24. 配置敏感数据（PII）检测

完整版章节。内容按 2026.10 主线代码核对；具体入口以当前许可、账号权限和交付环境为准。

返回概览 · 完整版目录 · 下载完整 PDF

本章内容：本章面向租户管理员与系统管理员，说明如何让 Zenova 在请求发往模型或工具之前、以及模型和工具返回结果之后，识别并处置身份证号、手机号、银行卡号、密钥等敏感数据。读完本章，你可以查看检测状态与内置识别规则、新增和迁移企业自己的规则、用试运行核对效果、在流量规则中启用检测，并核对发往上游的报文与原文留存。人名地址等实体、MCP 工具的入参与返回内容、图片中的敏感信息、按是否含敏感信息选择模型，以及 PDF、Word 等附件中的敏感信息，也在本章说明。

检测分两处配置：一处定义「能识别什么」，一处定义「对哪些调用、检测哪些类型、命中后怎么处理」。

识别规则本身不对任何调用生效，只有被流量规则「内容检测 · 对话内容」的「敏感信息」引用后才参与判定。所需的许可模块为「模型护栏」，在流量规则中添加检测动作还需「动态路由」。

流量规则按模型、模型分组、调用方、MCP 服务等条件匹配。员工在对话中使用智能体、业务系统用 API 密钥调用、外部客户端调用 MCP 服务，只要落在规则条件内，都按同一条规则检测。

24.1 查看检测状态与内置识别规则

适用场景：先确认本租户的敏感数据检测是否已经生效、平台开箱能识别哪些数据，再判断是否需要补充企业自己的规则。

操作步骤

1. 进入「管理后台 › 护栏 › 护栏规则」，选择「敏感数据」页签。
2. 查看页面顶部的「检测状态」。
3. 在下方列表查看规则名称、正则、类型与来源，规则名称后的标签是所属分组；需要按行业查看时，用「分组」筛选：「通用」「金融」「医疗」「密钥」。

你会看到

• 「检测状态」显示「生效中」或「未生效」：
• 「生效中」：有启用中的流量规则正在使用敏感信息检测。
• 「未生效」：没有流量规则使用敏感信息检测，在流量规则中为规则添加该动作后生效。
• 状态下方显示「规则 N 条」，以及「被 N 条规则引用」「词库 N 个」两个链接。前者跳到流量规则列表，只显示启用中且引用了敏感信息检测的规则；后者跳到「词库」页签。
• 内置规则当前版本为 25 条。「通用」覆盖身份证号、手机号、银行卡号；「金融」覆盖银行账号、纳税人识别号、统一社会信用代码；「医疗」覆盖病历号等；「密钥」覆盖 Access Token、API Key 等。
• 身份证号、手机号、银行卡号三条规则的「正则」列显示「智能识别」，分别为「身份证号（校验位+出生日期）」「手机号（号段+长度校验）」「银行卡号（Luhn 校验）」，不是简单字符匹配；校验位不满足要求的 18 位数字不会被识别为身份证号。

注意

• 检测是否生效只取决于是否有启用中的流量规则引用了敏感信息检测。本页没有检测总开关，识别规则也没有启停开关；一类数据是否参与检测，只取决于引用它的流量规则「检测范围」是否包含该类型。
• 内置规则随版本更新，打开后不能修改或删除；需要覆盖企业内部编码时按第 24.2 节新增。
• 统一社会信用代码按 18 位字符结构判定；若业务中大量出现普通 18 位流水号，请按第 24.4 节用真实形态的样本核对命中情况，必要时改用自定义正则。

24.2 新增自定义规则与行业模板

适用场景：内置规则覆盖不到企业内部编码（员工工号、客户编号、合同号），或需要按行业成套启用检测。

操作步骤（自定义规则）

1. 在「敏感数据」页签选择「添加PII策略」。
2. 填写「策略名称」，例如「员工工号」；在「正则表达式」中填写匹配规则，例如 \bEMP-\d{6}\b。
3. 在「类型」中下拉选择已有类型，或直接输入新标识（例如 employee_no）后在列表中选择「使用输入的 ID」。
4. 选择「确认」。

你会看到

• 页面提示「PII 规则已添加。」，列表出现该规则，「来源」为「自定义」，顶部规则数随之增加。
• 新类型标识立即出现在试运行的类型列表与流量规则的「检测范围」中。

行业模板：模板不在本页套用，而是在流量规则的「检测范围 › 模板」中按行业成套引用，例如选「证券」即带入该行业的全部相关类型。模板名在画布摘要中显示为中文，保存前可在顶部「配置检查」确认是否为绿色勾选的「配置正常」。模板随平台版本维护，引用后其内类型随平台更新自动生效。

注意

• 正则需自行加边界。EMP-\d{6} 会把 EMP-1234567 的前 6 位当作命中，脱敏后仍留下尾数；写成 \bEMP-\d{6}\b 可避免。
• 规则上线前，按第 24.4 节用「应命中、边界值、不应命中」三类样本逐一核对。表达式过宽会造成误报和业务中断，过窄会漏检。
• 同一类型可对应多条规则；流量规则按类型引用，新增规则会自动并入引用该类型的检测范围。
• 规则本身不设数据等级与命中动作。拦截还是脱敏，在引用它的流量规则中设置（第 24.5 节）。

24.3 导入与导出识别规则

适用场景：在测试环境调好的规则要搬到生产环境，或在多个租户之间保持一致的自定义规则。

操作步骤

1. 在源环境的「敏感数据」页签选择「导出」，浏览器下载 pii-rules.json。
2. 在目标环境的「敏感数据」页签选择「导入」，选择该文件并确认。

你会看到

• 导入完成后显示「已创建：N；已更新：N」。
• 文件中的内置规则与目标平台不一致时，对话框列出「这几条内置规则与平台不一致，已跳过，平台规则未改」及「不一致的内容」，其余规则照常导入。
• 导入中途失败时显示「导入失败。」，可在同一对话框中重试，已导入的部分不会重复创建。

注意

• 只能导入本页导出的 JSON 文件，格式不符时提示「不支持的文件格式」。
• 导入只迁移识别规则，不迁移流量规则；目标环境仍需按第 24.5 节在流量规则中引用相应类型，检测才会生效。

24.4 用试运行核对识别效果

适用场景：规则上线前，或调整正则之后，用一段文本确认命中与处置符合预期。

操作步骤

1. 在「敏感数据」页签选择「试运行」，打开「敏感数据试运行」对话框。
2. 在「检测到敏感信息」中选择处置方式：「脱敏后继续处理」或「拦截」。
3. 在「要检测的类型」中选择类型，可多选；在「要检查的文本」中粘贴样例，选择「检查」。

你会看到

• 脱敏后的文本中命中片段被替换为 [REDACTED:phone]、[REDACTED:id_card] 一类占位符，便于阅读；实际调用中网关使用加密占位符 [PIIREF:v2:…]，见第 24.6 节。
• 普通业务文本（会议安排、订单号）通常显示「未发现风险」，耗时在 60 毫秒以内。

注意

• 试运行不调用模型、不经过网关、不产生调用记录，可以放心核对规则，不影响线上流量和计费。人名、地址、机构名例外，需调用敏感信息识别模型（见第 24.7 节）。
• 试运行按「类型 + 命中处数」汇总。要确认具体哪一段被识别，选「脱敏后继续处理」，对比脱敏后文本中被替换的位置。
• 新增或修改规则后重新试运行，结果立即反映变化。样本请使用虚构数据，不要粘贴真实个人信息。

24.5 在流量规则中启用敏感信息检测

适用场景：让检测真正作用于指定的模型、模型分组、API 密钥或 MCP 服务。

前提：已确定需要保护的对象；需要人名的场景已按第 24.7 节设置识别模型。

操作步骤

1. 进入「管理后台 › 流量 › 流量规则」，选择「新建规则」，填写规则名称。
2. 选择「添加条件」，选择匹配范围，例如「模型」并选中需要保护的模型，或「模型分组」并选中需要保护的分组。
3. 选择「添加处置动作」，在「请求转发前」分组中选「内容检测 · 对话内容」，在「检查阶段」中选择「用户提问」「模型回复」或「两者」，在「检查方式」中勾选「敏感信息」。
4. 在「检测范围」中选行业模板或单独选择类型，两者可同时使用；重复的类型只检测一次。
5. 在「命中后的处理」中选择「脱敏后继续处理」或「拦截」。
6. 选择「保存规则」，在「确认变更」中核对「匹配条件」与「执行动作」，再选择「确认并应用」。

你会看到

• 「内容检测 · 对话内容」节点按所选检查阶段出现在「请求转发前」或「收到上游响应后」；选「两者」时两处共用同一个节点，摘要显示所选模板名称与命中后的处理方式。
• 「确认变更」中的「匹配条件」为所选模型或分组，「执行动作」为模板名称与处理方式。
• 回到「敏感数据」页签，「检测状态」变为「生效中」，「被 N 条规则引用」的计数增加。

注意

• 检测作用的方向由节点的「检查阶段」决定：「用户提问」只检测请求，「模型回复」只检测响应，「两者」双向检测。一条规则只有一个检查阶段。
• 一次请求命中多条检测规则时，检测类型合并，同一类型取更严格的处理：拦截高于脱敏。
• 流量规则按优先级依次匹配。若排在前面的规则设置了命中后结束匹配，本规则不会参与评估；保存前请在「确认变更」中核对命中顺序。
• 员工在对话中遇到拦截时，本轮回复显示回复话术与「此回复由内容规则提供」（第 25.11 节）；管理员可在规则详情的流量视图与请求详情中核对处置结果（第 25.12 节）。

24.6 核对脱敏效果与原文留存

适用场景：确认上游确实拿不到敏感原文，并核对调用记录里留存了什么。

操作步骤

1. 用一条含虚构敏感数据的请求调用该服务：

   curl https://<网关地址>/api/v1/agent-gateway/openai/v1/chat/completions \
     -H "Authorization: Bearer <YOUR_API_KEY>" \
     -H "Content-Type: application/json" \
     -d '{"model":"<模型名>","messages":[{"role":"user","content":"测试数据：身份证号110101199003077774；手机13800138000；员工工号EMP-123456；会议室A-301。"}]}'

1. 进入「管理后台 › 观测中心 › 运行总览 › 请求」，打开这条请求。
2. 在「请求」页签查看「客户端请求」与「发往上游的请求」，再切到「路由与改写」核对命中的规则与处置。

你会看到

• 「发往上游的请求」中，身份证号、手机号、工号等命中片段被替换为 [PIIREF:v2:…] 密封占位符；非敏感内容（如「会议室A-301」）保持不变。
• 调用方收到的回复中，模型复述的占位符已还原为原值。还原适用于 OpenAI Chat、OpenAI Responses、Anthropic Messages、Gemini 四种协议的模型调用，不区分 API 密钥、智能体等调用方；其他协议（如 Completions、向量）请求中的命中替换为不可还原的 [REDACTED:<类型>]。
• 同一调用方的同一内容始终换成同一个占位符，反复出现的内容在上游看到的占位符不变。模型思考过程中的占位符保留原样，不还原；工具定义不检测。
• 被拦截的请求状态为「已拦截」、失败阶段「策略拦截」，不计费。

注意

• 占位符按调用方还原：同一调用方的同一内容始终换成同一个占位符，只有该调用方的请求能还原。同租户其他调用方把占位符原文贴进自己的请求时不会还原；占位符不设有效期。模型思考过程中的占位符保留原样，不还原；模型改写或拆散了占位符时，回复中同样保留原样。
• 若业务不允许请求正文落库，请在「管理后台 › 系统设置 › 全局设置 ›「数据留存」页签」中调整正文留存范围再上线。该设置对本租户全部调用生效，调整前请评估对排障的影响。
• 操作审计只记录配置变更（谁在何时改了哪条规则），不含请求正文。脱敏占位符与租户和调用方绑定，不能跨租户互换使用。

24.7 识别人名、地址与机构名

适用场景：需要识别人名、住址、机构名这类没有固定格式的实体。

前提：在「管理后台 › 系统设置 › 全局设置 ›「常规」页签 › 默认模型」中为「敏感信息识别」选定模型。该项是全租户共用的平台基础设施，列表中标「平台基础设施，不按分发」；需选用支持敏感信息识别用途的模型。

操作步骤

1. 进入「管理后台 › 系统设置 › 全局设置」，在「默认模型」区域选择「编辑」。
2. 在「敏感信息识别」一行选择模型，选择「保存」。
3. 回到「敏感数据 › 试运行」，在类型中选择「人名」「地址」「机构名」，粘贴样例后选择「检查」。

你会看到

• 配置生效后，脱敏文本中人名、地址、机构名被替换为对应类型的占位符；流量规则编辑器中显示「敏感信息识别模型：<模型名>」。
• 未配置模型时，流量规则的检测范围提示「还没有设置敏感信息识别模型，人名、地址、机构名不可选」；试运行提示「还没有设置敏感信息识别模型」。
• 所选模型不可用或已停用时，规则编辑器提示「敏感信息识别模型已不可用，请重新选择」或「敏感信息识别模型已停用」。

注意

• 上线前先确认识别模型可用。识别模型缺失或不可用时，这三类实体无法被识别，命中依赖它们的规则不能按预期处置。
• 该配置影响所有引用这三类的规则，仍有规则在使用时不能清空，页面会列出需要先处理的规则。所选模型的上游为外部供应商时，待检文本会发送给该供应商，请选用部署在企业内部或符合数据合规要求的模型。
• 识别模型的调用在模型分组用量中显示为「平台内部调用：敏感信息识别」。

24.8 MCP 工具的入参与返回内容

适用场景：MCP 工具会把客户档案、订单信息等敏感数据带进带出，需要对调用参数与返回结果同样检测。智能体在对话中调用 MCP 工具时同样适用。

前提：已有可调用的 MCP 服务（见第 22 章）；规则的「调用类型」需限定为 MCP 调用。

操作步骤

1. 新建流量规则，添加条件「具体能力」并选中目标 MCP 服务，再添加条件「调用类型 = MCP 调用」。
2. 添加「内容检测 · 对话内容」，勾选「敏感信息」，「检测范围」选模板「通用」，「命中后的处理」选「脱敏后继续处理」或「拦截」。
3. 需要同时拦截危险操作时，在同一规则中再添加「内容检测 · 工具调用」，见第 25.8 节。
4. 保存规则并「确认并应用」。

你会看到

• 只出现在工具返回中、调用参数里没有的敏感数据（例如工具按编号查询返回的客户档案）同样会被检测和处置。
• 被拦截的调用在 MCP 服务的「调用情况」中显示「失败 · 内容策略拦截」，放行的显示「成功」。

注意

• MCP 服务详情页不提供独立的护栏页签，入参与返回的检测统一在流量规则中配置。
• 返回内容被脱敏替换的调用仍计为成功调用，且「调用情况」不单独标注命中的护栏类型；排查时以请求详情与命中记录为准。

24.9 检测图片中的敏感信息

适用场景：调用方随请求附带截图或照片（开户截图、证件照片等），需要识别图中的身份证号、手机号。

前提：一个支持图片输入的视觉模型；所选模型的上游为外部供应商时，图片会发送至该供应商，请评估合规要求。

操作步骤

1. 打开已有「内容检测 · 对话内容」动作的流量规则，确认已勾选「敏感信息」并设置命中后的处理。
2. 在护栏段打开「检测图片内容」，在「图片理解模型」中选择视觉模型。也可以选择「YAML 编辑」，在 action.guard.content 下指定视觉模型，再选择「应用到画布」：

   action:
     guard:
       content:
         pii:
           action: block
         image:
           model:
             modelId: <视觉模型 ID>

1. 选择「保存规则 › 确认并应用」。保存时平台会用内置测试图实际调用所选模型，核对它能读出图中文字；核对不通过时给出具体原因，规则不保存。
2. 用含测试敏感信息的截图与普通通知图片各调用一次，核对结果。

你会看到

• 规则保存成功并生效；规则定义中 action.guard.content.image.model.modelId 完整保留，规则详情正常显示「请求进入 → 条件判断 → 请求转发前 / 收到上游响应后 → 处理结果 → 异常处理」的节点结构。

注意

• 图片检测依赖视觉模型先把图片转写为「描述 + 图中文字」，再用同一规则的检测项判定。图片过小、模糊或为纯图形时模型读不出文字，图中敏感信息不会被识别；上线前请用真实业务截图验证一次。
• 未开启「检测图片内容」时图片不参与检测，图中的敏感信息会原样发给上游。附件里的文字不依赖这个开关，见第 24.11 节；附件中的图片（扫描页、内嵌图片）只在开启后检测。
• 图片检测不单独设置阈值，判定结果与文本检测共用同一规则的处置方式。

24.10 按是否含敏感信息选择模型

适用场景：含客户身份信息的请求只允许交给企业内部部署的模型处理，其余请求照常使用外部模型。

操作步骤

1. 在「管理后台 › 流量 › 流量规则」中新建规则，添加条件「请求含敏感信息」，选择要判断的类型（如身份证号、银行卡号）。
2. 添加处置动作「转发到」，选择企业内部部署的上游；或选择「拒绝本次调用」，禁止此类请求外发。
3. 保存规则并「确认并应用」。

你会看到：请求中含所选类型时按本规则转发或拒绝，不含时继续匹配其他规则。命中情况可在请求详情「路由与改写」与「运行总览 › 规则命中」中查看。

注意

• 同一条规则中，条件「请求含敏感信息」与动作「敏感信息检测」不能同时使用，编辑器会提示「条件里已有「请求含敏感信息」，同一条规则不能再做敏感信息检测；两者都需要时，请拆成两条规则。」
• 人名、地址、机构名只能由敏感信息识别模型识别，不能用作「请求含敏感信息」条件；要对这类信息脱敏或拦截，请在动作「敏感信息检测」的检测范围里选择。
• 这类条件无法用于限额：含「请求含敏感信息」条件的规则上配置的限额不会生效。分流目标、优先级与规则模拟的详细用法见第 26 章。

24.11 检测附件中的敏感信息

适用场景：员工经 Claude Code、Codex 或自研应用，把含身份证号、姓名的 PDF、Word、Excel 文件作为附件随请求发给模型，需要在文件发出前识别并处置其中的敏感信息。

前提：流量规则已添加「内容检测 · 对话内容」并勾选「敏感信息」（第 24.5 节）。附件检测没有单独的开关，规则启用敏感信息检测后，附件即参与检测；识别人名、地址、机构名还需先设置敏感信息识别模型（第 24.7 节）。

检测的附件格式

附件出现在用户消息中，或出现在工具返回的结果中（例如 Claude Code 用 Read 工具读取本地 PDF 后发出的附件），按同一方式检测。

操作步骤

1. 打开流量规则，在「命中后的处理」中选择「脱敏后继续处理」或「拦截」。
2. 需要检测 PDF 扫描页与文档中的图片时，按第 24.9 节为该规则配置图片检测。
3. 选择「保存规则 › 确认并应用」。
4. 用一份含虚构身份证号的 PDF 作为附件调用一次，核对结果。

你会看到

• 选择「脱敏后继续处理」时，命中的附件改为脱敏后的文字发给模型，文字以「[附件 第 1 个附件，已由网关脱敏，原文件未发送]」开头，原文件不发出；未命中的附件原样发送。后续轮次重复提交同一附件时，改写后的文字保持一致。
• 附件中图片（扫描页、文档内嵌图片）里的命中无法打码，即使选择「脱敏后继续处理」，也按「拦截」处置。
• 选择「拦截」时，本次调用被拒绝，外部客户端经 API 调用时返回 HTTP 403。
• 「运行总览 › 规则命中」中，命中依据显示为「附件文字 · 第 1 个附件 · 第 3 页」，附件图片中的命中显示为「附件图片文字 · 第 1 个附件 · 第 2 页」；「附件摘录」显示命中位置前后各 60 字的脱敏文字。依据与摘录只标注附件序号，不显示文件名，也不保存附件全文。
• 在「运行总览 › 会话」打开这场会话，对应消息中显示脱敏后的附件文字，并带「已由网关脱敏，原文件未发送」标注；原文件不落库，不能下载。

识别范围

• 身份证号、手机号、银行卡号等按识别规则判定的类型（含自定义规则与词库）覆盖附件全文。
• 人名、地址、机构名等需要模型识别的类型，以及内容判断模型的风险判断，每次请求只覆盖全部附件文字按出现顺序的前约 1 万字（32 KiB）。超出部分不做模型识别，照常放行，并在规则命中中另记一条「未检测 · 附件超出模型识别范围」；这一情形不按「判断模型不可用时」处置。

上限与不检测的情形

注意

• 附件改为脱敏文字后，模型拿不到原文件的版式与图片。对版式要求高的任务，请先人工去除文件中的敏感信息再提交。
• 以文件编号引用的附件内容不经过网关，无法检测；需要检测时，请调用方随请求直接携带文件内容。旧版 Office 文件请先另存为 .docx、.xlsx、.pptx 或 PDF 再提交。
• 上述上限为平台固定参数，不能按规则调整。

能力说明

---

上一章：23. 外部智能体、技能、插件与外部注册中心 · 下一章：25. 配置内容检测与安全围栏