引言
2023年，一家头部金融SaaS平台被曝出LLM对话日志中大量客户身份证号、银行卡号、家庭住址未脱敏，遭爬取后泄露超12.7万条个人身份信息（PII），最终被依据《个人信息保护法》第66条罚款298万元。类似事件并不罕见——Gartner 2024年数据显示，73%的企业在上线生成式AI应用后，都曾发生过PII意外暴露。其中六成以上，源于提示词注入或模型缓存泄漏。当大模型以流式方式实时作答时，传统API网关那套静态过滤规则，早就跟不上节奏了。真正危险的环节，藏在毫秒级的交互里：用户随口问“我尾号5678的卡为什么扣了两笔？”，模型顺手把OCR识别出的病历截图原文回吐给了客服；又或者，客服Agent把没脱干净的订单号直接写进了知识库……这些事，审计查不出来，只能靠运行时防护，在输入和输出两端同时掐住风险。
一、PII到底是什么？别再只盯着身份证和手机号了
法律写得清楚，但很多人没读懂
《个人信息保护法》第4条说得很直白：PII是“以电子或其他方式记录的，能单独或与其他信息结合识别特定自然人身份的信息”。它不光是身份证号、手机号，还包括生物特征、医疗记录、金融账户等十多种类型。可现实是，近六成AI项目负责人仍把PII简单等同于“身份证+手机号”，完全忽略了那些藏得更深的组合型信息——比如设备IMEI加上Wi-Fi MAC地址，再比如“心内科3号诊室+上周三+医保卡尾号236”，三者一拼，患者身份就锁死了。2023年某三甲医院AI导诊系统就栽在这上面：用户语音转文字后一句“上周三在心内科3号诊室用医保卡支付了236元”，模型原样输出，没加任何处理。
大模型让PII变得更难防
老式的DLP工具靠匹配字段模板干活，而大模型吐出来的是活的、流动的、没结构的文本。风险也变了模样：
- 用户问“帮我查下昨天138****5678的订单状态”，模型回“您的订单#ORD-20240511-8821已发货”——手机号和订单号就这么被悄悄连上了；
- 某电商客服Agent把用户投诉里的“我住在朝阳区建国路8号SOHO现代城B座1208”缩成“SOHO-B1208”，这个简称在内部系统里能反向还原；
- 更隐蔽的是缓存：LLM推理过程中留在KV Cache里的token序列，可能还带着原始PII，被恶意提示词一勾就出来。
“PII防护不是加个正则表达式的事，而是重新划清整个输入输出链路的信任边界。”——中国信通院《大模型安全实践白皮书（2024）》
二、真正管用的PII防护，得扎进业务流里
流式检测，快得让人感觉不到存在
唯客AI护栏用的是轻量NLP-CRF混合模型，在GPU上跑，端到端延迟压在300ms以内，扛得住每秒2000+并发请求。它不靠关键词硬扫，而是会看上下文：
- 看到“张三的电话是139****1234”，哪怕号码被掩码了，照样标为PII；
- OCR识别出来的文字、语音ASR转写的句子，自动塞进检测流水线；
- 当“13812345678”和“我的号码”一起出现，置信度直接拉到99.2%。
覆盖监管要求的全部PII类型
不是只认几个常用字段，而是实打实覆盖中国法规要求的10+类敏感信息：
- 身份证件：居民身份证、港澳台居住证、外国人永久居留身份证；
- 金融账户：银行卡号（含CVV）、支付账号、证券资金账号；
- 健康信息：诊断结论、药品名、检验报告编号、HIS系统ID；
- 位置轨迹：GPS坐标、基站定位、精确到门牌号的常驻地址；
- 生物识别：人脸特征值、声纹哈希、指纹模板。
输入、输出、缓存，三路一起守
不是只拦用户输什么，而是守住整个链路：
- 输入侧：对用户提问实时脱敏，但不破坏语义——“我叫李伟，身份证11010119900307251X，住北京朝阳区”变成“我叫[姓名]，身份证[证件号]，住[地址]”；
- 输出侧：模型想把“张三，138****5678，消费￥2,345.00”这种带PII的明细吐出来？直接拦截；
- 缓存层：自动剥离KV Cache里残留的PII token embedding，避免下次推理复用时“带毒”。
三、翻车现场：这些事故，本可以避免
某省级政务热线AI助手
用户问：“我社保卡丢了，卡号尾号8821，能挂失吗？”
模型答：“请拨打12333并提供您的社保卡号后四位。”
问题在哪？输入侧只做了关键词屏蔽，没意识到“尾号8821”本身就是PII；输出侧也没设防，任由它诱导用户提供完整卡号。
保险理赔大模型“学坏了”
某保险公司拿历史工单微调模型，其中23%的PDF工单里有客户签字扫描件。OCR提取文本时没开PII过滤，结果模型在生成理赔话术时，冷不丁冒出一句：“王女士（身份证110***）已于2024-03-15提交材料”。37起客户投诉，监管现场检查直接扣分。
四、落地建议：别堆PPT，要动真格的
- 先画一张PII数据地图：所有AI应用里，PII从哪来、走哪条路、存哪儿、用来干啥，一笔一笔标清楚；
- 脱敏不能一刀切：调试环境用虚构值强脱敏，生产环境按最小必要原则来；
- 把安全卡进CI/CD：模型上线前，必须跑一遍PII渗透测试，用真实对抗样本验证脱敏是不是真牢靠；
- 上PII审计看板：实时盯住脱敏命中率、误报率、漏报率，按部门、按应用出合规报告。
总结
PII防护早就不只是合规成本，而是AI产品的基本功。当别人还在用正则匹配手机号时，已经部署运行时PII防护的企业，已经在三件事上赢了：用户体验不打折（脱敏零感知）、监管检查不踩雷（全链路可审计）、商业风险不爆雷（避开百万罚单）。唯客AI护栏服务的200多家企业里，PII相关安全事件平均下降92.3%，每天拦截高风险请求超50万次——靠的是毫秒级流式检校、双向I/O防护、10+类敏感信息精准识别这三块实打实的底座。安全从来不在事后补救里，而在每一次token生成前的那0.3秒。
立即体验 唯客 AI 护栏
面向中国企业的 LLM 运行时安全防护系统，以双向防护与毫秒响应筑牢 PII 隐私数据保护防线，让每一次AI对话都符合《个人信息保护法》要求。 申请部署评估