Microsoft Presidio 隐私分析引擎 (presidio)

Microsoft Presidio 隐私分析引擎（presidio）是 OmniCortex 安全围栏体系中专为非结构化自然语言个人隐私（PII）语义治理打造的高级检测驱动。该引擎通过标准化接口集成业界知名开源隐私框架 Microsoft Presidio Analyzer，基于自然语言处理（NLP）命名实体识别算法，在复杂人机对话、客服问答与知识库检索中，对多国个人隐私实体进行精准识别、分级告警与动态脱敏。

相比基于固定字符模式的常规匹配，presidio 引擎具备理解上下文语义的能力，并支持置信度评分阈值动态过滤，能够以极低误报率智能提取隐藏在自然长句中的敏感个人信息，全面筑牢企业个人隐私合规底线。

一、运行形态与部署依赖

评估维度	特性表现
运行形态	本地私有化容器部署 (Self-Hosted Service)，通常以独立 Docker 容器或 Kubernetes Pod 运行于企业内网，网关通过标准 HTTP(S) 端点进行通信。
网络环境依赖	完全私有内网闭环，可部署在企业无外网访问权限的物理机或私有集群内，所有会话文本 100% 留在内网，杜绝数据离境或上传公网。
凭据与鉴权	支持内网免密内联访问，或通过可选的 API Key、内部 Token 完成服务间安全鉴权。
开销与扩展性	算法模型开销与网关内核完全解耦，支持独立水平扩缩容（HPA），不占用网关核心处理进程的计算资源。

快速 PoC 验证：一键 Docker 启动

在本地调试或进行概念验证（PoC）时，仅需拉起微软官方公开的单体 presidio-analyzer 容器镜像即可快速就绪，无需配置数据库或外部服务：

bash

docker run -d --name presidio-analyzer \
  -p 5002:3000 \
  --restart unless-stopped \
  mcr.microsoft.com/presidio-analyzer:latest

容器启动后，可通过标准接口验证服务可用性并查看支持的实体清单：

bash

# 验证端点连通性并获取实体支持清单
curl -s http://localhost:5002/supportedentities?language=en

验证就绪后，在 OmniCortex 控制台「检测能力库」➔「Microsoft Presidio」配置中，将 分析服务地址 (endpoint) 填入 http://<宿主机IP>:5002 即可完成对接。

二、能力边界与处置动作

1. 防护阶段覆盖

输入侧防护 (Input Phase)：全面审查用户输入的提示词（Prompt）与多轮历史问答，在自然语言提问抵达上游大模型前识别并脱敏包含的客户个人隐私，杜绝敏感数据流入公有云模型；
输出侧防护 (Output Phase)：实时审查大模型生成的返回长句，防止大模型在总结、问答或翻译过程中意外吐露包含特定个人的敏感隐私信息；
双通道流式感知：原生支持流式打字机输出的实时化验与动态打码，确保在流畅的用户交互体验下不留合规死角。

2. 支持的处置动作矩阵

处置动作	支持情况	动作生效表现与业务影响
刚性阻断 (`block`)	✅ 支持	一旦识别到置信度超标的高危隐私实体，立即阻断推理链路并返回标准安全拦截响应，防止违规内容流转。
动态脱敏 (`redact`)	✅ 支持	命中隐私实体后，将其就地替换为对应的语义掩码（如 `[EMAIL]`、`[PHONE]`、`[BANK_ACCOUNT]`），保障业务会话顺畅流转。
仅检测审计 (`detect_only`)	✅ 支持	旁路静默观察，不对实时交互做任何阻断与修改，仅在全量安全审计日志中记录命中的实体类型与置信度，用于合规巡检。

三、典型业务应用场景

场景一：企业智能客服与在线工单客户隐私脱敏 用户在咨询客服或提交工单时，在长文本描述中夹杂着个人手机号、电子邮箱、住址或银行账号。presidio 引擎自动在网关侧将其实时打码，防止敏感数据被内部大模型记录或被座席人员未授权查阅。
场景二：医疗健康咨询与电子病历（EHR）合规审查 在医疗 AI 助手问答场景中，实时识别涉及患者隐私的医疗执照编号、英国 NHS 编号、特定就诊日期与医疗证件代码，全方位满足医疗行业严苛的数据脱敏合规标准。
场景三：跨国商务与涉外业务合规防线 面对跨国金融与涉外业务，自动识别包含美国社会安全码（SSN）、美国护照号、加州驾照号、个人纳税识别号（ITIN）以及国际银行账户（IBAN），确保跨国数据流转合规。
场景四：知识库问答防敏感实体逆向提取 防止大模型基于内部知识库检索增强生成（RAG）回答提问时，将文档中记录的真实客户全名、联系方式原封不动地泄露给外部用户。

四、规则体系与自定义扩展能力

1. 开箱即用规则库 (17 项内置高频隐私实体)

系统内置锁定了 17 类高频 Presidio 经典实体规则，全面覆盖五大个人信息领域：

实体规则标识	实体分类	默认级别	默认脱敏掩码	典型防护目标与语义说明
`builtin:presidio:email_address`	通讯隐私	高危	`[EMAIL]`	RFC 5322 标准电子邮箱地址
`builtin:presidio:phone_number`	通讯隐私	高危	`[PHONE]`	国际及各地区格式手机号与固定电话
`builtin:presidio:credit_card`	金融安全	严重	`[CREDIT_CARD]`	结合 Luhn 算法识别主流发卡行信用卡号
`builtin:presidio:iban_code`	金融安全	严重	`[IBAN]`	国际标准银行账户编号 (IBAN)
`builtin:presidio:us_bank_number`	金融安全	严重	`[BANK_ACCOUNT]`	美国银行账户支票号与银行路由代码
`builtin:presidio:crypto`	金融安全	高危	`[CRYPTO]`	比特币、以太坊等主流加密货币公开钱包地址
`builtin:presidio:us_ssn`	核心身份	严重	`[US_SSN]`	9 位美国社会安全保障号码 (SSN)
`builtin:presidio:us_passport`	核心身份	严重	`[US_PASSPORT]`	美国出入境护照编号
`builtin:presidio:us_driver_license`	核心身份	高危	`[US_DRIVER_LICENSE]`	美国各州机动车驾驶证号码
`builtin:presidio:us_itin`	核心身份	严重	`[US_ITIN]`	美国国税局个人纳税人识别号 (ITIN)
`builtin:presidio:nrp`	核心身份	中危	`[NRP]`	国籍、宗教信仰或政治党派归属信息
`builtin:presidio:date_time`	辅助标识	低危	`[DATE_TIME]`	结合上下文的具体日期、相对时间与时间戳
`builtin:presidio:ip_address`	网络资产	中危	`[IP]`	局域网与公网 IPv4、IPv6 网络协议地址
`builtin:presidio:mac_address`	设备资产	中危	`[MAC]`	网络硬件物理网卡 MAC 地址
`builtin:presidio:url`	网络资产	低危	`[URL]`	HTTP、HTTPS、FTP 网页链接与超链接
`builtin:presidio:uk_nhs`	医疗健康	严重	`[UK_NHS]`	10 位英国国家医疗服务体系 (NHS) 病人编码
`builtin:presidio:medical_license`	医疗健康	高危	`[MEDICAL_LICENSE]`	医师与医疗专业人员执业资格证号码

2. 置信度评分动态调优与降噪

置信度阈值过滤 (score_threshold)： Presidio 每次识别均会输出 0.0 ~ 1.0 的置信度评分（Confidence Score）。管理员可根据业务敏感度灵活设定过滤门槛（推荐设置为 0.6 ~ 0.8）。低于阈值的弱匹配项自动被忽略，仅当模型具备高度把握时才触发脱敏或阻断，在保障安全的同时杜绝过度脱敏影响文本可读性。
按需选择检测实体 (entities)：策略包支持勾选特定的实体子集（例如仅开启 EMAIL_ADDRESS 和 PHONE_NUMBER），避免无差别检测无关词汇。

3. 多语言支持与自定义识别器扩展

多语言模型协同：支持按语言代码（如 en）调度对应的语言分析模型；
底层私有扩展兼容：Presidio 独立容器原生支持由企业安全团队通过 Python 插件机制扩展专有 Recognizer（如加载特定行业的专有名词字典或企业专有识别模型）。网关通过标准 HTTP 接口无缝消费扩展后的识别成果，无需侵入网关核心代码。

五、关键配置项说明

管理员在配置 presidio 引擎时，可在控制台调节以下核心参数：

配置项	参数类型	默认值	业务配置含义与建议
分析服务地址 (`endpoint`)	字符串 (URL)	-	Presidio Analyzer 服务的内网 HTTP(S) 基础地址（如 `http://presidio.internal:5001`）。
置信度评分阈值 (`score_threshold`)	浮点数	`0.5`	触发动作的最低置信度得分（0.0 ~ 1.0）。数值越高越严格，推荐生产环境设置为 `0.7` ~ `0.75` 以兼顾准确度。
分析语言 (`language`)	字符串	`"en"`	传递给 Presidio 分析器的自然语言代码，与底层加载的 NLP 语言模型对应。
单次请求超时 (`request_timeout_ms`)	整数 (毫秒)	`3000`	网关调用私有 Presidio 容器的单次超时阈值（1 ~ 60,000 毫秒），防止后端分析异常拖慢整体响应。
单次检查文本上限 (`max_input_bytes`)	整数 (字节)	`1048576` (1 MiB)	单次请求最大允许检测的文本大小（系统硬上限 10 MiB），超限自动拒绝。
单次最大命中上限 (`max_findings`)	整数 (个)	`256`	单次检测允许的最大发现违规数量（系统硬上限 10,000），击穿阈值时触发熔断报错。
脱敏掩码提示符 (`mask` / `redact_hint`)	字符串	`[REDACTED_PII]`	全局脱敏改写时替换的提示占位符，支持自定义为符合企业合规审计要求的文字。

六、适用边界与编排建议

1. 推荐适用场景

长文本自然语言与客服对话审查：非格式化、包含丰富上下文语境的客服问答、工单描述及多轮日常对话；
涉外商务与跨国合规：涉及欧美及跨国证件、海外金融账户及国际通讯方式的合规处理；
医疗健康与专有合规领域：需要精准识别特定医疗标识码与复杂身份数据的企业应用；
内网安全算力充足环境：具备独立的容器集群资源，支持独立部署 NLP 分析容器并追求完全数据隐私不出内网的企业。

2. 不适用或不建议单独依赖的场景

极速已知格式词清洗：如针对特定前缀的订单号、固定工号或已格式化的中国居民身份证，建议选用开箱即用的本地正则模式匹配引擎 (regex) 以获得更低的调用开销；
代码及系统凭据泄露防护：涉及云厂商 API Key、私钥证书及数据库连接串，建议选用专门的敏感凭据扫描引擎 (secrets)；
对抗性攻击与提示词越狱防御：针对诱导模型违背安全守则、绕过核心规则的对抗性攻击，建议选用专门的 Lakera 提示词安全引擎 (lakera_guard)。

💡 责任链编排建议

由于 presidio 引擎依赖独立的内网容器服务与自然语言模型运算，在防线责任链编排中，通常建议将轻量级的 regex 引擎置于其前序环节，先行剔除已知固定格式风险；清洗后的复杂自然语言长文本再流转至 presidio 引擎进行深度语义化验，从而以最优的资源利用率实现兼顾速度与深度的立体防护。具体的责任链多防线串联与条件分流策略，详见防线工作台：责任链编排与流量分流。

Microsoft Presidio 隐私分析引擎 (presidio) ​

一、 运行形态与部署依赖 ​

快速 PoC 验证：一键 Docker 启动 ​

二、 能力边界与处置动作 ​

1. 防护阶段覆盖 ​

2. 支持的处置动作矩阵 ​

三、 典型业务应用场景 ​

四、 规则体系与自定义扩展能力 ​

1. 开箱即用规则库 (17 项内置高频隐私实体) ​

2. 置信度评分动态调优与降噪 ​

3. 多语言支持与自定义识别器扩展 ​

五、 关键配置项说明 ​

六、 适用边界与编排建议 ​

1. 推荐适用场景 ​

2. 不适用或不建议单独依赖的场景 ​