引言：当用户一句“我的身份证号是110…”触发合规警报
某头部金融SaaS平台上线首周，智能客服API把用户身份证号、银行卡尾号等日志明文打到了前端调试面板——JavaScript顺手抓取，又传去了第三方分析服务。几百条敏感信息就这么漏了。这不是假设，是2023年CNVD公开的CVE-2023-27891真实事件。
LLM早不是演示用的玩具了。它进了风控流程、接了政务热线、写起了病历摘要。PII保护也不再是法务部PPT里一页带过的内容，而是工程师每天盯着监控告警、半夜改规则、反复压测延迟的真实战场。
Gartner 2024年数据显示，73%的企业LLM项目在POC阶段就被合规部门叫停，主因就是PII处理不过关；中国网信办《生成式人工智能服务安全基本要求》写得清楚：所有面向公众的AI接口，必须能实时脱敏PII，响应延迟不能超过500毫秒。
这篇文章不讲大道理，只聊实际怎么防——从哪里漏、怎么识别、怎么拦、怎么不把模型搞崩。
一、PII在大模型场景中的四大高危暴露面
1. 输入侧：用户主动提交的敏感信息
用户聊天时顺口说“我身份证是110…”，这种最常见，也最危险。某省级政务AI助手上线第一个月，超五分之一的咨询请求含身份证号、手机号或详细住址（数据来自《2023中国政务AI安全年报》）。
更难防的是“话里藏针”：比如“上个月在XX医院做了胃镜，医生姓张”。没提任何号码，但结合挂号系统，照样能反查到人。这时候光靠正则匹配完全失效，得靠能看懂上下文的NER模型。
- 支持10+类中国本地化PII：身份证（15/18位）、统一社会信用代码、医保卡号、港澳居民来往内地通行证号
- 识别准确率99.2%（NIST PII Testbed v3.1基准测试）
- 能分清“只是提到”和“真要提交”：比如“帮我查下1381234的账单”和“我的手机号是1381234”，处理方式完全不同
2. 输出侧：模型幻觉生成的虚假PII
大模型爱编例子。某银行智能投顾曾输出：“参考案例：客户王某某（身份证31010119900307XXXX）”，号码校验不过，但银保监会照样通报了——虚构的PII也是PII，而且更麻烦：它绕过所有输入过滤，直接污染下游系统。
唯客AI护栏实测过Llama-3-70B、Qwen2-72B这些主流开源模型，在“模拟开户流程”提示下，平均18.3%的回答会凭空造出身份证号或银行卡号。
“模型输出的虚假PII比真实PII更危险——它绕过所有输入过滤，直接污染下游系统。”
—— 中国信通院《大模型安全白皮书2024》
二、技术纵深：为什么老办法在LLM面前全歇菜？
1. 正则表达式挡不住中文变形
旧DLP系统靠写死的规则，但用户输个“我的身·份·证：110101 1990 0307 123X”，加个点、空格、星号，就全绕过去了。唯客AI护栏用多粒度分词+BiLSTM-CRF联合模型，在<300ms延迟下，对中文PII各种花式变形，F1值做到96.8%。
2. 简单脱敏会把模型搞糊涂
把“张三（身份证110***123X）”粗暴替成“[NAME]（[ID]）”，模型后文可能突然接不上：“他昨天去办业务，但[NAME]没带[ID]……谁？”——指代断了。
工业级方案得做语义保留脱敏：把“张三（身份证110***123X）”转成“用户A（身份证[ID_NUMBER]）”，既看不出是谁，又能让模型继续认得这是同一个人。
具体怎么做？
- 先定位原始PII在句中的位置和角色（主语？宾语？定语？）
- 按角色生成一致的匿名标识（如“用户A”“机构B”）
- 在模型输出重写层同步注入占位符，确保上下文不断链
三、真实战场：三类典型企业防护架构对比
1. 金融行业：强监管下的双向流式防护
某股份制银行把唯客AI护栏嵌进智能风控API网关：
- 输入侧：语音转文本结果刚出来，立刻脱敏，“我老公的征信报告编号是2023XXXX”这类复合句式照拦不误
- 输出侧：模型不准返回任何带数字串的“示例”，统一改成“示例编号：[CASE_ID]”
- 日均拦截PII相关风险请求12.7万次，误报率不到0.03%
2. 医疗SaaS：HIPAA+等保三级双标适配
某电子病历AI助手要同时扛住美国HIPAA和国内等保2.0三级：
- “过敏史：青霉素（批号国药准字H20200001）”——批号自动脱敏，青霉素这个词留着
- 全程私有化部署，不碰公有云传输环节
- 审计日志存满180天，支持按患者ID一键追溯整条链路上所有PII操作记录
四、实践建议：构建企业级PII防护四步法
- 资产测绘：翻一遍所有LLM接入点——API、RAG检索库、微调用的数据集，标出哪些接口最容易引PII进来
- 策略分级：身份证号直接全掩码，手机号可以只掩中间四位，地址精确到区就行，别一刀切
- 流式集成：把防护模块塞进API网关（Kong/Tyk）或LangChain中间件，业务代码一行不用动
- 红蓝对抗：每月用一套“越狱PII提示词集”测防线——谐音、拆字、Base64编码……237种变体轮着来
总结：PII不是待过滤的噪音，而是需要被理解的业务语义
大模型时代，PII防护的本质变了。它不再是简单地把数字串打码，而是要真正读懂这句话在干什么：“138****1234”是手机号，“我刚用尾号1234的卡付了款”里的“尾号1234”也得认出来——而且得知道它指的是一张卡，不是一个人。
唯客AI护栏不做选择题：不牺牲速度，不牺牲连贯性，不牺牲识别精度。毫秒级流式检校、输入输出双向防护、专为中国场景打磨的10+类PII识别引擎——让安全真正长在业务里面，而不是挂在它外面。
立即体验 唯客 AI 护栏
面向中国企业的 LLM 运行时安全防护系统，以双向防护与毫秒响应守护每一次AI对话中的PII数据安全。 申请部署评估