在企业大规模部署大语言模型（LLM）的过程中，一个真实、具体、已经反复发生的漏洞正在造成实际损失：用户随口说出的身份证号、手机号、银行卡尾号、住址、病历编号，被AI客服、内部助手甚至RAG搜索框原封不动地收进去，又在日志里存下来，或在下一次回答中“顺嘴”复述出来。
2023年Gartner报告提到，近七成企业试点项目发生过至少一次PII泄露——不是理论风险，是真实发生的事件。比如某金融SaaS平台上线AI客服三周后，系统日志里就积压了2.4万多条带完整身份证号的提问记录。原因很简单：没人给输入框加一道实时脱敏。最后被网信部门按《个人信息保护法》第66条开出罚单。这不是个别失误，而是多数RAG+LLM架构里一个被长期忽略的缺口：静态脱敏早就不够用了，流式检测才是现在必须有的能力。
一、为什么PII在LLM场景里特别危险？
法规不是纸面功夫，它盯的是真实路径
《个人信息保护法》《生成式人工智能服务管理暂行办法》《银行业金融机构数据安全指引》，都明确要求PII防护覆盖“收集、存储、使用、加工、传输、提供、公开、删除”全链路。但LLM不认字段、不走API Schema，它处理的是整段话。比如某省政务热线把市民语音转写的“我家住在XX市XX区XX路123号，电话138****5678”直接喂给大模型，没做任何流式拦截，结果地址和号码进了向量库，后来又被模型在回答里“记混了”再吐出来——这不是黑客攻击，是系统自己漏的。
“大模型不是数据库，但它的缓存和上下文窗口正在成为新型PII温床。”——中国信通院《AI安全白皮书（2024）》第4.2章
架构上，关键环节根本没设防
- LLM本身不会看内容，它只管生成；审计得靠外面加
- 向量库索引的是语义，不管原文干不干净
- RAG检索回来的内容，常常带着原始PII直奔Prompt而去，等于二次污染
流程其实是这样的：
- 用户语音或文字进来，变成纯文本
- 这段文本没被检查，直接发给LLM网关
- 模型回复里带着PII，原样回传到前端或写进日志
泄露的代价，比想象中更痛
一家医疗AI公司没对问诊记录里的“乙肝e抗原阳性，就诊编号ZY20240315-8892”做脱敏，微调用的数据集被爬走，237名患者集体投诉。国家网信办通报处罚238万元，暂停AI服务备案半年。更难挽回的是客户信任：IDC 2024年调研显示，一旦发生PII泄露，B端客户续约率平均掉41%。
二、老办法，真不管用了
正则表达式？早跟不上人类打字了
手机号可以写成“138-****-5678”，也能写成“138万***5678”，甚至拼音“YiSanBaWanXXXWuLiuQiBa”；身份证前面还常跟着“我身份证是”“本人号为”……某银行实测发现，光靠正则，漏检率接近六成；换成能理解上下文的NLP识别器，召回率升到99.2%。
DLP网关？它等不到完整响应
传统DLP要看完整个HTTP Body才动手，但LLM常用SSE或WebSocket流式输出。当模型一个字一个字吐出“您的订单已确认，收货地址：上海市……”时，DLP还没收到结尾，策略根本触发不了。
日志脱敏≠运行时防护
- 日志里删掉PII，不等于它没进过模型上下文
- 业务加了个新字段“电子社保卡号”，规则没更新，就继续漏
- 本地化部署时，内存里的变量也可能带出PII，日志根本抓不到
三、真正管用的PII防护，得满足四点硬要求
响应要快：每一段Token流，都要在300ms内完成检测
唯客AI护栏在Qwen2-7B流式场景下实测，对身份证、护照、医保卡、统一社会信用代码等10+类PII逐Token扫描，端到端延迟稳定在286ms以内。某保险科技客户上线后，高危PII拦截率从12%跳到99.6%，保单生成没受一例误拦影响。
输入输出双向拦：一边堵住入口，一边守住出口
- 输入侧：Prompt组装前就脱敏，不让PII进模型上下文
- 输出侧：模型刚生成一句，就立刻扫描，把“张三，1385678”自动改成“张，138*5678”
- 掩码规则可自定义，比如身份证保留前6位+后4位
全链路能看见：哪类PII最多？谁在漏？规则灵不灵？
Dashboard里能直接看到：
- PII类型分布（身份证占41.2%，手机号29.7%）
- 高危会话TOP10（含原始输入、脱敏后Prompt、模型回复原文）
- 策略命中率变化（有客户优化规则后，误报率降了63%）
四、企业怎么落地？三步走，别跳步
- 先摸清家底：把所有LLM接入点列出来——API网关、网页对话框、微信小程序、钉钉/企微机器人
- 分级定策略：按监管要求分L1（身份证/银行卡）、L2（手机号/邮箱）、L3（姓名/地址），不同级别用不同处置方式
- 小流量验证：先切5%流量试跑，盯住三件事：真拦截了多少、误拦了多少、P95延迟有没有超标
总结
PII防护不是合规交差的附加项，而是LLM能不能真的用起来的前提。大模型越懂语境，就越可能记住并复述你的敏感信息——这既是能力，也是放大器。只有把流式检测、双向防护、毫秒响应真正嵌进运行时链条，PII防护才能从应付检查的底线，变成守护业务的护城河。200多家企业已选择唯客AI护栏，每天拦截50万+风险请求，不是因为它听起来很酷，而是因为问题就在那里，而它确实管用。
立即体验 唯客 AI 护栏
面向中国企业的 LLM 运行时安全防护系统，以毫秒级流式检校与双向I/O防护，筑牢PII隐私数据保护最后一道防线。 申请部署评估