技能介绍

为什么需要 LLM 隐私保护

在调用大模型处理业务数据时，日志、数据库查询结果或 API 响应往往夹杂着姓名、电话、邮箱等个人敏感信息（PII）。一旦这些数据进入模型上下文，就意味着隐私泄露。但业务逻辑又要求模型必须基于这些数据进行聚合、过滤或推理，并最终向用户返回完整的、包含真实信息的答案。如何在“不泄露原始数据”与“提供准确完整回复”之间取得平衡，是当前工程实践中的一道难题。

可逆掩码的工作机制

llm-privacy 提供了一条确定性的“掩码-还原”流水线。其核心原则是绝对不直接读取原始敏感数据。

掩码阶段：在读取数据前，先通过 mask 命令将 PII 替换为稳定的占位符（如 ⟦PII_...⟧）。相同值总是映射到相同 token，你可以直接对 token 进行分组、计数和连接。
推理阶段：像操作真实值一样处理这些 token，保持拼写绝对一致。
还原阶段：在将最终答案呈现给用户前，通过 restore 命令将 token 还原为真实 PII。映射表保存在权限为 0600 的本地保险库中，永不进入上下文。

对于 CSV 或 JSON 等结构化数据，推荐使用 --fields 参数直接指定敏感字段名，实现整列或递归键值的精确掩码。

适用边界与安全注意点

先掩码后读取：只要输出可能包含 PII，必须先掩码再读取。一旦原始值进入上下文，隐私保护即宣告失效。
Token 的不透明性：Token 只是占位符，不能直接用于后续的命令拼接。若需基于真实值执行后续操作，请使用 restore→exec→mask 链路，让真实值仅在本地 Shell 流转。
盲验证还原结果：还原后的文件包含真实 PII，严禁将其重新读入模型上下文（如使用 cat 或 diff）。验证时应盲查 token 残留，例如执行 grep -c 'PII_' final_answer.md，结果必须为 0。
保险库管理：保险库文件包含真实映射关系，任务结束后应及时清除，严禁打印或提交至代码仓库。