在公司里使用本地推理API之前。认证、许可列表和终端退役的设计

你好，我是Cor.株式会社的寺田。今天的话题比较朴素。如果要在公司里跑本地AI，这是想先定下来的事。

以在手头使用为前提

许多在本地跑推理的工具，首先假定在自己面前的机器上使用。

例如Ollama的官方文档写道，localhost上的本地API不需要认证。还写道，默认在本地（127.0.0.1）监听，并可以用设置改变监听地址。

这与其说是缺陷，不如说是设计前提。在手头使用的话，这个前提就够了。问题出在把这个前提原样扩到公司网络的时候。

调用本地API，和整个处理都在手头完成，不是一回事。有的模型会使用通往外部的路径。也要确认所选模型和向外的通信。

「公司内部」这个词

为公司内部架设推理服务器时，会放宽监听，让其他终端也能用。用防火墙决定哪些终端可以到达。到这里是普通步骤。

需要小心的是之后。

试着打开的监听就那样留下。临时加上的许可对象就那样留下。已经不用的终端从台账上消失了，防火墙里却还留着许可。

没有认证的API里，「能到达」几乎意味着「能使用」。所以，未打算允许的终端仍然可能到达，这件事本身就是风险。「只在公司内部」这句话，要有实际的许可设置才有意义。

许可列表能知道什么

许可列表能知道的是通信可以通到的对方。仅凭这一点，并不能决定谁可以把它们用于哪项业务。有多名使用者时，前段的认证、按使用者或服务划分的权限、失效时的动作，都是要另外设计的项目。这不是Cor.株式会社已经完成这些实现的报告。

漏洞应对和许可设置

漏洞应对和许可设置的管理，不是做了其中一方就够了。除了追踪更新信息，还要持续确认哪台终端、为了什么用途、可以连接到什么时候。

漏洞信息（CVE）会在某一天集中出现。许可设置的偏差每天积一点。后者没有步骤就很难注意到。两者都放进步骤里。

接受的顺序

让新终端使用推理API时，Cor.株式会社在接受时用这个顺序。

1. 把终端登记到台账（用途、负责人、使用期限）
2. 确认终端侧的基本设置
3. 加到防火墙的许可对象
4. 确认能够到达，并把确认日留在台账上

台账在先，许可在后。如果只先放进许可，之后就追不了「是谁的、为了什么的许可」。

退役的顺序

撤下终端时，顺序反过来。

1. 从防火墙的许可对象中删除
2. 确认已经不能到达
3. 清理终端侧的凭证和设置
4. 把台账更新为「退役」并留下日期。行不删除，作为历史留下

先删许可。只更新台账而许可还留着，是最容易发生的偏差。

怀疑遭到侵害时，和上面的退役步骤是分开的。先隔离，并先使凭证失效。不用通常的废除顺序去处理可疑终端。

要确认的项目

这不是个别事例，而是整理成其他公司也能用的形式。这里没有写测定值。失效反映出来要多久，作为要件来决定。只有测到了值才写那个值。

• 推理API的监听地址是否限定在意图的范围
• 为验证而放宽的监听，验证后是否改回去
• 防火墙的许可对象一览和终端台账是否一致
• 每个许可对象在台账里是否有用途、负责人和期限
• 退役时是否按「删除许可、确认不能到达、更新台账」的顺序处理
• 是否定期（例如每月）对照许可一览和台账
• 是否留下谁在何时增减了哪条许可的记录
• 没有认证的API必须对外时，是否设计了在前段放置认证或访问控制
• 除了许可终端能够到达，未许可终端是否被拒绝
• 失效之后是否被拒绝
• 服务停止时会怎样
• 所选模型和向外的通信是否在预想范围内

这份清单如果在运转，偏差会比较容易被注意到。这并不表示所有偏差都能被发现。

一起看的范围

Cor.株式会社以现有设备为起点，一起看本地处理的范围。在ISMS的运用中，一起做构成的选定，以及权限、失效和日志的设计。ISMS已于2026年10月完成ISO/IEC 27001第二阶段审查，认证注册预计在2026年12月前后。

这次的许可列表，就在「失效」和「日志」这个话题里。除了推理性能，能够说明哪台终端可以到达、到什么时候，也是运用条件。这里并不是否定性能要件。

能够说明的范围

听到没有认证，也许会不安。那只是知道了工具的前提。前提清楚了，要守的范围也就看得见。

谁的终端、从何时、到何时可以到达。能用台账和许可设置两边说明这一点。Cor.株式会社想留下的是那里。仅有许可列表，还决定不了使用者的权限。

参考资料

• Ollama Docs: Authentication - localhost的本地API（端口11434）不需要认证（2026年10月27日确认）
• Ollama Docs: FAQ - 「How can I expose Ollama on my network?」一节。默认在127.0.0.1的11434端口监听，可用环境变量 OLLAMA_HOST 改变监听地址（2026年10月27日确认）
• Cor.株式会社: 安全 - 在运用ISMS，2026年10月完成ISO/IEC 27001第二阶段审查，认证注册预计在2026年12月前后