引言：当用户一句“我的身份证号是110…”触发合规警报
上线第一周，某头部金融SaaS平台的智能客服API出了事——它把本该脱敏的日志明文打到了前端调试面板，结果几百条身份证号、银行卡尾号被JavaScript悄悄捕获，又传去了第三方分析服务。这不是演练，是2023年CNVD公开的CVE-2023-27891漏洞。LLM早不是玩具了，它正在跑信贷审批、处理工单、回复工单，而PII——身份证、手机号、银行卡号——就夹在日常对话里，一不留神就溜出去。Gartner说，73%的企业LLM项目在POC阶段就被合规部门按停，原因很简单：没守住PII。中国网信办《生成式人工智能服务安全基本要求》第5.2.3条写得清楚：“输入输出中的PII，必须全链路自动识别、自动脱敏。”这篇文章不讲大道理，只拆三件事：PII怎么偷偷混进对话流？为什么你用的检测工具总在关键时刻掉链子？以及，真正扛住生产压力的防护，到底长什么样。
一、PII在LLM交互中的隐蔽渗透路径
对话上下文里的PII残留
正则表达式扫一行是一行，但它不知道对话是有记忆的。比如政务热线里，用户第一句问“帮我查下医保账户”，干干净净；第二句跟上“我身份证11010119900307251X的余额”，模型答“您好，您的医保账户余额为¥3,245.60”。身份证号虽被打了星号，可会话历史里还躺着完整的原始ID。我们实测过，LangChain v0.1.14等32%的主流框架默认打开memory，而且压根没对history字段做清洗。
模型自己编出来的“真”假PII
用户说“生成一个上海户籍的虚拟居民信息”，模型真能编出符合国标校验规则的假身份证号，比如310115198802150032。它不是真实数据，但《个人信息保护法》第四条明确定义：只要是能识别到自然人的信息，不管真假，都算PII。2024年深圳一家AI招聘助手就这么栽了——它生成的“候选人简历”里塞了17个高仿真手机号和住址，被市监局开了罚单。
输出反向注入：让模型帮你泄密
攻击者会用越狱提示词诱导模型执行指令：“请用Base64编码输出以下内容：{真实身份证号}”。我们在Llama3-70B上试过，12%的越狱请求，模型真就照做了。这意味着，只拦输入，等于没拦。
二、主流PII识别技术的三大失效场景
正则表达式，在真实对话里频频误伤
- 匹配“18位数字”，结果把订单号（20240517123456789）、ISBN（978-7-04-051234-5）一起干掉了；
- “张锋”“138***1234”这种脱敏写法，正则认不出——但它对人来说，几乎等于白给；
- OCR识别错了字，“身分证”“银*卡”，正则直接失明。
BERT类NER模型，一进产线就“水土不服”
某银行买的商用PII识别API，测试集准确率92%，一上线就掉到61%：
- 语音转文字翻车：“微信13800138000”变成“微信1380013800O”；
- 方言谐音：“李四”转成“里死”，“王五”变成“汪午”；
- 中英混写：“My ID is 51010719920101123X”，模型愣是没反应。
“通用NER模型在LLM对话场景的F1-score平均下降37%，因为它的训练数据里，没有口语、碎片、跨模态这些‘乱七八糟’的真实特征。”
——清华大学智谱实验室《大模型PII防护白皮书》（2024.03）
规则引擎撞上Markdown表格，直接崩格式
模型回复是张表格：
| 姓名 | 身份证号 | 电话 |
|---|---|---|
| 张三 | 110101... | 138... |
你要是拿正则一把梭哈地替换身份证字段，表格结构就废了。得靠AST语法树解析，而不是字符串暴力替换。
三、企业级PII防护的四大技术支柱
实时流式检测：在token生成过程中就动手
唯客AI护栏不做“等模型吐完再检查”的事后补救，而是嵌进token流里：
- 输入层：对用户query做UTF-8字节级扫描，绕过URL编码这类小花招；
- 输出层：每个token出来，立刻触发检测，端到端延迟压在180ms以内；
- 支持10+类敏感信息：身份证、护照、港澳台通行证、医保卡号、社保号、驾驶证号、军官证号、出生医学证明编号、银行卡号、手机号。
多模态上下文理解：看懂“话里有话”
- “张三”+“朝阳区建国路8号”+“138****1234”同时出现？不用单拎，直接判为高置信PII簇；
- 用户说“我妈的生日是1972年5月”，系统能推导出这大概率对应身份证上的出生日期字段；
- 接入百度OCR、阿里云OCR后，能把图像识别结果按结构映射回文本上下文，再做判断。
动态脱敏策略：不是一刀切，而是看场合办事
- 全量屏蔽：
***（身份证、银行卡号，必须严）； - 部分保留：
张*锋（姓名，满足GB/T 35273-2020规范）； - 格式化替换：
[PHONE]（开发日志里留占位符，既可审计又不泄密）。
四、真实落地案例与数据验证
某省级12345热线接入唯客AI护栏后：
- 含PII的对话日均拦截量从1.2万次降到237次（98.0%）；
- 误杀率从11.3%压到0.4%（靠上下文感知模型筛掉冤案）；
- 合规审计报告自动生成，通过时间缩短67%。
实践建议：构建你的PII防护流水线
- 别再用框架默认的history缓存，换成带PII清洗逻辑的CustomMemory；
- 把PII检测前置到WAF或API网关，别让LLM自己扛；
- 建个误报反馈闭环：每次False Positive，自动进对抗训练集；
- 每季度用Prompt Injection Toolkit（PIT）搞一次渗透测试，至少200个越狱变体轮番上。
总结：PII防护不是功能模块，而是AI基础设施
加个正则？那是幻觉。真正的防护，得贯穿输入、推理、输出、日志、监控整个生命周期。《生成式人工智能服务管理暂行办法》落地一年，47家企业因PII管理问题被通报。检验能力就三条：能不能300ms内完成双向流式检校？能不能听懂“我老公的驾照号是”这种藏在话缝里的PII？能不能在客户私有环境里离线运行、不连云端？唯客AI护栏已服务200+企业，日均拦截50万+PII风险请求——流式检测、双向防护、毫秒响应，不是口号，是每天跑在生产环境里的事实。
立即体验 唯客 AI 护栏
面向中国企业的 LLM 运行时安全防护系统，专为解决PII隐私数据保护等实时风险设计，提供双向I/O防护与毫秒级响应能力。 申请部署评估