AI Agent 敏感数据脱敏：Prompt 过滤、工具参数动态掩码与回答还原机制

企业智能体直接交互大模型与业务系统时，若无受控脱敏网关，容易导致 PII、财务与商业机密外泄，甚至引发跨域合规风险。围绕前置分类分级识别、会话级动态占位掩码（Tokenization）、受控工具参数精准解密置换，以及面向最终用户的还原或保留掩码机制，梳理全链路数据脱敏治理架构。

百信 AI Agent发布于 2026-10-08约 7 分钟

当企业智能体深入连接核心业务系统与各类模型时，数据安全与隐私合规成为横亘在投产前最严峻的技术红线。在实际交互中，用户的 Prompt 输入、企业私有知识库的检索片段以及外部 API 的返回值中，往往夹杂着个人身份信息（PII）、银行账户、未经脱敏的薪酬商业数据或核心技术凭据。如果直接将原始文本透传给模型，极易导致数据出域泄露与越权扩散；而若简单采用静态单向掩码（如直接替换为星号），又会破坏模型的语义推理连贯性，导致工具调用（Function Calling）参数失真与业务逻辑中断。本文深入探讨企业智能体运行时的敏感数据脱敏治理架构：如何通过规则与命名实体识别（NER）实现前置精准识别、基于会话级 Token-Vault 构建动态可逆掩码、在受控网关中完成工具参数的安全置换，并在输出端实施二次审查与面向授权用户的动态还原。

为什么静态死替换行不通：大模型语义理解与工具调用的双重挑战

在传统的 Web 应用或报表展示中，数据脱敏通常是单向、静态且不可逆的（例如将手机号显示为 138****1234，身份证号保留前后四位）。然而，将这种简单粗暴的“死替换”套用到大模型与智能体执行链路上时，会引发一系列致命的工程冲突：

破坏上下文指代与实体共指消解（Coreference Resolution）：用户在多轮对话中常会提到多个同类型实体，例如：“把李明的考勤记录同步给张伟，并将李明的薪酬单发给财务王经理”。如果前端脱敏组件将所有姓名简单粗暴地替换为 [姓名]，发给模型的 Prompt 将退化为“把[姓名]的考勤记录同步给[姓名]，并将[姓名]的薪酬单发给财务[姓名]”。大模型将彻底丧失实体之间的逻辑指代关系，无法推断出谁是谁，进而产生幻觉或直接拒绝回答。
导致工具调用（Function Calling）入参完全失真：企业智能体的核心能力在于自主调度工具。当用户发出指令“查询客户张三（身份证号 110101199003072345）的本月发票”时，如果系统将身份证号单向脱敏为 110101********2345，大模型生成的工具调用入参也将包含这个掩码值。下游的 ERP 或财税接口接收到不合法的残缺标识后，必然抛出校验异常或查无此人，导致业务自动化链条彻底中断。
格式与语法校验的级联崩溃：很多企业接口及数据库对字段有严格的正则格式约束（例如手机号必须为 11 位数字、统一社会信用代码必须为 18 位且符合校验码算法）。如果脱敏策略生成了含有特殊字符（如星号、中文字符）的占位符，不仅下游工具无法解析，模型在尝试纠错时还会反复发起无意义的重试，白白耗尽调用配额。

数据分类分级与敏感实体识别：规则正则与轻量 NER 协同

构建动态脱敏体系的第一步，是建立确定性与泛化性兼备的敏感实体识别流水线。根据《数据安全法》要求，企业应首先完成数据资产的分类分级，并将敏感信息划分为高敏、中敏与低敏类别：

强格式确定性字段的正则与校验算法过滤：针对身份证号、中国大陆手机号、银行卡号（Luhn 算法校验）、统一社会信用代码、邮箱地址、IPv4/IPv6 地址以及私钥凭据（如 AWS Key、JWT Token 等），采用高性能预编译正则表达式与数学校验规则。该链路执行耗时通常低于 1 毫秒，且具备零误判的确定性特征。
弱格式上下文实体的轻量本地 NER 识别：针对自然人姓名、家庭住址、具体病历病情、企业内部未公开项目代号等缺乏固定格式的实体，正则匹配极易漏判或误伤。应在智能体前端引入本地轻量化命名实体识别（NER）模型或关键词字典树（Aho-Corasick），结合上下文词性标注进行语义级捕获。
分级处置与出域拦截红线：并非所有敏感数据都适合掩码后发送。对于系统级高危凭据（如数据库密码、管理员私钥、未脱敏的机密核心代码），脱敏网关应直接触发硬拦截（Hard Block），阻断请求并向用户明确提示合规风险，严禁任何形式的外发；而对于业务流转所需的 PII 与经营数据，则流转进入动态掩码处理链路。

会话级可逆掩码网关（Token-Vault）：动态占位符与上下文映射

为兼顾隐私保护与模型推理的连贯性，业界主流的工程实践是引入基于会话隔离的动态令牌化网关（Session-Isolated Tokenization Vault）：

类型感知与序号化占位符生成：脱敏网关在捕获敏感实体后，并不使用无差别的星号，而是生成保留实体类型且具备唯一序号的占位符。例如，将张三映射为 <PERSON_1>、李四映射为 <PERSON_2>，将特定手机号映射为 <PHONE_1>。这种占位符让大模型清晰获知“此处是一个具体的人名或电话”，从而完美保留了实体区分度与语义推理链路。
格式保留假数据（Format-Preserving Pseudonymization）：在对格式极其敏感的复杂推理或代码生成场景中，网关可进一步采用格式保留加密（FPE）或伪数据生成器（如生成符合校验规则但属于测试号段的假手机号、假卡号），让模型感知到真实的数字分布，同时阻断真实数据的泄露。
会话作用域状态机映射表（Token-Vault）：系统在内存缓存（如带 TTL 的 Redis 集群）中建立严格以 session_id 和 user_id 为物理隔离维度的双向映射表：<PERSON_1> <-> 张三。映射记录设置短生命周期租约（如与会话空闲超时对齐），会话结束或超时后自动粉碎，坚决禁止跨用户或跨会话共享映射数据，防止跨租户信息污染。

工具调用参数的精准置换：真实业务标识的受控注入

当大模型完成意图理解并决定调用外部工具（Function Calling）时，模型生成的入参中携带的将是动态占位符（如 query_customer_info(phone="<PHONE_1>")）。此时，智能体的工具执行网关必须介入执行二次置换：

工具网关层的反向解密探测（Parameter De-tokenization）：智能体框架在将参数发往 ERP、CRM 或数据库之前，拦截参数 JSON 报文。网关遍历参数字段，根据当前会话的 Token-Vault 将 <PHONE_1> 安全置换回真实的手机号 13800138000。业务系统因此能够正常执行查询，无需为大模型改造现有的底层接口规范。
最小权限与入参合规校验：网关不仅进行置换，还需依据当前登录用户的真实权限，复核该参数是否在允许操作的范围之内（例如当前销售员是否具备查询该客户的业务归属权）。若存在越权或参数异常，在网关层直接熔断，避免模型成为越权代理。
工具出参的二次脱敏过滤（Output Sanitization）：业务系统返回的查询结果（例如员工档案详情）同样包含海量敏感字段。工具网关在将数据包装为 tool_response 喂回给大模型之前，必须再次执行脱敏流水线，将新出现的敏感数据统一纳入 Token-Vault 映射体系，坚决防止后台系统原始数据在模型的后续推理过程中发生出域泄漏。

模型输出二次审查与面向用户的动态还原策略

大模型根据包含占位符的工具返回结果组织好最终自然语言回答后，系统需要决定如何将内容呈现给终端用户：

基于 RBAC 权限的按需动态还原：最终给用户展现的内容，取决于用户本人的数据查看权限。若当前用户具备该字段的明文查看权限，前端聚合层通过安全通道将 <PERSON_1> 和 <PHONE_1> 还原为明文显示；若用户为低权限角色，则直接渲染为规范的静态掩码格式（如 张*、138****8000），实现“数据可用但不可见”。
回答内容的防注入与敏感词二次审查：在最终输出发送前，系统进行二次安全扫描，防止模型在推理过程中通过间接提示注入（Prompt Injection）被诱导拼接出原始敏感数据的片段，确保内容合规安全。
全链路审计日志的脱敏留痕：写入审计日志（Audit Trail）的报文必须同样经过脱敏处理。审计库中仅记录占位符与脱敏后的操作摘要，真实明文数据严禁写入持久化应用日志或分析数据库，杜绝因日志归档或运维排查引发的二次泄露。

典型实施落地五步法：智能体数据脱敏治理规范

企业在规划并落地 AI Agent 数据脱敏架构时，建议遵循以下五步实施路径：

【实施路径】企业智能体动态数据脱敏建设标准：

第一步·敏感数据资产目录梳理与分级：全面盘点业务问答、RAG 知识库与工具调用所涉数据，依据国家法规与企业安全规范，明确 PII、商密与技术凭据的识别规则与拦截等级。
第二步·部署高性能前置脱敏网关：在应用入口与大模型网关之间设立拦截代理，集成正则校验器与本地轻量 NER 引擎，确保前置脱敏延迟控制在 5ms 以内。
第三步·构建会话级 Token-Vault 映射中心：实现带 TTL、具备严格会话与租户隔离的令牌化存取服务，支持类型化占位符（如 <ID_1>）的双向解析。
第四步·实现工具网关双向参数置换与校验：在 Function Calling 调度层对工具入参进行受控去令牌化（De-tokenization），对工具出参进行二次脱敏，确保数据进出双向受控。
第五步·联调审计留痕与全链路攻防演练：实施提示注入对抗演练，验证在恶意引导、越权诱导与复杂多实体指代场景下，脱敏逻辑的鲁棒性与审计合规性。