引言：当用户一句“我的身份证号是110…”触发合规警报
上线第一周，某头部银行的智能客服系统就出了事——用户随口说的“我身份证号是110…”，没被识别、没被脱敏，连同银行卡号、手机号一起，原封不动写进了未加密的日志，还同步到了第三方分析平台。37条含完整PII的对话日志，直接招来《个人信息保护法》第66条的罚单：280万元。这事儿不是个例。中国信通院《2024大模型安全实践白皮书》里写得清楚：73.6%的企业AI应用，上线前压根没部署运行时PII防护；而这其中，近九成的风险，就出在用户张嘴说话那一秒。PII防护现在不是“加分项”，是上线前必须踩住的底线。
本文不讲虚的。只拆三件事：PII在大模型交互里到底怎么漏的？真实攻防中哪些场景最要命？一线工程师今天就能抄走的落地方法。
一、PII防护的本质：别再扫描文件了，得拦住每一个字
哪些才算真·PII？
法律条文列了11类核心字段（身份证、生物信息、行踪轨迹等），但实际业务里，PII是活的。
比如医疗问答里，“就诊卡号+就诊日期+主诉症状”三个字段凑一块，就能把人精准认出来；HR面试助手听到“张伟+技术部+月薪25K-30K”，结合公司花名册，身份也基本锁死。
唯客AI护栏认13类中文PII：身份证、护照、港澳通行证、军官证、医保卡号、社保卡号、学籍号、驾驶证号、手机号、银行卡号、精确到门牌号的住址、邮箱、面部图像哈希指纹。用正则打底、BERT-CRF精筛、规则引擎兜底，F1值99.2%（国家工业信息安全发展研究中心2023年测试报告）。
为什么老DLP在LLM面前全歇菜？
传统DLP靠扫文件、镜像流量，可大模型是流式吐字、上下文随时拼接、多轮对话状态还在内存里挂着——它根本不在DLP的视野里。
某省级政务热线装了国际大厂的DLP网关，结果用户问：“帮我查下我上个月在XX医院做的CT报告，报告单号是CT202403XXXX”，单号藏在长句里，没撞上关键词库，整条就跟着模型回复一起刷到了前端页面。
“大模型的生成式特性让PII泄露变得‘非结构化、非显性、非即时可捕获’——检测必须卡在token进来的入口和出去的出口，毫秒级响应。”
——中国人工智能产业发展联盟《大模型安全治理技术指引（2024）》
泄露一次，到底赔多少？
安永《2024中国企业数据泄露成本报告》算过账：平均一次含PII泄露，直接罚款186万元；客户流失率跳22%；品牌信任度掉37个百分点；后续安全加固投入翻4.3倍。
有家保险科技公司，销售助手APP没对语音转文本里的保单号做实时脱敏，12,000条对话被爬虫抓走打包卖了，最后集体诉讼，赔了5100万元。
二、四大高危场景，怎么防？
场景一：客服对话里的“尾巴”
用户不会说“我的身份证号是……”，但会说：“我昨天在你们APP绑的那张尾号8866的卡怎么扣了两笔？”
“尾号8866”看着安全？错。配上用户ID、设备指纹、交易时间，就是一把能开锁的钥匙。
唯客AI护栏的做法是：先盯住“尾号+数字”这个模式，再翻翻会话历史，确认这张卡真是用户自己绑的，才动手掩码——“尾号****8866”。不瞎脱敏，服务不打折。
- 支持13类中文PII实体（不是10+，是实打实13类）
- 上下文关联识别准确率92.7%
- 脱敏延迟<120ms（P99实测）
场景二：RAG知识库，别把PII当原料喂给模型
某律所AI顾问系统，把内部案例文档直接塞进向量库。文档元数据里写着：“当事人：张某某，身份证号：11010119900307XXXX，住址：北京市朝阳区XX路X号”。
结果用户一问“类似案件怎么处理？”，模型就把原始PII原样复述了出来。
解决办法得贯穿全程：文档入库前扫一遍PII；向量库里只存脱敏后的文本；模型生成完，再对输出tokens过一道筛。
场景三：Agent工作流，别让PII在工具间乱窜
金融投顾Agent调用“持仓查询→收益计算→风险评估”三个工具。如果第一个工具返回的JSON里带着客户身份证号，而后面两个工具压根不处理，那PII就顺着整个链路跑遍了。
这时候得在Agent编排层加个双向I/O防护中间件——所有tool call的输入和输出，自动过一遍PII扫描，该换就换，该拦就拦。
三、工程落地：四步，搭起你的防护骨架
- 拿张纸，画出你LLM应用的数据流：用户从哪输、模型往哪吐、API往哪调，节点标清楚；
- 在API网关层插上运行时PII检测模块（建议私有化部署，省得数据出境惹麻烦）；
- 分级响应：身份证、银行卡这类高危PII，直接阻断+告警；手机号、邮箱这类中危，自动脱敏+留痕审计；
- 每月红蓝对抗：拿带空格、横线、大小写混写的变体PII（比如“身份证：110101 19900307 1234”）去撞，看漏不漏。
四、五条硬核建议，别只写在PPT里
- PII词典别吃老本，得连着国家网信办最新清单自动更新；
- 所有Prompt模板，挨个做PII注入测试——比如system prompt里偷偷塞个伪造身份证号；
- 模型微调用的数据集，清洗阶段就嵌入PII过滤pipeline；
- 把PII防护塞进MLOps流水线，检测不过的模型版本，一律禁止发布；
- 每季度拉客服、产品、研发坐一起推演：比如模拟有人误把客户信息粘到公开群，第一反应是什么？
总结：PII防护不是贴膏药，是重新长骨头
它不是写几行正则就能交差的事。得用NLP识别打头阵，靠上下文建模判真假，拿策略引擎定动作，再用可观测性盯住每一步。模型层、应用层、基础设施层，防线得层层咬合。
唯客AI护栏已落地200多家企业，日均拦截含PII风险请求超50万次。在金融、政务、医疗这三个最较真的行业，实测拦截准确率99.98%，零误伤业务。
AI要从“能用”变成“敢用”，PII防护就是那道线——越过去，代价你付不起。
立即体验 唯客 AI 护栏
面向中国企业的 LLM 运行时安全防护系统，通过双向I/O防护与毫秒级流式检校，为企业每一次AI对话筑起PII隐私数据保护的坚实防线。 申请部署评估