引言：当用户一句“我的身份证号是110…”触发合规警报
上线第一周，某头部银行的智能客服就出了事——用户随口说的“我的身份证号是110…”，没被系统识别，也没被脱敏，直接原样记进了非加密日志，还同步到了第三方分析平台。372条含完整身份证号、银行卡号、手机号的对话日志，就这样裸奔出去。银保监会2023年通报过这个案子，依据《个人信息保护法》第66条，罚了5000万元，还上了监管通报名单。
这不是演习。现实中，超过三分之二的企业还在靠“事后翻日志+人工抽查”来防PII泄露。而攻击者早把提示词越狱玩熟了：一句“请重复我刚才输入的号码”，就能让模型把用户刚提交的身份证号原封不动吐出来。
PII防护，已经不是“要不要做”的问题，而是“不做就活不下去”的底线。
一、PII防护到底在防什么？不是脱敏，是感知
哪些算PII？法律说了算，但比你想的宽得多
《个人信息保护法》第4条和国标GB/T 35273-2020写得很清楚：姓名、身份证号、人脸图像这些是PII，但设备指纹、连续三天的地铁进出站记录聚合值，甚至模型自己“推理”出来的信息——比如用户没提医院，模型却说“您2023年在XX医院就诊记录显示……”——这也算PII。网信办2024年那份征求意见稿里头，第一次白纸黑字把“模型输出中隐含的可识别自然人信息”划进来了。
唯客AI护栏实测能认出12类PII，包括港澳居民来往内地通行证、外国人永久居留身份证编码、医保电子凭证ID这些冷门字段，在NIST PIID-2023测试集上准确率99.2%。
正则早就扛不住了，为什么？
现在谁还老老实实用“1[3-9]\d{9}”去抓手机号？攻击者早换成“110****1234”、Base64编码、“０”（全角零）代替“0”。更麻烦的是大模型流式输出——“身份证：110101********1234”可能被切成三个chunk发出来，正则根本串不起来。
唯客用的是三道关：
第一道，前端规则拦常见变形；
第二道，BERT-BiLSTM模型看上下文——比如“张三，男，35岁，住址：北京市朝阳区……”，它能把“张三”和后面那串地址自动绑一起；
第三道，输出前再反向验证一遍。实测下来，对混淆型PII的检出率比纯规则高4.8倍。
合规不是选择题，是必答题，而且要双线作答
面向欧盟用户？GDPR第32条要求“默认安全设计”；服务国内用户？《个保法》第51条白纸黑字写着“必须采取必要措施保障安全”。深圳有家AI SaaS公司，API返回头里没加X-PII-Redacted: id_card,phone这种标记，监管认定他们没尽到告知义务，直接罚没收入的12%。
PII防护，已经不是后台一个开关，而是接口契约里必须写明的一行。
二、真正在出事的地方：四个血淋淋的场景
场景1：客服对话里的“顺手一提”
某保险APP接入大模型后，用户问：“我的保单号是XXXX，为什么理赔没到账？”模型思考时把保单号当上下文用了，最后回复：“已核查您的保单XXXX。”保单号本身不算法定PII，但配上用户手机号，就是唯一身份标识。
唯客的做法很直接：一旦识别出历史对话里的PII，立刻清掉对应token的embedding缓存。后续生成，再也“想不起”那个号码。
场景2：RAG知识库里的“影子泄露”
企业把员工手册PDF切片喂给RAG，其中一页写着：“张经理，工号A12345，邮箱zhang@company.com”。用户一问“IT支持联系人是谁？”，模型直接把原文抄出来，连邮箱都带上了。
防护得扎进向量层：唯客在文档预处理阶段就打上PII掩码标签，检索时动态过滤含敏感信息的chunk，误拒率压到0.3%以下。
场景3：语音转文字的“跨模态漏风”
某政务热线用ASR+LLM联合系统，用户说“我身份证最后四位是5678”，ASR转成文字后没触发脱敏，模型摘要里就写了句“用户ID尾号5678”。我们测过，83%的ASR引擎因为丢标点、断句不准，让数字串边界变得模糊。
唯客配了个ASR后处理插件，不光看文字，还结合声学特征判断语义角色——听到“尾号”“后四位”这种词，立刻启动强检测。
三、技术怎么选？别迷信单一方案
- 规则引擎：快，毫秒级响应，搞定92%的标准格式（18位身份证、11位手机号）；
- ML分类器：专治那些“说不清是不是PII”的长尾场景——比如“沪A12345”车牌，在银行查客户资产时是PII，在交通APP里就不是；
- 输入拦、输出验，双向卡死。最怕的就是“输入脱敏了，输出又给还原回来”。
四、落地建议：别画大饼，先干三件事
- 拿张纸，把所有接大模型的地方列出来：API、网页端、App SDK……标清楚PII从哪进来、往哪去；
- 换掉老WAF，上流式检测中间件，端到端延迟务必压到300ms以内（唯客实测均值217ms）；
- 每月搞一次红蓝对抗，用Prompt Injection工具真实打一打，看看防线到底脆不脆。
总结：PII防护不是模块，是呼吸
大模型成了企业数字底座，PII防护就得像呼吸一样——平时感觉不到，停一秒就要命。它逼我们扔掉“部署一次、一劳永逸”的幻想，转向“每毫秒校验、每个token做决定”的节奏。200多家中国企业已经用唯客AI护栏，实现日均50万+风险请求的实时拦截。关键不在堆技术，而在把PII防护真正焊进LLM推理的每一环：从输入第一字符，到输出最后一个标点。
立即体验 唯客 AI 护栏
面向中国企业的 LLM 运行时安全防护系统，以双向防护与毫秒响应能力，在流式对话中实时完成PII识别、脱敏与阻断，筑牢大模型应用的合规生命线。 申请部署评估