人工智能信息泄露

去年秋天，人工一位在深圳做算法工程师的信息泄露朋友告诉我，他们公司内部测试的人工一个对话模型，居然把另一位同事的信息泄露工资条"背"了出来。不是人工完整的表格，但姓名、信息泄露工号、人工基本工资、信息泄露绩效系数，人工断断续续拼出了七八成。信息泄露问题出在哪儿？人工训练数据里混进了HR系统的导出文件，清洗环节没人发现。信息泄露模型上线前只测了回答质量，人工没测"记忆泄露"。信息泄露

这不是人工孤例。大模型的信息泄露，往往不像黑客攻破数据库那样干脆利落。它更像一种慢性渗漏——模型把训练时见过的敏感内容，以看似合理的方式重新组合出来。你问它"公司研发部门去年年终奖大概什么水平"，它可能不会直接回答，但会给出一个区间，而这个区间恰好对应某个真实员工的收入。这种泄露隐蔽、随机，甚至无法稳定复现，但危害一点不小。

我翻过几份公开的模型卡和隐私评估报告，发现一个尴尬的现实：多数团队把精力花在"对齐"上，让模型不说脏话、不教人做炸弹，却很少系统性地检测它是否在"回忆"训练数据。对齐管的是输出风格，隐私管的是输出内容，两码事。一个模型可以彬彬有礼、逻辑清晰，同时准确复述出某位用户的手机号和家庭住址。

泄露的路径不止一条。训练数据被爬取时混入个人隐私，这是源头。微调阶段用客户对话记录做样本，没做脱敏，这是中间环节。推理时用户输入被日志记录，又拿去迭代下一版模型，这是回流污染。三条路叠加，模型就成了一个不断扩大的记忆库。更麻烦的是，你很难判断某条信息是"学到的规律"还是"记住的原文"。一个模型能写出逼真的病历，可能因为它理解了医学语言，也可能因为它背过某家医院的真实病历。

欧盟的AI法案把这类风险归入"高风险"类别，要求做数据治理和记录留存。但法规落地需要技术手段配合。目前比较实用的做法是"差分隐私"——在训练数据里加噪声，让模型学不到个体细节。代价是模型性能会降，降多少取决于噪声强度。另一个方向是"机器遗忘"，试图从已训练好的模型里删掉特定数据。这玩意儿理论上漂亮，工程上极难，删一条数据可能影响整个参数分布，删完还得重新评估模型有没有变傻。

我自己的判断是，信息泄露会长期存在，因为大模型的底层逻辑就是压缩和复现。你喂给它多少数据，它就潜在拥有多少记忆。真正的解法不在模型侧，而在数据侧——训练前把敏感信息筛干净，比训练后想办法擦除要现实得多。可惜很多团队赶进度，清洗环节能省则省。等出了事再补救，成本翻十倍不止。

普通用户能做什么？别在对话里输入身份证号、银行卡、未公开的商业计划。你以为在跟机器聊天，其实是在给下一版模型贡献训练素材。这个提醒听起来像老生常谈，但每年都有新案例证明它不过时。