AI 运维安全操作清单

本文档适用于在阿里云轻量应用服务器上，使用 AI Agent（如阿里云 Workbench AI 助手）辅助日常运维操作的场景。目标：降低误操作风险，保障服务器与业务安全。

一、使用前的准备#

1.1 数据备份（必须执行）#

在执行任何 AI 生成的命令之前，确保以下数据已备份：

网站文件：WordPress 目录（如 /var/www/html）或其他网站根目录
数据库：通过 mysqldump 导出所有数据库
配置文件：Nginx/Apache 配置、SSH 配置、防火墙规则等
SSL 证书：证书文件和私钥文件

备份命令示例：

备份网站文件：tar -czf /tmp/website_backup.tar.gz /var/www/html
备份数据库：mysqldump -u root -p --all-databases > /tmp/db_backup.sql

1.2 创建系统快照#

登录阿里云控制台 → 轻量应用服务器 → 快照 → 创建当前系统快照
快照可在服务器出现问题时一键回滚，是最后的”后悔药”

1.3 确认当前状态#

在执行 AI 命令前，先了解服务器当前状态：

磁盘空间：df -h
内存使用：free -h
运行进程：top 或 htop
已安装软件：dpkg -l（Ubuntu）或 rpm -qa（CentOS）
防火墙状态：sudo ufw status

二、AI 命令安全审查流程#

2.1 三步审查法#

每次 AI 生成命令后，在确认执行前，按以下顺序审查：

步骤	审查内容	说明
第一步：看命令	逐字阅读命令，识别危险操作符	重点检查 `rm -rf`、`dd`、`mkfs`、`wget
第二步：问 AI	向 AI 提问：“这条命令具体做了什么？会删除哪些文件？”	让 AI 解释每条参数的含义
第三步：试运行	对破坏性命令，先用 `echo` 模拟或 `dry-run` 模式测试	例如 `rm -rf` 改为 `echo rm -rf` 预览将要删除的文件

2.2 高危命令速查表#

以下命令具有不可逆的破坏性，必须逐字审查后确认执行：

命令	风险说明	安全替代方案
`rm -rf /` 或 `rm -rf *`	递归强制删除，可能导致系统崩溃	先 `ls` 确认目标，再执行删除
`dd if=/dev/zero of=/dev/sda`	覆盖整个磁盘，数据永久丢失	使用 `truncate` 或 `fallocate` 代替
`mkfs.ext4 /dev/sda`	格式化磁盘，所有数据清空	先 `lsblk` 确认磁盘编号
`wget http://xxx	bash`	下载并直接执行未知脚本
`echo "" > /etc/passwd`	覆盖系统用户配置文件	使用 `cp` 先备份再编辑
`iptables -F`	清空所有防火墙规则	先 `iptables -L` 查看当前规则
`swapoff -a`	关闭交换分区，可能导致 OOM 崩溃	先确认内存是否充足

2.3 “先查后改”原则#

所有涉及修改的配置类操作，遵循以下流程：

查看当前值：先执行查看命令，确认当前配置
备份原文件：cp 原文件原文件.bak
执行修改：再执行 AI 生成的修改命令
验证结果：修改后再次查看，确认生效

三、AI 助手使用规范#

3.1 提问技巧#

向 AI 提问时，提供足够的上下文信息，以获得更准确的回答：

明确操作系统：说明是 Ubuntu 22.04 还是 CentOS 8
说明当前状态：如”我的 Nginx 无法启动，错误日志显示 xxx”
限定操作范围：如”只查看，不要执行”、“只生成命令，不要删除文件”
要求解释：如”请解释这条命令每个参数的含义”

3.2 安全提问模板#

场景	推荐提问方式
清理磁盘空间	“请帮我分析磁盘占用情况，列出最大的目录和文件，只查看不删除”
安装软件	“在 Ubuntu 22.04 上安装 Nginx，请列出安装命令并解释每一步”
排查问题	“网站打不开，请帮我查看 Nginx 错误日志，分析可能的原因”
安全加固	“帮我检查当前服务器的安全配置，列出所有需要修复的问题”

3.3 禁止 AI 执行的操作#

以下操作禁止交给 AI 自动生成并执行，必须手动操作：

删除用户账户（userdel）
修改 SSH 端口或认证方式（可能把自己锁在外面）
修改 /etc/passwd、/etc/shadow、/etc/sudoers 等系统核心文件
执行来源不明的第三方脚本
修改内核参数（sysctl）
调整磁盘分区（fdisk、parted）

四、执行后的验证#

4.1 每次操作后必做检查#

检查项	命令	关注点
服务状态	`systemctl status 服务名`	确认服务正常运行
端口监听	`sudo ss -tlnp`	确认只有必要的端口在监听
磁盘空间	`df -h`	确认没有因操作导致磁盘异常
系统日志	`sudo tail -n 50 /var/log/syslog`	检查是否有异常报错
用户登录	`who` 或 `last`	确认没有未知用户登录

4.2 异常处理流程#

如果执行 AI 命令后出现异常：

立即停止操作：不要继续执行任何命令
检查状态：执行 df -h、free -h、systemctl --failed 查看系统状态
查看日志：sudo tail -n 100 /var/log/syslog 或对应服务的日志
回滚操作：
- 如果修改了配置文件，用 .bak 备份文件恢复
- 如果安装了有问题的软件，用 sudo apt remove 软件名 卸载
- 如果系统严重异常，通过阿里云控制台使用快照回滚
记录问题：记录异常现象和执行的命令，便于后续排查

五、定期安全巡检清单#

建议每周执行一次以下巡检：

5.1 系统健康检查#

磁盘使用率：df -h，超过 80% 需清理
内存使用率：free -h，Swap 使用过高需排查
CPU 负载：top 或 uptime，负载持续高于 CPU 核心数需排查
系统更新：apt list --upgradable，评估是否安装安全更新
内核版本：uname -r，确认是否为最新稳定版

5.2 安全检查#

防火墙状态：sudo ufw status，确认仅开放必要端口
异常进程：top 查看是否有异常高 CPU/内存的进程
登录记录：last 查看是否有异常 IP 登录
定时任务：crontab -l 检查是否有未知的定时任务
已安装服务：systemctl list-units --type=service --state=running，关闭不必要的服务

5.3 备份验证#

确认最近的备份文件存在：ls -lh /tmp/website_backup.tar.gz
确认快照为最近创建：登录阿里云控制台查看快照时间
测试恢复流程（建议每月至少测试一次）

六、常见问题与应对#

6.1 AI 生成的命令报权限错误#

原因：命令需要 sudo 权限但未加
处理：在命令前加 sudo，或询问 AI “这条命令需要 sudo 权限吗？”

6.2 AI 推荐的软件与当前系统不兼容#

原因：AI 未正确识别你的操作系统版本
处理：先执行 cat /etc/os-release 确认系统版本，再向 AI 提问

6.3 执行命令后服务无法启动#

原因：配置文件被修改或有端口冲突
处理：
1. 查看服务日志：journalctl -u 服务名 -n 50 --no-pager
2. 用备份的配置文件恢复：cp 原文件.bak 原文件
3. 重启服务：sudo systemctl restart 服务名

6.4 把自己锁在服务器外面（SSH 断开）#

原因：修改了 SSH 配置或防火墙规则，导致 22 端口不可访问
处理：
1. 登录阿里云控制台 → 轻量应用服务器 → 远程连接（VNC 方式）
2. 通过 VNC 终端修复 SSH 配置或防火墙规则
3. 恢复后重启 SSH 服务：sudo systemctl restart sshd

七、总结#

原则	说明
先备份，后操作	任何修改前，确保有可用的备份或快照
先查看，后修改	先确认当前状态，再执行修改命令
先模拟，后执行	破坏性命令先用 `echo` 或 `dry-run` 预览
逐条审查	不复制粘贴整段命令，逐条阅读并理解
操作后验证	每次操作后检查服务状态和系统日志
异常即停	出现异常立即停止，先排查再行动

核心原则：AI 是辅助工具，不是替代者。你对服务器的最终安全负责。

音乐

音乐