K8 · 上生产：交给真实用户之后
K0 到 K7，你会搭 RAG、会调检索、会评测、也知道前沿在哪。
但有一道坎，前八章一个字都没提——把它交出去。
demo 和生产之间隔着三件事，而且这三件事有个共同点：在 demo 阶段全都不存在，上线第一周全都会来。
- demo 里只有你一个用户。生产里有一百个人，他们的权限各不相同。实习生不该检索到薪资表，而「让模型别说」不是一道门。
- demo 里知识库是静态的。生产里文档天天改、有人要求删除、你还可能想换个更好的嵌入模型——每一种「改」的代价差着好几个数量级。
- demo 里的文档是你自己写的。生产里文档可能来自几十个人、几十个系统，其中任何一份都可以往你的上下文里塞一句话。
| 小节 | 你会获得的直觉 | 实验 |
|---|---|---|
| K8.1 权限：不能靠「求模型别说」 | 过滤必须在检索之前，否则要么泄露、要么答不出来 | 🎮 权限过滤对照 |
| K8.2 知识库会变：更新、失效与重建 | 六种变更，代价差四五个数量级 | 🎮 变更代价表 |
| K8.3 文档也会攻击你 | 检索本身就是一条注入通道 | — |
| 小结与自测 | 全章要点回顾 + 综合自测 | 📝 |
阅读前提
本章建立在 K1 向量库与元数据过滤、K2 切块、K6 评测之上。K8.3 会用到下篇《智能体是怎么工作的》A8 章的提示注入框架——那里讲 通用原理，这里只讲 RAG 特有的那部分，两边不重复。