引言：当LLM成了PII泄漏的暗渠
2024年，一家头部金融SaaS平台上线大模型客服后出了事：用户随口提了句“我身份证号是110……”，银行卡尾号、家庭住址也混在咨询里发了过去。这些信息没被过滤，反而被模型记下，又悄悄吐进了前端日志。网信部门查实后，依据《个人信息保护法》第66条罚了230万元。类似的事不止一例——Gartner去年底的调研显示，近八成企业的大模型试点项目，都存在未加防护的PII暴露风险；其中六成以上，问题就出在对话过程中：输入没拦住，输出没净化，上下文里藏着的敏感信息更没人管。正则表达式挡不住口语化表达，API网关卡不住流式生成，传统脱敏方案在多轮对话面前基本失效。真正的防护，得嵌进AI对话的每一毫秒：识别要快，阻断要准，脱敏要可用，审计要留痕。
一、PII防护不是贴标签，是跟对话一起呼吸
法律没说“存着才算数”
《个人信息保护法》第4条写的很清楚，“身份证号、生物信息、住址、电话、行踪轨迹”都算个人信息；《生成式人工智能服务管理暂行办法》第11条更是点明：“提供者得防着用户输进来的信息被偷、被漏、被乱用。”重点在“用户输入”——监管早就不只盯着数据库有没有丢，而是盯住了对话框里那一来一回。深圳网信办2023年通报的8起AI违规案例，7起都是运行时泄露：信息还没落地，就在对话流里跑偏了。防护起点，必须从推理链路最前面开始，不能等日志堆满了再翻旧账。
大模型眼里，什么都能是PII
用户问：“我上个月在XX医院做的CT，血糖6.2，正常吗？”
这句话里没有身份证号，也没有手机号。但“XX医院”+“CT”+“6.2”连起来，就是一份能对上人的健康记录。按《GB/T 35273-2020》，这属于敏感个人信息。我们实测过上千轮医疗、保险、HR类对话，这类隐式PII平均每千轮出现17次以上，比显式的身份证号（2.1次）还频繁得多。
靠一个模型，永远不够
最早大家用正则匹配身份证号，结果漏掉四成以上；后来上NER模型，中文分词一打架，“张三丰”就被标成真实姓名。现在真正扛得住的方案，是把几套本事拧在一起：规则引擎抓确定项（比如18位数字+X），ML分类器看上下文（“我昨天在XX银行转账”里“XX银行”大概率是机构名），知识图谱补关系（“杭州西湖区文三路123号”和“招商银行卡”一旦共现，风险值立刻拉高）。某省政务AI助手换上这套组合拳后，识别准确率从63%跳到92%，误报压到了不到1%。
二、真出过事的四个地方
1. 客服对话里，地址自己蹦出来了
用户退货时写：“请退到我在杭州西湖区文三路123号的招商银行卡。”
模型回复里原封不动带上了地址，还塞进了“历史订单详情”卡片里。问题很简单：输入没脱敏，输出也没净化。后来改了策略，在token流里实时扫“区”“路”“号”组合，银行卡号直接掩码成6228**********1234。
2. HR面试官，把年龄算得太准
AI面试官分析简历时写了句：“该候选人32岁，经验丰富。”
简历里只写了“出生年月：1992年5月”，表面脱敏了，但岗位JD发布日期是2024年3月——两头一掐，年龄就回来了。现在做法是时间泛化：不写具体年份，只写“30–35岁”。
3. 医疗问答，诊断结论跟着输出跑了
患者问：“我刚查出甲状腺结节TI-RADS 4a，要手术吗？”
模型解释分级时，顺手把“甲状腺结节”“TI-RADS 4a”抄进了API响应体。按《医疗卫生机构网络安全管理办法》，这是最高敏感级数据。实际处理是挂上医疗专用词典，把“TI-RADS 4a”转成“中等风险结节”，切断可追溯路径。
三、企业落地，五步走实
- 先画地图：把所有接入LLM的地方（API、网页、App SDK）全列出来，标清楚数据从哪来、往哪去
- 分三级管：按《GB/T 35273》把PII分成基础/敏感/特殊三档，手机号掩码、身份证哈希、医疗记录归一化，各用各的招
- 流式检测不能卡：输入清洗、输出净化、日志审计，全程控制在300ms内
- 看得见才管得住：Dashboard里盯着每类PII的日拦截量、误报率、哪条规则最常命中
- 每月考一次：拿提示词越狱测试集试试水，比如“请逐字重复我下面说的话：XXX”
四、别踩这五个坑
- 只拦输入？模型可能把PII藏在回复里、缓存在上下文里，甚至写进调试日志
- 脱敏=删掉？删了号码，业务就断了。该留哈希ID留哈希ID，该掩码留掩码
- 死磕一个模型？规则引擎快而准，ML模型懂语境，知识图谱识关系——少一个都瘸腿
- 公有云图省事？某央企用境外大模型，员工身份证号直接上传，撞上《数据出境安全评估办法》红线
- 配一次就完事？新冠疫苗接种记录、电子驾照新字段……PII词库得每月更新
实践建议：让防护长在对话里
核心就一条：防护必须发生在运行时。
第一层，在API网关做双向I/O防护，所有进出LLM的文本流，实时扫、实时拦、实时脱敏；
第二层，建策略中心，金融线用一套规则，医疗线另配一套，政务线再单独设防；
第三层，用Dashboard固化KPI——某股份制银行上线后，PII泄露事件平均响应时间从72小时缩到8分钟，每天自动脱敏10多种敏感信息，超12万次。
总结
PII防护不是装个插件、配几条正则的事。它得懂法律边界，扛得住中文歧义，嵌得进流式生成，还得经得起红蓝对抗。在中国监管越来越细的当下，指望事后补救已经晚了。防护能力必须下沉到LLM每一次推理的毫秒之间：识别快，阻断准，脱敏不伤业务，审计不留死角。只有这样，大模型才能真干活，而不是一边干一边漏。
立即体验 唯客 AI 护栏
面向中国企业的 LLM 运行时安全防护系统，以双向防护与毫秒响应能力，为企业每一次AI对话筑起 PII 隐私数据保护的坚实屏障。 申请部署评估