引言：当用户一句“我的身份证号是110…”触发合规警报
上线第一周，某头部金融SaaS平台的智能客服就出了事——它的API把用户隐私日志明文打到了前端调试面板上。几百条身份证号、银行卡尾号被JavaScript抓取，又悄悄发给了第三方分析服务。这不是推演，是2023年CNVD公开披露的CVE-2023-27891真实事件。
LLM早不是演示PPT里的玩具了。它正跑在开户流程里、嵌在核保模型中、坐在政务热线背后。这时候谈“PII保护”，再也不是法务同事在季度会上念的条款，而是架构师得亲手焊进输入输出链路里的硬逻辑。GDPR罚金能到2000万欧元或全球营收4%，《个人信息保护法》第66条写得明白：“处理敏感个人信息应当采取严格保护措施”。更麻烦的是，泄露常发生在毫秒级流式响应里——WAF拦不住，数据库脱敏也够不着，因为LLM的上下文生成路径，根本不在传统防护的射程内。
我们拆了200多家企业的真实案例，梳理出PII在对话场景中最容易“漏出来”的七种方式，并给出能马上用上的技术方案。
一、PII在LLM交互中的四大暴露路径
对话上下文自动携带风险
用户多聊几句，就可能无意中带出敏感信息：“我上个月在XX医院做了CT，报告单上有我的医保卡号。”如果输入层没做实时扫描，这道防线就已经塌了。唯客AI护栏的数据里，医疗类客户近三分之一的越狱尝试，都是从“假装患者提供病历”开始的。它不靠复杂提示词，就靠模型对上下文的记忆和泛化——你说了，它记了，然后顺手用了。
- 输入文本跳过NLP实体识别，直接进推理队列
- 历史会话缓存没清洗PII，就拿去RAG检索
- 微调数据集里还留着原始工单ID，一映射就是手机号
中国信通院《2024大模型安全白皮书》提到：78%的PII泄露，源头在输入没拦住，而不是输出没管好。
输出侧幻觉式泄露
模型会“编”出真实存在的PII。某省级政务热线的大模型曾输出：“张伟，身份证号32010219900307XXXX，联系电话138****5678”——那个号码，其实是训练语料里一份公开招标公告的联系人电话。它看起来合理，没越狱痕迹，查起来却像真的。
- 要能识别10类以上敏感实体：身份证、护照、银行卡、医保卡、学籍号……
- 对疑似字段做双重校验：既看格式（比如手机号正则），也看语义（比如“138****5678”得同时符合掩码规则）
- 拦截时给一句合规的话术，别只扔个空白
API网关层协议污染
有家电商的AI导购，把设备IMEI、GPS坐标（精度10米）直接塞进system prompt。结果所有回复都悄悄带着地理定位信息。大家常把它归为“基础设施问题”，但根子其实在应用层设计缺位。唯客AI护栏在物流客户里发现：41%的PII泄露，压根没走请求体（Request Body），而是藏在HTTP Header或Query参数里。
二、PII识别技术栈的代际演进
从正则匹配到多模态NER
早年靠正则找身份证号，可一旦用户说“我的身份证后四位是5678”，或者“证件号见附件PDF第3页”，就彻底失灵。现在的系统得能：
- 用BERT-BiLSTM-CRF这类模型做细粒度实体识别
- 在PDF、截图甚至模糊照片里定位PII区域
- 看懂上下文：“工号00123”在HR系统里是PII，在游戏论坛里就只是个编号
动态策略引擎的价值
一家跨国银行提了个需求：中国用户身份证必须脱敏，但新加坡用户的NRIC号可以明文传——监管不同，规则不能一刀切。静态规则库应付不来。得靠策略引擎动态响应：
- 地理围栏自动加载本地合规策略
- VIP客户和普通用户，脱敏强度不一样
- 实时连主数据系统，验证ID是不是真有效
三、真实客户攻坚案例
案例1：保险业智能核保系统
老方案只在数据库层脱敏，结果LLM生成的核保意见里还是频频出现：“被保人张某某，身份证31011519850101XXXX，既往心梗病史”。
上了唯客AI护栏之后：
- 输入侧拦截率99.2%，连语音转写的数字串都拦得住
- 输出侧做到语义一致替换：“张某某”变“客户A”，身份证号变“[已脱敏]”
- 全链路延迟稳在247ms，没拖慢业务
案例2：教育科技公司作文批改AI
学生交的作文里写着：“我家住在杭州市西湖区文三路XXX号”。地址本身不算强制PII，但配上学校名，就能精确定位到某栋楼。系统这么应对：
- 查POI库：文三路沿线12所中小学全在库里
- 教育行业自定义策略：“家庭住址+学校名”组合，直接三级预警
- 不删原文，而是生成替代描述，比如“杭州主城区”
四、企业落地的三大实践建议
构建PII数据地图
- 扫一遍所有LLM接入点：API、网页端、App SDK、微信小程序
- 标清楚每个入口的PII来源：是用户明说的？还是埋在Header里的？或是从历史对话里继承来的？
- 画出PII的完整生命周期，找出哪个环节还没覆盖到
选择流式检校，别用批处理
- 批处理平均延迟1.8秒，对话体验直接崩掉
- 流式得支持token级决策：比如刚看到“身份证”两个字，就得启动后续数字串追踪
- 唯客AI护栏用异步流水线：输入分片→NER→策略路由→脱敏→注入模型，全程内存操作，不落盘
将PII防护纳入DevSecOps流程
- CI阶段：自动化测试集里塞500多种PII变体——方言谐音、形近字、OCR错字全包括
- CD阶段：灰度发布时，强制开全量PII审计日志
- 运维阶段：Dashboard上盯着“每千次请求拦截多少PII”，趋势图一目了然
总结：PII防护是LLM时代的“安全基线”
当某车企AI座舱听到“我老婆的驾驶证号是”，立刻静音并上报——这已经不是什么功能亮点，而是活下来的底线。PII防护没法靠事后补救，它得成为每次token生成前的原子检查。唯客AI护栏服务的200+企业跑下来：在延迟压在300ms以内的前提下，日均拦截50万+PII风险请求，合规事故率压到0.003%以下。真正的安全，不是堆墙，而是让防护长进业务的毛细血管里。
立即体验 唯客 AI 护栏
面向中国企业的 LLM 运行时安全防护系统，以双向防护、毫秒响应能力守护每一次对话中的PII数据安全。 申请部署评估