很多团队接入大模型时关注点都集中在生成质量、响应速度、上下文长度和成本上唯独容易忽略输入侧的问题你发给 LLM 的每一条 Prompt到底在哪些环节被保存、被转发、被记录Prompt 在 LLM 应用里既是指令也经常夹带业务数据——客户手机号、合同编号、内部文档原文、代码片段。一旦 Prompt 被 API 平台日志落盘被第三方插件转发或者被 RAG 向量库长期保留这条信息的暴露范围就完全失控了。这次不聊新模型聊一个所有 LLM 应用开发者在接入大模型时都会碰到、又很少系统处理的问题Prompt 隐私。本文会把提示词隐私当成一项工程能力来处理先明确风险通路再给出检测方法然后是脱敏实现、API 调用规范和批量任务里的隐私控制点。无论你是自己搭本地 LLM 服务还是调用云端 API这套流程都能直接对照使用。下面先看一张 Prompt 隐私核心风险速览表把最容易出问题的位置和对应的防护方法列出来。1. Prompt 隐私核心风险速览风险点触发场景风险等级受影响群体防护手段API 日志落盘通过云端 API 发送提示词服务端记录请求内容高企业协同、客服机器人、代码助手关闭日志记录、网关过滤、数据最小化模型供应商训练数据使用默认配置调用公共模型提示词被用作训练语料高未单独配置隐私选项的开发者在控制台关闭训练选项或改用本地模型浏览器缓存与本地日志使用 Web 版对话浏览器开发者工具可看到完整请求中企业内部 Web 工具使用者禁止 Web 页面录入明文敏感信息第三方插件转发安装翻译、总结、同步插件Prompt 从原平台转发到另一服务中高浏览器插件用户最小权限插件、抓包审查请求域名RAG 知识库存储将内部文档切片后建立向量索引原始文本留存在向量库中企业内部知识库问答系统对库内文档做脱敏、权限分级、定期清理这张表不是用来制造焦虑而是为后面的检测脚本和防护流程提供优先级先查日志再查训练开关然后查 RAG 库最后检查插件和浏览器端。2. 提示词为什么会成为新的泄露对象2.1 提示词本身就不是普通文本在传统软件开发里接口调用传的是结构化参数敏感信息存在于数据库字段和配置文件里可以用字段级权限、加密存储、审计日志来管理。但到了 LLM 应用里这些东西全被压缩进了一串自然语言 Prompt 中。用户说“帮我把这个客户合同里的付款条款总结一下”这条 Prompt 里可能就带着合同原文。换句话说Prompt 是一个没有边界的传输通道。它把业务系统中原来分散存储的数据集中到一条请求里发给模型。谁控制这个请求谁就控制了对数据的访问能力。这是 Prompt 隐私问题比其他数据泄露更难处理的原因——敏感信息不是单独传输而是藏在自然语言里。2.2 泄露通路一API 日志与审计云端 LLM API 出于安全审计和问题排查的考虑基本都会在服务端保留请求和响应的日志。很多开发者在本地打通接口后不会关注服务端的日志保留策略直到审计或者安全事件爆发才发现大量用户输入的明文 Prompt 已经在平台上留了几个月甚至更久。有些平台允许在控制台关闭“训练数据收集”但关闭训练开关不代表关闭日志。不同平台的日志保留周期、数据存储区域、售后技术支持能否查看请求内容这些信息在供应商文档里都有但真正去读的人很少。如果你所在企业有数据合规要求调用第三方 LLM API 之前至少要确认四件事训练开关是否默认开启日志保留策略是什么数据是否出境存储供应商内部是否有权限直接查看请求内容。2.3 泄露通路二模型供应商训练数据这条通路在免费账号和默认配置下尤其明显。当你使用某个对话产品输入 Prompt 时如果产品条款写明了“对话内容可能被用于模型训练”那么你输入的财务数据、源码片段、客户信息都可能进入后续训练语料。虽然模型训练不等于直接公开泄露但这些数据一旦进入训练集就无法精确删除。后续可能以近似形式出现在其他用户的生成内容里也可能存在于模型的记忆评估中。个人使用影响有限企业场景就是严重事故。2.4 泄露通路三RAG 知识库与向量检索RAG 架构下企业内部文档先切片、向量化存入向量数据库。业务系统查询时把用户问题转成向量检索相关片段再拼进 Prompt 发给 LLM。这个链路里有三个存放点原始文档、向量数据库、发给 LLM 的 Prompt。向量数据库一旦被内部人员导出或者索引权限配置错误被索引的文档就全部暴露。因为向量化之后不便于按原文搜索很多团队甚至意识不到向量库里已经明文保存了原始文本。这一点实操时最容易被忽略。提示词做了脱敏但向量库里存的是完整切片原文等于前面的工作白做。RAG 场景的 Prompt 隐私实际上是三个连续问题数据入库前是否脱敏向量库权限是否隔离检索结果是否二次脱敏。2.5 泄露通路四第三方插件与浏览器缓存技术团队容易忽略浏览器端泄露。使用 Web 版对话产品时浏览器保存会话记录插件可以读取页面输入框。如果习惯把客户隐私直接粘贴到对话页面那么任何有权限读取页面的扩展程序都能拿到明文。之前有的团队排查过类似事故敏感信息不是从服务端泄露而是从浏览器插件把用户输入转发到了不明服务端。3. 使用场景与合规边界3.1 谁适合重点看这篇文章第一类是正在把 LLM 接入业务系统的开发者需要确认 API 调用链路中没有明文敏感数据。第二类是负责企业内部知识库、客服系统、代码助手的运维和平台管理员需要制定提示词保留和脱敏策略。第三类是想在个人项目里使用大模型又不想把个人数据落到第三方平台的独立开发者。3.2 需要重点保护的场景调用云端 LLM API且业务数据包含手机号、身份证号、银行卡、病历、合同、员工薪酬等敏感字段。企业内部 RAG 系统索引了内部文档、客户资料、代码仓库。批量推理任务一次处理大量用户文本比如批量客服工单、批量简历筛选、批量合同审核。通过第三方集成工具调用大模型比如在低代码平台里接入 LLM 节点。3.3 合规与授权边界涉及个人信息、医疗健康、金融、未成年人信息等场景时不能只靠技术手段规避风险。首先要确认是否有合法授权数据来源是否允许用于大模型处理用户是否知情处理行为是否符合平台规则和法律法规。技术上能脱敏、能加密、能不上传都不等于业务上合规。工程上的建议是在业务设计阶段就把数据分级和授权流转放进需求不要等上线后出问题再补。4. 环境准备与前置条件4.1 本地部署场景本地部署是解决 Prompt 隐私的终极手段之一前提是能在可控环境里运行模型。准备清单如下一台具备虚拟化能力的 Linux 或 Windows 主机有 NVIDIA 或 AMD 显卡模型较小时CPU 推理也可以只是速度更慢。Python 3.10 或以上版本。本地推理框架例如 Ollama、llama.cpp、vLLM或者带 WebUI 的整合包。足够的磁盘空间存放模型权重。量化后的 7B 级模型大约需要 4 到 8GB 空间70B 级模型需要 40GB 以上实际以模型文件大小为准。启动本地服务可以使用 Ollama 等框架下面是一个最简示例拉到本地后不需要把 Prompt 发送到外部云端# 拉取一个本地可运行的 7B 级别开源模型具体模型名以你选择的为准 ollama pull qwen2.5:7b # 启动本地推理服务 ollama serve# 验证服务是否就绪返回模型列表说明服务已正常运行 curl http://127.0.0.1:11434/api/tags执行验证时需要注意如果11434已经被其他进程占用要换端口启动。本地推理不会把 Prompt 发送到外部云端但本机进程日志、终端历史、Python 控制台仍然可能把 Prompt 记录下来。本地部署不等于不查日志这个点不能想当然。4.2 云端 API 场景业务必须使用云端 API 时部署前建议做一轮前置检查阅读 API 提供方的数据使用条款确认是否默认将输入用于训练。在控制台关闭“训练数据收集”或类似选项。确认日志保留策略是否支持较短保留周期或自动删除。明确数据存储区域是否满足公司数据合规要求。在 API 网关层增加请求内容脱敏组件。下面是一个 Python 调用云端 LLM 的示例重点在于不打印完整请求体from openai import OpenAI client OpenAI( api_key你的密钥, base_url实际可用的接口地址 ) try: response client.chat.completions.create( model你的模型名, messages[ {role: user, content: 这是需要处理的文本} ], temperature0.7 ) print(response.choices[0].message.content) except Exception as exc: # 不要打印 exc 或 response避免 Prompt 回显到日志 print(f调用失败{type(exc).__name__})4.3 数据分级清单在部署前做一份简单的数据分级后续的检测规则都以它为依据数据级别示例允许进入 Prompt 吗L1 公开数据公开新闻、公开文档可以L2 内部数据内部技术文档、会议纪要脱敏后可以L3 敏感数据手机号、身份证、合同金额尽量不进入必须处理时使用替代字段L4 极敏感数据密码、密钥、医疗信息不进入使用本地模型或最小化方案5. Prompt 隐私检测与验证方法5.1 从自己发出去的请求查起在真正的泄露发生之前先检查自己能否从日志、网络请求、进程输出中看到 Prompt 明文。如果开发者自己都能看到那么拥有更高权限的人也能看到。检测分三步在本地开发环境启动一个日志采集点。调用 LLM 服务发送一条带测试敏感信息的 Prompt。检查日志、流量监控、模型平台控制台的审计记录看这条 Prompt 出现在哪里。如果出现在本地进程日志说明代码里有敏感输出日志。如果出现在网络抓包里说明明文经过网络链路。如果出现在 API 平台控制台里说明服务端有日志记录。5.2 用 Python 正则扫描 Prompt 中的敏感信息下面是一个简单的敏感信息扫描器可以放在本地服务入口处对即将发送的 Prompt 做一次出境前检查import re SENSITIVE_PATTERNS { 手机号: r(?!\d)1[3-9]\d{9}(?!\d), 邮箱: r[\w.-][\w-]\.[\w.], 身份证号: r(?!\d)\d{17}[\dXx](?!\d), IP 地址: r(?!\d)(?:25[0-5]|2[0-4]\d|1\d\d|[1-9]?\d)(?:\.(?:25[0-5]|2[0-4]\d|1\d\d|[1-9]?\d)){3}(?!\d), } def scan_prompt(text: str) - list: findings [] for name, pattern in SENSITIVE_PATTERNS.items(): for match in re.finditer(pattern, text): findings.append({ type: name, value: match.group(), position: match.start() }) return findings if __name__ __main__: test_text 客户手机号 13812345678邮箱 testexample.com请生成回复 for hit in scan_prompt(test_text): print(hit)输出结果会显示每条敏感信息的类型、位置和原始值。这个扫描器只是示例生产环境建议使用更完整的脱敏组件并把扫描结果接入报警监控。5.3 日志逃逸检查很多团队在代码里没有直接打印 Prompt但异常堆栈、HTTP 请求日志、SDK 内部的 debug 日志仍可能泄露输入。检查方法是在测试环境把日志级别调到 DEBUG发一条测试请求然后搜索日志文件grep -r 13812345678 logs/ grep -r testexample.com logs/只要能搜到说明日志链路里还有组件把完整 Prompt 写入了需要继续找。这是最直观也最容易被忽略的验证方式。5.4 抓包验证如果服务是 HTTP 明文调用或者通过第三方网关转发用抓包工具看一下请求体。生产环境不要随意抓包先在测试环境复现。检查清单如下请求 URL 和目标域名是否符合预期。请求头里是否携带了额外凭证。请求体里是否存在完整 Prompt 明文。响应体里是否回显了用户输入内容。是否有请求被重定向到未注册的第三方地址。6. 提示词脱敏与防护实现6.1 模板与业务数据分离这是最容易做到、也最有效的方式。不要等业务数据拼进模板后再做检查而是先在业务侧拆出数据字段只把必要字段传给 LLM。不推荐的做法prompt f请根据以下信息写一封商务邮件客户姓名{name}手机号{phone}订单号{order_id}推荐的做法record { customer_id: C1001, order_status: shipped, estimated_delivery: 2025-06-10 } prompt 请根据订单信息写一封商务邮件 客户编号{customer_id}订单状态{order_status}预计送达{estimated_delivery}.format(**record)核心原则是不传手机号、身份证号等不需要的字段而不是仅仅打码。数据最小化本身就是最强的隐私保护。6.2 敏感字段脱敏如果某个字段必须参与生成可以先脱敏再发送。例如手机号中间四位替换为星号邮箱保留域名后缀import re def mask_phone(text: str) - str: return re.sub(r(?!\d)(1[3-9]\d)\d{4}(\d{4})(?!\d), r\1****\2, text) def mask_email(text: str) - str: return re.sub(r([\w.-])([\w-]\.[\w.]), lambda m: **** m.group(2), text) def redact_prompt(text: str) - str: text mask_phone(text) text mask_email(text) return text sample 客户手机号 13812345678邮箱 testexample.com print(redact_prompt(sample)) # 输出客户手机号 138****5678邮箱 ****example.com脱敏之后生成任务需要的信息仍然存在但完整敏感字段已经不在明文里了。注意正则规则要根据实际业务调整最好把规则集中放在配置文件中{ redact_rules: { phone: {pattern: (?!\\d)1[3-9]\\d{9}(?!\\d), mask: keep_tail}, email: {pattern: [\\w.-][\\w-]\\.[\\w.], mask: keep_domain} }, block_if_contains: [身份证号, 银行卡] }这样当规则变化时不需要重新改代码。6.3 内容最小化长文档改成摘要如果模型任务是总结长文档优先在本地做一次文档抽取把关键段落提取出来再拼接成 Prompt不要把整份 PDF 或 Word 原文发送给云端 API。这一步既能降低 token 成本也能减少敏感信息暴露量。可以先用 pypdf、pdfplumber 之类的工具在本地解析再通过关键词或规则抽取关键段落。不要图省事直接把整个文件喂进上下文。6.4 本地部署兜底当数据级别达到 L4 时最稳妥的方案是使用本地模型。本地模型不向第三方发送数据但需要团队自行管理模型版本、推理资源、安全补丁和日志删除。更重要的是本地模型同样会记录日志不要因为“本地”就放松日志审计。前文提到的扫描和日志检查流程在本地部署环境下同样适用。7. 接口 API 调用中的隐私控制7.1 调用层面的隐私配置调用云端 API 时优先确认配置项中是否有关闭训练开关、关闭日志保存、设置数据保留周期的能力。不同平台配置方式不一样以实际控制台页面为准。常见做法是创建 API Key 时关联一个独立的项目空间并在项目设置里把所有隐私相关选项调到最严格。如果平台不支持关闭训练就要评估是否改用本地模型。7.2 异常处理与日志脱敏LLM API 出错时错误信息里有时会包含请求参数或者 SDK 直接把请求体打进堆栈。代码里要统一封装异常处理确保任何异常输出都不会带出 Prompt 明文import logging logger logging.getLogger(llm_client) def safe_llm_call(client, messages): try: response client.chat.completions.create( model你的模型名, messagesmessages ) return response.choices[0].message.content except Exception as exc: # 关键点只记录异常类型不记录完整错误消息 logger.error(LLM call failed: %s, type(exc).__name__) raise这里最容易犯的错是直接logger.exception(exc)或者把response.text打出来一旦 SDK 的响应里回显了输入日志就等于复制了一份 Prompt 明文。7.3 批量任务中的隐私风险批量任务比单条请求更容易造成大规模泄露因为批量处理通常会把输入放在文件里而日志很容易把整个批次文件路径打印出来。建议在批量任务中加入以下流程输入文件加密存储任务完成后按策略删除。每一条输入在进入队列前先做脱敏扫描。任务日志只记录批次 ID 和任务状态不记录输入内容。失败重试时从脱敏后的副本重试不重新发送原始 Prompt。输出文件中如果包含原始输入片段同样做脱敏。下面是批量任务脱敏封装的简单示例import csv def process_batch(input_file, output_file, redact_func, llm_func): with open(input_file, r, encodingutf-8) as fin, \ open(output_file, w, encodingutf-8) as fout: reader csv.DictReader(fin) fieldnames reader.fieldnames [result] writer csv.DictWriter(fout, fieldnamesfieldnames) writer.writeheader() for row in reader: safe_text redact_func(row[content]) row[result] llm_func(safe_text) writer.writerow(row)这只是一个架构示意实际项目要加入队列、重试、审计和删除策略。7.4 网关拦截设计如果团队有多个服务接入