大模型应用怎么防止敏感信息泄露？

详细解析#

泄露途径和对策#

系统提示：假设它会被公开#

OWASP 的大模型风险清单明确指出，系统提示不应被当作秘密，也不应被当作安全控制手段，因为提示注入总有办法让模型复述它。所以：

• 不放密钥、连接串、内部地址
• 权限规则（如"普通用户不能查看他人订单"）不能只写在提示里，要由代码执行
• 可以在系统提示里放一个随机的"金丝雀"字符串，输出中出现它，就说明提示正在被原样复述，拦截并告警。它发现不了换个说法的复述，只是一个监控信号

权限控制要在数据进入上下文之前#

模型无法可靠地判断"这段内容不该告诉这个人"。无权访问的数据一旦进入上下文，就可能出现在回答里。所以：

• RAG 检索时带上权限过滤条件（部门、用户组、租户），不要检索出来再让模型筛选，见知识库问答系统
• 工具用当前用户的身份调用下游接口，而不是用一个能看所有数据的服务账号
• 工具的返回值做字段裁剪：查订单状态不需要返回收货人的身份证号

发给供应商之前#

• 了解供应商的数据政策：接口数据是否用于训练、保留多久、能否申请不留存、存储在哪个地区
• 满足所在地区个人信息保护和数据出境的要求
• 医疗、金融、政务等高敏感场景，考虑私有化部署，见云端 API 还是私有化部署

代码示例#

发送前把身份证号、手机号、邮箱替换成占位符，收到回答后再还原。总结、改写、分类这类任务并不需要真实值：

const RULES: [string, RegExp][] = [
  ['ID', /(?<!\d)\d{17}[\dXx](?!\d)/g], // 18 位身份证号，要在手机号之前匹配
  ['PHONE', /(?<!\d)1[3-9]\d{9}(?!\d)/g], // 大陆手机号
  ['EMAIL', /[\w.+-]+@[\w-]+(\.[\w-]+)+/g],
]

export function mask(text: string) {
  const map = new Map<string, string>()
  let n = 0
  for (const [type, re] of RULES) {
    text = text.replace(re, (value) => {
      const key = `[${type}_${++n}]`
      map.set(key, value)
      return key
    })
  }
  return { text, map }
}

// 把回答里的占位符换回真实值，再展示给用户
export function unmask(text: string, map: Map<string, string>) {
  for (const [key, value] of map) text = text.replaceAll(key, value)
  return text
}

正则只能处理格式固定的信息，有漏也有误伤：写成 138-1234-5678、或者紧跟在 +86 后面的手机号会漏掉；18 位纯数字的订单号会被当成身份证号，可以再用身份证的校验位过滤一遍。姓名、地址这类信息需要命名实体识别模型或专门的脱敏服务。Prompt 里要说明"方括号里的占位符原样保留"，还原前检查占位符有没有被模型改写。

面试官可能追问#

易错点#

• 在系统提示里写"不要泄露以下信息"，再把信息写在后面，等于直接交给了模型
• 先检索、再让模型判断用户有没有权限：数据已经进了上下文
• 只给发往模型的请求脱敏，日志里却保存着原文；可观测平台、标注平台也是第三方