在AI应用快速落地的今天，企业正把大语言模型（LLM）用进客服、智能助手、合同分析这些真正跑业务的地方。但现实没那么乐观：Gartner 2023年报告里写得清楚——74%的企业在LLM上线半年内至少发生过一次PII泄露。多数不是被黑客攻破，而是用户随口一句“我身份证号是11010119900307251X，想查余额”，系统没来得及拦，信息就进了推理上下文、记进了调试日志、同步到了向量库，甚至在微调时污染了模型本身。这不只踩了《个人信息保护法》第6条“最小必要”的红线，还可能直接招来百万级罚单。
这篇文章写给正在为这事头疼的CTO、CISO和AI工程师——不讲虚的，只说真实场景里怎么防、怎么堵、怎么落地。
一、为什么PII在LLM里特别难守？
架构太“通透”，一漏就是全链路
一个典型LLM应用走的是：用户输入→前端SDK→API网关→提示词编排（比如Dify）→LLM推理→RAG检索→生成响应→打日志/上监控。每一环都可能漏。某头部保险公司的智能核保系统就栽在这儿：用户上传PDF保单，OCR一识别，姓名、身份证、银行卡号原样送进RAG，结果向量库里存了12万多条带完整PII的嵌入向量。审计一看——这不是数据库，这是等着被撞的靶子。攻击者只要发个语义相近的查询，就能把原始敏感字段反推出来。
合规要求变了，不是“不存”就行，是“别碰”
2024年网信办《生成式人工智能服务安全基本要求》白纸黑字：“对用户输入中的个人信息，要实时识别、实时脱敏”。静态加密早不够用了，得做到流式检测、双向防护、毫秒响应。有家跨境电商出海时，用户咨询里提了护照号，系统没实时屏蔽，欧盟GDPR直接开了280万欧元罚单。现在监管盯的不是“你有没有存”，而是“你的模型有没有见过明文”——哪怕只在上下文里待了0.3秒，也算违规。
模型自己会“记”，而且记得很牢
LLM不是被动接收器，它会回溯、联想、补全。微软亚研院做过实验：用户连续几次提到同一手机号，模型后续哪怕没提示，也能准确复述，准确率89.3%。这种“隐式记忆”让传统后置过滤彻底失效。所以防护必须卡在最前面——不只是拦输入，还得盯输出。比如模型自己瞎猜：“根据您的身份证号110101******251X，推测您生于北京”，这句话本身就成了新的PII泄露点。
二、现有识别技术，好用吗？
正则+词典：老办法，新问题
靠人工维护几百条身份证、银行卡、手机号正则？行，但遇上“身份证：110101******251X”这种变形，就直接漏掉；语音转写、手写OCR这类非结构化文本，漏检率超四成。
NER模型：纸上谈兵很美，实战掉链子
用BERT-CRF训了个PII识别模型，在CoNLL-2003数据集上F1值92.1%，挺漂亮。可一放到真实客服对话里——F1掉到63.5%。为啥？因为真人说话不讲格式：省略（“尾号251X”）、跨句指代（“他爸的卡”）、中英混杂（“My WeChat ID is abc123”），模型全懵。
多模态协同：不是加功能，是补短板
阿里云2024年白皮书里一句话很实在：“光靠文本识别，已经撑不住LLM场景了。”得把OCR坐标、语音重音、上下文逻辑全拉进来一起判。比如语音转写出现“卡号”，后面字符又符合Luhn算法，音频频谱还显示重音强调——三重验证，置信度才能拉到98.7%。
三、唯客AI护栏怎么做？
防护不只拦入口，是盯住每一段流动
- 输入侧：直接卡在API网关，HTTP/GRPC/WebSocket全支持
- 输出侧：LLM返回的JSON或流式文本，边吐边扫，含PII就截住
- 缓存层：Redis、Memcached里的键值自动打PII标签，带标签的数据，一律不准进向量计算
十类敏感信息，认得准，分得清
- 身份证号（含港澳台居住证）
- 银行卡号（BIN码校验+Luhn算法双保险）
- 手机号（13x/14x/15x/17x/18x/19x全号段覆盖）
- 邮箱（能识破伪装成邮箱的恶意URL）
- 地址（对接地理编码库，认得出“朝阳区建国路81号”这种表述）
- 病历号/就诊卡号（直连卫健委术语标准）
- 车牌号（新能源绿牌规则也写了）
- 社保卡号（全国统一码和地方码分开处理）
- 护照号（B/C/D/E/F/G/H/K/L/M/N/P/Q/R/S/T/U/V/W/X/Y/Z开头全适配）
- 人脸图像哈希（轻量CNN提取特征，比对快，不传图）
脱敏不是一刀切，是按需给权限
- 掩码长度可配：身份证可以只留前6后4位
- 角色分级可见：客服坐席能看到部分字段，审计员只能看到“[已脱敏]”标识
- 和企业IAM打通：谁该看、看多少，由你们自己的权限系统说了算
四、真有人用了，效果怎么样？
某省级政务12345热线上了唯客AI护栏之后：
- PII识别准确率从61.2%跳到99.1%（工信部信通院2024年Q2实测）
- 日均拦截含PII的对话请求17,842次，其中三分之一是用户主动提供了但根本没授权使用的敏感信息
- 合规审计准备时间少了83%，再不用因为一次泄露就被勒令停服整改
五、如果你打算动手，建议这么干
- 先摸底：把所有LLM接口、日志系统、监控埋点、向量库元数据全扫一遍，看看PII到底散落在哪
- 再验证：用Synthea生成的合成医疗记录这类真实感强的测试集，做双盲测试
- 定SLA：防护系统端到端延迟必须≤300ms，不能让用户等
- 设门禁：把PII防护写进AI模型交付清单，不达标，不准上线
总结
PII防护不是锦上添花的安全模块，是LLM能不能活下去的底线。它逼着安全团队走出WAF的老路，扎进AI应用栈的每一层：用毫秒级流式检测代替分钟级日志翻查，用输入+输出双向防护代替只拦入口的惯性思维，用私有化可控策略代替依赖云端黑盒。只有这样，AI才不会一边提效，一边把信任和罚单一起打包送出去。
立即体验 唯客 AI 护栏
面向中国企业的 LLM 运行时安全防护系统，专为解决PII隐私数据保护等核心风险而生，实现流式检测、双向防护与毫秒响应的工业级保障。 申请部署评估