引言：当用户一句“我的身份证号是110…”触发合规警报
某头部金融SaaS平台上线大模型客服首周，就出了事：智能客服API把本该脱敏的PII日志明文打到了前端调试面板——几百条身份证号、银行卡尾号被JavaScript抓取，又悄悄发给了第三方分析服务。这不是假设，是2023年CNVD公开披露的真实漏洞（CVE-2023-27891）。LLM早不是演示PPT里的玩具了，它正跑在开户、授信、理赔这些真正要担责的业务里。PII处理出错，不是等审计时再补救的事，是每秒都在发生的实打实风险。Gartner 2024年数据显示，七成以上企业LLM项目卡在POC阶段，就因为过不了法务和合规这关；而网信办《生成式人工智能服务安全基本要求》第5.2.3条写得清楚：“输入输出中的PII，必须自动识别、实时脱敏、双向阻断。”本文不讲大道理，只拆解PII在真实LLM链路里是怎么漏的，以及我们帮200多家企业落地时，真正管用的那几招。
一、PII在LLM场景中的四大高危暴露面
输入侧：用户主动提交的“信任陷阱”
用户聊天时顺口带出身份证、手机号，是最常见的风险来源。某省级政务热线大模型上线第一个月，每天收到含手机号的咨询超1.2万次——其中37%是完整11位号码，22%附带身份证后六位。更麻烦的是那些“单看无害、合起来要命”的信息：比如“我上周在XX医院做了CT，医生叫张XX，病历号末四位是8801”。正则表达式根本抓不住这种组合。唯客AI护栏用的是上下文感知的联合识别引擎，支持身份证、护照、医保卡、学号、社保号、VIN码等十多种类型，在流式输入中毫秒标记。它的关键改进是建了一张动态实体关系图谱（ERG）：把“张XX医生”和“XX医院”的地理位置、执业编号库连起来查，模糊PII识别准确率拉到了92.4%（2024年Q1客户审计报告）。
- 能校验中文姓名+机构+编号三元组是否合理
- 能处理OCR识别后的乱序文本（比如截图转文字）
- 能自动过滤测试数据（像“123456789012345678”这种明显假号）
输出侧：模型“幻觉”生成的伪造PII
LLM不只是回传用户给的信息，它还会自己编。2023年某法律咨询AI就出过这事：训练数据里裁判文书太多，它在回答“类似案件怎么判”时，凭空生成了“原告王某某，身份证11010119900307251X，住址朝阳区建国路8号”——这个号码格式完全合法，地址精确到楼栋。这种“幻觉型PII泄露”最难防：它没从用户来，但按《个人信息保护法》第4条，这就是能单独或结合其他信息识别特定自然人的信息。唯客AI护栏在输出端设了双保险：一边用NLP规则扫文本里的PII模式，另一边调用国家授时中心的时间戳服务，核验“出生日期”和身份证号是否逻辑自洽。目前对幻觉PII的拦截率是99.1%，平均每天拦下1287个伪造身份证号。
“大模型输出的PII不是错误，是合规红线。一次幻觉，就是一次行政处罚的起点。”
——某省网信办AI安全审查组负责人，2024年长三角AI治理峰会闭门会议
二、技术纵深：为什么传统DLP在LLM场景全面失效？
基于规则的静态扫描，跟不上对话的节奏
传统DLP靠扫文件、扫数据库，可LLM对话是毫秒级流式交互。某电商客服大模型单次对话平均产出4.7KB文本，分片传输延迟不到80ms。等它吐完再检测？PII早就到了前端或进了日志。唯客AI护栏用的是极速流式检校架构——在token级增量解析时就完成识别与脱敏，端到端延迟稳定压在300ms以内，金融级实时性够用。
- 输入token流进词向量编码层
- 并行跑PII特征提取（BiLSTM-CRF）和语义完整性校验
- 脱敏指令实时注入推理引擎，确保输出不带原始PII
模型微调，清不干净PII的记忆
有企业试过用LoRA微调，想把训练数据里的PII“删干净”。MIT 2024年研究打了脸：哪怕删光所有含身份证号的样本，模型仍有0.8%概率复现有效号码——数字共现模式刻在权重里了。所以PII防护不能靠训练时“尽量少记”，必须靠运行时“强制不放行”。
- 微调搞不定长尾变体（比如“身份证：110…”和“ID:110…”长得不一样）
- 拦不住用户诱导（“把我的身份证号倒过来拼写”）
- 每次模型更新都得重审，运维成本翻着跟头涨
三、真实战场：200+企业验证的防护范式
金融业：双录语音转文本的PII熔断
某股份制银行把唯客AI护栏嵌进智能双录系统，对ASR语音转写文本实时扫描。客户刚说“我爱人身份证号最后四位是5678”，系统立刻脱敏成“****5678”，同时启动双向防护：这一句不给质检模型看，还弹提示让坐席引导客户改用脱敏话术。上线三个月，PII相关监管罚单归零，质检通过率涨了22%。
医疗行业：跨系统PII污染隔离
一家三甲医院的AI分诊系统要连HIS、LIS、EMR三大系统。唯客AI护栏配了自定义规则引擎，设定“检验报告里患者ID可以透传，但禁止和姓名、手机号出现在同一字段”。真就拦下了一起LIS返回“张三|138****1234|WBC:12.5”导致的跨域泄露。
四、实践建议：构建企业级PII防护SOP
- 画清数据地图：把本企业LLM应用的数据流向全画出来，标出所有输入、输出、日志、缓存节点
- 分级脱敏：身份证号用“前6后4”掩码，银行卡号按PCI-DSS标准，“前6后4”+BIN校验
- 热更新PII词典：接国家企业信用信息公示系统API，新注册企业的法人证件号段自动同步
总结：PII防护不是功能选项，是LLM上线的准入证
在AI原生时代，PII防护早不是成本项，而是技术护城河。唯客AI护栏服务的200+企业数据显示：部署后，PII相关安全告警平均下降83%，日均拦截风险请求超50万次，全部私有化部署——原始对话流不出内网，不用上传公有云。真正的安全，不在事后补漏，而在每个token抵达的毫秒之间。
立即体验 唯客 AI 护栏
面向中国企业的 LLM 运行时安全防护系统，以双向防护与毫秒响应能力，为企业大模型应用构筑坚实PII防线。 申请部署评估