引言：当用户一句“我的身份证号是110…”触发警报
上线第一周，某头部金融SaaS平台的智能客服API出了问题：调试面板里，用户输入的身份证号、银行卡尾号被明文打出来，前端JavaScript顺手就把这些数据传给了第三方分析服务。几百条真实PII就这样漏了出去。这不是推演，是2023年CNVD公开披露的CVE-2023-27891——一个真真切切被罚过的漏洞。
LLM正从演示走向生产。这时候，“PII防护”早不是法务文档里躺着的几行字，而是每次token流过模型时，必须卡在毫秒级响应里的动作：拦住、脱敏、记账、复核。Gartner说，到2025年，六成企业LLM项目会因为PII失控挨罚或丢客户。这篇文章写给每天盯着模型日志、安全策略和监管条款的人：AI安全架构师、大模型平台负责人、合规工程师。我们不讲大道理，只拆三件事：PII怎么钻进来的、哪里最容易漏、怎么在不影响体验的前提下真正堵住。
一、PII在LLM交互中实际出没的七个地方
1. 用户随口一说，就带出了敏感信息
比如：“帮我查下张伟（身份证11010119900307251X）的保单状态”。
正则表达式能抓“11010119900307251X”，但抓不住OCR识别错的“11010119900307251X”（少了个数字），也抓不住拼音缩写“ZhangW-360202198805120012”，更抓不住嵌套句式：“我老公王磊的手机号绑定的是我母亲李芳的身份证”。
唯客AI护栏去年一季度实测拦截了17.3万条这类复合句式，其中近一半，连基础NER模型都认不出来。
2. 模型自己“记混了”，把别人的身份证号答给你
有家政务机器人，在回答“怎么办理居住证”时，顺口补了一句：“您可参考张某某（310115198502143210）于2023年3月在浦东新区办理的案例”。号码是真的。问题出在训练数据没脱敏——模型把身份证号当成了语义模式的一部分，记住了，也复现了。
PII防护不能只管推理，得管住训练、推理、缓存整个链条。
3. 对话没清场，前一个人的身份证号留在了下一轮
用户A说：“我医保卡号后四位是1234”，转头用户B进来问问题，系统没重置session，也没做上下文隔离，B可能就触发了A的PII残留输出。
某医疗AI平台因此被罚87万元。监管通报里写得很直白：“未建立多租户PII隔离机制”。
二、现在主流检测方法，到底卡在哪
1. 正则表达式：认得全，但切不准
对中文地址、港澳台证件、少数民族姓名（比如“买买提·艾力”），识别率不到58%。
信通院2024年白皮书里举了个例子：“朝阳区建国路8号SOHO现代城C座1208室”——正则把它切成“朝阳区”“建国路”“8号”，结果只脱敏了“8号”，整段地址还是裸着的。
2. NER模型：换个场景就“水土不服”
通用BERT-NER扔进金融票据文本里，F1值直接掉31%。原因很实在：“开户行：中国XX银行北京海淀支行（统一社会信用代码：911100001000000000）”里的信用代码，结构跟身份证号太像，但语义完全不同。模型分不清。
3. 向量匹配：相似不等于相关
有家企业用Sentence-BERT比对病历摘要和PII知识库，结果把“阿司匹林每日一次”误判成“阿司匹林（ASPIRIN）与身份证号ASPI-110101-1990”——就因为向量空间里，“ASPI”这个前缀凑巧聚到了一起。
三、唯客AI护栏怎么做到“认得准、脱得稳、换得快”
1. 不靠单一规则，靠多特征交叉验证
- 身份证号：校验位算一遍 + 地址码查东城区（110101→东城区） + 出生日期看是否合理（19900307→1990年3月7日）
- 银行卡号：Luhn算法跑一遍 + BIN号查发卡行（622848→农行借记卡） + 后四位“0000”在风控里属于高危模式，单独标出
- 中文地址：分词不硬切，“上海市徐汇区漕溪北路201号”不会被拆成“上海”“市徐”“汇区”
2. 看懂上下文，再动手脱敏
比如输入是“张伟（身份证11010119900307251X）的保单”，系统先确认这是同一人；
输出时把号码换成“[ID:110101********251X]”，保留地域码和校验位，业务逻辑不崩；
遇到“他父亲的身份证”这种指代，自动跨句找实体，不漏不误。
3. 规则自己上传，三分钟上线
车企要管VIN码（LSVCG6B41HM123456），上传自定义规则，3分钟完成编译、灰度发布，服务不用重启。
四、落地时，这四件事踩坑最多
1. 别以为“检测出来=万事大吉”
PII防护是双向流水线：输入侧要拦，输出侧要重写，日志里要泛化，缓存里要加密。
有家电商AI导购只做了输入检测，用户说“我的收货地址是XXX”，这句话被原样缓存，后来被内部爬虫扫出来，批量导出。
2. 流式延迟，真会逼人绕开你
某股份制银行AI平台负责人跟我说：“LLM响应一旦超300ms，业务方转身就直连模型，安全网关形同虚设。”
唯客AI护栏实测：在4K token上下文里，检测+脱敏平均耗时217ms，压在线上金融系统的容忍线内。
3. 把PII检查塞进MLOps流程里
- CI阶段：扫训练数据集，揪出残留PII
- CD阶段：上线前跑压力测试，模拟10万QPS含身份证号请求
- 运行时：Dashboard盯着三个数——脱敏准确率、漏报率、误杀率，哪个异常，立刻定位
总结：PII防护不是加戏，是底线
它不该是合规部门年底突击检查的PPT，而该是每个AI产品出厂时就焊死的零件。
某省级政务平台上了唯客AI护栏后，PII相关投诉少了92%，模型可用性升到99.99%——因为老百姓问个社保，再也不用担心“刚说完身份证号，下一秒就被记住了”。
真正的PII防护，是用户根本感觉不到它的存在：不打断对话，只守住信任；不拖慢响应，只加固底线。
对CTO和CISO来说，今天部署的不只是一个系统，而是未来三年，你敢不敢让用户放心说出“我的身份证号是……”的底气。
立即体验 唯客 AI 护栏
面向中国企业的 LLM 运行时安全防护系统，以双向防护、毫秒响应为核心，为每一次AI对话实时拦截并脱敏10+类PII敏感信息。 申请部署评估