Заличаването на лични данни преди LLM не спира всеки теч

Заличаването на лични данни преди изпращане към външен LLM намалява риска от разкриване, но оставеният контекст все още може да насочи към конкретен човек. В изследването LLM-Redactor осем подхода са разгледани върху 1300 синтетични заявки с 4014 означени чувствителни откъса; комбинацията от локално маршрутизиране, заличаване и преформулиране дава 0,6% комбиниран дял на точно и частично изтичане при заявките с лични данни и нула точни изтичания сред 500 такива примера. Детекторите в изследването са ориентирани към английски текст, затова резултатът не е измерване на защита за български заявки.

Защитният слой трябва да обработва цялата заявка преди външното извикване: да открива чувствителните откъси, да ги заменя с устойчиви в рамките на заявката заместители и да задържа локално задачите, при които контекстът сам издава идентичност. Картата за възстановяване остава в доверената среда; нужните стойности се връщат едва след отговора. Оценявайте отделно пропуснатите данни, запазения смисъл и възможността човек да бъде разпознат по косвени белези.

Поставете слоя на действителната граница към модела

Проверявайте всичко, което ще влезе в изходящата заявка: потребителското съобщение, прикачения текст, извлечените откъси, резултатите от инструменти и автоматично добавения контекст. Име в документ може да заобиколи детектор, който вижда само полето с въпроса. Същият риск възниква, ако интеграцията записва първоначалната заявка в диагностичен лог или я изпраща чрез телеметрия преди заличаването.

За всяка задача определете кои подробности са необходими на външния модел. При обобщаване на жалба обикновено имат значение събитията, предметът и исканото действие, докато истинското име на подателя може да се замени. Ако задачата изисква сверяване на точен адрес с вътрешна система, самото заличаване може да я направи неизпълнима; тогава адресът трябва да се обработи по локален или друг изрично разрешен маршрут.

Откривайте идентификатори и в свободния текст

Съчетайте правила за стойности с предвидим формат, като електронна поща и телефонен номер, с разпознаване на имена, организации и адреси. Добавете правила за полетата във вашите формуляри и служебни процеси. Всеки детектор трябва да върне вида и точните граници на намерения откъс, за да може замяната да се приложи върху окончателната изходяща заявка, а не върху нейно по-ранно копие.

Форматните правила няма да уловят описание като „единственият служител в отдела, който живее в това село“. Съчетанието от длъжност, място и отношения може да разкрие човек и без собствено име. За такива случаи предвидете отделна проверка на контекста: обобщете ненужните подробности локално или не изпращайте заявката към външния модел. Оценката трябва да гледа целия откъс, защото отделните му думи може да изглеждат безобидни.

Направете тестов набор с измислени български имена и адреси, включително три имена, различни окончания на фамилии, съкратено изписване на улици и населени места. Добавете правописни грешки и данни, попаднали в прикачен контекст. Ръчно означете чувствителните откъси: така ще видите кои случаи се пропускат, вместо да приемате, че разпознаването на английски имена работи еднакво добре на български.

Заменяйте последователно, възстановявайте предпазливо

Дайте на всеки открит откъс типизиран заместител, например <PERSON_1> или <ADDRESS_1>. Една и съща стойност трябва да получава един и същ заместител при всяко срещане в тази заявка, а различните стойности — различни заместители. Така моделът може да проследи кой е подал искането и кой трябва да отговори, без да получава действителните имена.

Условен пример: „Мария Иванова подаде жалба, а Мария Иванова поиска писмен отговор“ става „<PERSON_1> подаде жалба, а <PERSON_1> поиска писмен отговор“. Картата между заместителя и стойността трябва да е отделна за всяка заявка и да остава в доверената среда. Проверете и дали избраният низ вече не присъства в оригиналния текст, за да не възстановите чужда стойност на погрешно място.

След отговора възстановявайте само точно съвпадащи заместители от картата за съответната заявка и само там, където потребителят има право да види данните. Ако моделът промени заместител, смеси два от тях или добави несъществуващ, спрете автоматичното възстановяване. Определете срок за изтриване на временната карта и пазете първоначалния текст извън обикновените логове.

Маршрутизирайте, преди да изпратите

Решението за локална обработка се взема преди външното извикване. Задръжте в доверената среда задачи, при които самоличността е неотделима от въпроса, косвените белези остават достатъчно конкретни или детекторът не може надеждно да определи какво да премахне. Към външен LLM изпращайте само заявките, за които преработеният текст едновременно покрива допустимия риск и запазва необходимите факти.

Локалното преформулиране може да замени подробна биография с роля, достатъчна за задачата. Сравнете преработения въпрос с първоначалната цел: ако е изчезнало обстоятелство, от което зависи решението, външният модел ще отговори на друг въпрос. В такъв случай изберете локална обработка или спрете извикването, вместо да изпратите текст, който е безопасен само защото е изгубил смисъла си.

Мерете пропуските заедно с полезността

В тестовия набор означете не само явните лични данни, но и фразите, които позволяват косвено разпознаване. За всяка заявка запазете очаквания резултат от задачата. След това сравнявайте изходящия текст с означените данни и преценявайте дали отговорът след заличаване все още решава същия въпрос. Разделяйте пропуснатите стойности от погрешно заличените важни факти — подобрение в едната мярка може да влоши другата.

Оценката PRvL разглежда заедно качеството на заличаването, запазването на смисъла и изтичането, както и латентността и изчислителната цена. За собствената интеграция измервайте времето на целия слой, включително локалното преформулиране и маршрутизирането. Отчитането само на времето за откриване би скрило закъснението, което потребителят действително усеща.

Липсата на точно съвпадение с име или адрес е само една проверка. Преглеждайте и остатъчни части от стойности, както и комбинации от длъжност, населено място и рядко обстоятелство, които биха позволили повторно разпознаване. При промяна на детектора, шаблона за заместители или модела изпълнете отново същия набор и сравнете както изтичането, така и качеството на отговора.

Запазете контрол и върху оставащите данни

Европейската комисия обяснява, че обработваните лични данни трябва да бъдат ограничени до необходимото за целта и че организацията преценява този обхват. Затова опишете кои категории могат да напуснат системата, кой има достъп до картата за възстановяване и кога се избира локален маршрут. Заместителите намаляват разкриването към модела, но защитата зависи и от това какво остава в изходящия контекст и в записите на интеграцията.

Прочетете също:

• QR кодът крие адреса — проверете домейна преди плащане
• ЕС ще оценява центровете за данни — прагът пада до 500 kW
• Лимитът за OpenAI API спира разхода — и може да спре продукцията