、风险判定规则及其执行顺序，实现了从非结构化语义到结构化检测逻辑的高效转化。该机制摒弃了传统人工编写规则或固定特征库的僵化模式，使风险检测模型的构建过程具备高度的可配置性与场景适应性。通过llm对语义的语境理解能力，系统可精准映射人类专家的判断逻辑至图谱操作算子序列，从而在无需重新编程的前提下，快速生成针对新类型案件的检测流程，提升了风险模型的迭代效率与覆盖广度。

44、通过生成‌风险模型dsl文件‌并由专用执行引擎按序调用图谱操作算子，实现了检测流程的自动化、可复用与可追溯。当算子参数涉及业务对象关联时，系统自动联动业务对象知识图谱进行跨图谱查询，形成从元数据层到业务层的闭环推理路径。该机制不仅确保了检测过程的逻辑一致性，更在输出结果中同步生成完整的‌疑似风险对象及关联证据链数据‌，为后续人工复核、责任认定与合规审计提供了结构化、可验证的决策依据，克服了传统方法“证据碎片化、溯源困难”的瓶颈。