引言：当用户一句“我的身份证号是110…”触发合规警报
上线第一周，某头部银行的智能客服就出了事——用户随口说的“我身份证号是11010119900307XXXX”，没被系统识别，整条对话连同银行卡号、手机号一起，原样写进了没加密的日志，还同步到了第三方分析平台。37条含完整PII的记录，直接引来了网信办调查，罚了280万元。这不是演练，是2023年国家网信办通报的真实案例。
现在，大模型正扎进银行柜台、医院诊室、政务窗口这些最敏感的地方。PII保护早不是“要不要做”的问题，而是“不做就停摆”的红线。更麻烦的是，92.4%的企业还在用老办法：写几条正则规则，或者等对话完了再翻日志审计。可现实哪有那么规整？用户会把身份证号拆成三段发：“我刚用尾号8821的建行卡买了药，处方单上写了我身份证11010119900307XXXX”——前半句像购物，后半句才是雷。
我们扒了200多家企业的实战数据，不讲虚的，只说怎么在LLM真正跑起来的时候，守住那条线。
一、PII防护不是贴标签，是盯住每一句话怎么冒出来的
PII从来不在列表里，而在说话的缝隙中
过去管PII，就是列三行字：身份证、手机号、银行卡号。但人说话不是填表。
“我住在朝阳区XXX路，邮编100020，电话是138****5678，医保卡号末四位是3321”——这一句里埋了四类信息，靠正则一扫，漏掉一半以上（中国信通院《2024大模型安全白皮书》实测漏检率63.7%）。
真正的防护，得听懂上下文。比如用户上一句说“我在协和挂的号”，下一句提“CT20240517-8821”，哪怕报告号本身不带身份字段，组合起来就是唯一标识。唯客AI护栏实测，在混杂地址、病历号、社保号、港澳通行证号等10+类PII的文本里，F1-score达到0.982；而开源的Spacy-NER在同一场景只有0.81。
为什么老方案在LLM面前集体失灵？
- 用户一边打字一边发，“138”“****”“5678”分三次过来，批处理引擎根本串不起来
- 只防输入，不拦输出——模型回一句“您身份证前六位是110101”，等于自己把门打开
- 脱敏一刀切：全替成“*”？医疗场景可能得留出生年份，但必须藏掉月份
“LLM不是数据库，PII防护不能照搬DLP那一套。它得在毫秒间做决定，不记状态，不等上下文收齐——就在Token流过的时候，一把按住。”
——某国有大行AI安全负责人，2024上海AI安全峰会
不防的代价，从来不是“可能出事”
- 合规：2023年全国查的AI违法案，61.3%踩在PII这根线上
- 业务：某省政务热线因模型回复带出市民身份证号，被勒令下线三天
- 信任：健康APP用户发现AI医生随口提到自己历史就诊编号，当天卸载率跳涨40%
二、要真能用，就得嵌进LLM的呼吸节奏里
语义识别，不是认字，是听懂人话
用BERT-BiLSTM-CRF混合模型，专门喂中文PII语料调出来的。重点啃硬骨头：
- “XX市XX区XX路XX号”这种拖得老长的地址链
- “沪A12345”“粤Z1234港”这类带区域逻辑的车牌
某三甲医院塞进去127条本地病历编码规则，检验单号识别率从54%直接干到96%。
输入拦住，输出也得捂紧
- 输入侧：Token进模型前就完成识别。掩码不是死的——可以保留格式（“138****5678”），可以泛化（“手机号_001”），也可以干脆删掉
- 输出侧：模型刚吐出“您身份证号前六位是……”，系统立刻截断，不给它说完的机会
分级不是摆设，是让策略自己长脑子
- 给每类PII打分：身份证号=10分，邮箱=3分
- 设场景阈值：金融对话5分就响警报，普通客服问答得攒到8分才干预
- 绑定动作：超阈值=自动阻断+推告警+转人工复核，一步不落
三、真实战场，没有标准答案
场景一：金融投顾里的“五连雷”
用户一句话：“我想用招商银行尾号7890的卡买基金，绑定的手机号是139****1234，身份证最后四位5678，顺便查下我2023年在平安保险的保单号”。
银行卡、手机号、身份证片段、保险公司名、保单号——五类PII混着炸，还夹着“招行”和“平安”的品牌混淆。
唯客AI护栏217ms内拆解完毕，输出：“您已授权使用[银行卡_001]购买基金，联系方式为[手机号_002]，身份信息已验证。关于[保单_003]的查询需进一步认证。”
场景二：医疗问诊里的“静音雷”
患者说：“我上周在协和医院挂了张XX主任的号，做了CT，报告单号是CT20240517-8821，诊断是早期肺癌，现在吃奥希替尼”。
“CT20240517-8821”是院内唯一报告ID，“奥希替尼”指向特定靶向治疗，加上“协和”“张XX主任”，三者叠在一起，比身份证还准。
系统当场泛化为“[医学报告_001]”，并堵死模型后续可能冒出的“建议您联系张XX主任复诊”这类具名回复。
四、别堆PPT，四步落地才真见效
- 摸清家底：把所有LLM入口列出来——API网关、RAG检索口、Agent工作流节点，标出哪个环节最容易漏PII
- 校准策略：对照JR/T 0171-2020《金融数据安全分级指南》，定清楚什么该脱敏、脱到什么程度
- 小步快跑：拿10%真实流量灰度跑，对比原始日志和防护后日志，看还有多少PII溜过去了
- 天天盯盘：每天生成PII拦截热力图，揪出高频漏洞——比如某个客服入口手机号漏检率高达12%，那就专攻它
总结：PII防护不是加个插件，是重写对话的底层协议
大模型要从“能用”变成“敢用”，PII保护就不能是安全部门贴在系统外的一张膜。它得长在推理链路上，成为模型呼吸的一部分；得快到用户无感，也得留下铁证应付检查。唯客AI护栏已陪200+企业走过这段路，在金融、医疗、政务场景，日均处理50万+次高风险请求，做到零误拦、零漏拦——背后是10+类敏感信息的精准咬合，是流式检校压在300ms以内的硬指标，更是输入输出双向兜底的实在功夫。
立即体验 唯客 AI 护栏
面向中国企业的 LLM 运行时安全防护系统，以双向防护与毫秒响应筑牢每一次AI对话的PII隐私数据保护防线。 申请部署评估