本文回答
- 怎样识别业务文本中的个人和敏感信息？
- 发现敏感片段后可以采用哪些脱敏处理？
- 为什么不能仅靠提示词防止敏感资料泄露？
面向企业AI项目业务负责人与数据合规岗位人员，解答各类业务文本提交大模型前的敏感信息识别、脱敏处理方法，澄清提示词防护的实际局限，帮助团队建立前置的数据安全防线。
下文引用的公开资料只代表对应机构的做法，其余内容为实施建议，具体范围需由项目参与方约定。
业务文本敏感信息的识别方法
识别工作由数据合规岗联合AI工程团队共同执行。输入材料包括待提交AI模型的业务文本样本，企业内部制定的敏感信息分类规则，以及行业监管要求覆盖的个人信息范围。个人信息包括可直接或间接识别特定自然人的各类内容，敏感信息还涵盖企业内部未公开的业务数据、商业秘密等，具体边界需结合企业内部制度与适用监管要求划定。输入检查需覆盖所有进入模型的文本渠道，包括用户直接输入、上传的文档、从内部系统调取的业务资料等，避免出现防护盲区。Presidio Analyzer文档说明实体识别器可以采用规则或机器学习模型，模式识别器使用正则表达式检测文本中的实体，上下文增强模块借助文本上下文增强实体检测23。团队可结合自身业务特点，先搭建基础规则库覆盖明确的敏感信息类型，再逐步引入机器学习模型提升复杂场景的识别准确率。对特定行业的专属敏感信息，可提前整理特征词库补充到识别规则中。识别完成后需形成带标注位置与类型的敏感信息识别报告，每一条识别项都附匹配依据，方便后续复核。如果识别过程中出现漏判或误判的争议，提交业务线与合规岗共同复核，确认后补充到规则库，或对识别模型进行针对性优化。OWASP的敏感信息泄露指南建议用模式匹配等技术在处理前检测并删改机密内容25。
敏感片段的脱敏处理选择
脱敏处理由AI工程团队配合数据合规岗执行，输入为识别完成后带敏感标注的文本，以及具体业务场景对信息可用性的要求。数据脱敏需遵循最小必要原则，只处理与AI任务相关的敏感信息，无需对整段文本做过度处理，避免破坏整体语义。Presidio Anonymizer文档说明匿名化引擎使用分析引擎的结果来执行匿名化，内置替换、删除和加密等操作，用户也可扩展项目以支持额外的匿名化操作24。不同操作适用于不同场景，对不需要保留原值的信息可直接删除，对需要保留格式或语义关联的信息可用通用占位符替换，对后续需要还原验证的信息可采用可逆加密处理。部分场景下也可采用信息泛化的方式，将具体数值替换为区间范围，在保留语义的同时降低敏感程度。处理完成后形成脱敏后的可用文本，以及脱敏操作日志，记录每处敏感信息的处理方式与原信息映射关系，映射关系需加密存储，仅限授权人员访问。如果脱敏后的文本无法满足AI处理的语义要求，由业务岗评估是否可以缩小提交范围，或申请分级授权后使用更低脱敏等级的内容。
仅靠提示词防护的风险根源
不少团队尝试在系统提示词中加入保密要求，希望模型不泄露输入的敏感信息，但这种方式存在明显局限，无法作为核心防护手段。OWASP的敏感信息泄露指南提醒，系统提示词中的限制可能被绕过25。大语言模型的生成机制基于上下文概率预测，没有强制的指令与数据边界，攻击者可通过提示注入、角色扮演、上下文混淆等方式绕过提示词中的保密要求。此外，不同模型版本对提示词的遵循程度存在差异，业务人员的误操作也可能修改提示词内容，无法形成稳定的安全防线。模型能力提升的同时，攻击者绕过提示词的手段也会同步迭代，不存在一劳永逸的提示词防护方案。提示词只能作为辅助防护手段，与前置的敏感信息识别、脱敏流程形成多层防护。团队需明确输入侧校验的核心地位，不能将敏感信息防护的责任全部交给模型对提示词的遵循。
落地前的核对清单
落地相关工作前，可对照如下事项逐一核对，保障流程完整可落地
- 梳理本业务线需要提交AI模型的所有文本类型，列出其中可能包含的个人信息与敏感信息分类
- 选定敏感信息识别工具，完成一批真实业务样本的识别测试，由合规岗确认识别准确率满足要求
- 根据业务场景对信息可用性的要求，对应每类敏感信息确定脱敏处理方式，形成统一的脱敏规则表
- 验证脱敏后的文本仍能满足AI任务的基本语义要求，记录验证过程与结果
- 建立敏感信息识别与脱敏的操作日志机制，明确日志的存储期限与访问权限
- 排查当前AI调用流程中是否存在仅靠提示词防护敏感信息的环节，补充前置输入校验步骤
