NDS 开源浏览器端 PII 脱敏系统 Rampart

当你在聊天机器人中输入内容时，你可能会透露比预期更多的个人信息。一个清理邮件的请求会带上你和同事的名字；一个关于医疗账单的问题会带上你的地址和账号；一次发泄的抱怨会带上你是谁、你住在哪里。而且你输入的任何内容都不会留在你这里——它会传送到一个你无法检查的远程服务器。

我们的核心设计原则是，唯一能确保私密的个人信息，就是从不离开你设备的信息。

今天，我们开源了 Rampart——一个第一代设备端个人信息过滤系统，它是确保你的个人信息永不离开你设备的强大第一道防线。Rampart 结合了基于正则表达式、用于捕获 SSN 和身份证号的确定性层，以及用于捕获姓名和街道地址的 MiniLM。

我们为什么构建 Rampart

很多时候，进行 PII 移除意味着要么信任远程服务器，要么向客户端下载二进制文件，这带来了几个关键挑战：

1.AI 隐私保证几乎无法验证。从第一性原理来看，无法验证 AI 供应商的隐私和安全声明。新部署的 AI 运行时版本可能会意外开始记录敏感用户信息，而服务本身也带有未知的内部安全风险，例如零日漏洞和内部威胁。
2.大多数用于 PII 移除的模型都极其庞大，缩小了能从中受益的用户群体。例如，OpenAI Privacy Filter 约为 2.8GB，在相对较差的连接（10mbps）下下载到浏览器大约需要 38 分钟。

一切都发生在浏览器中，在输入消息和发送消息之间的那一刻；循环中没有服务器。

模型大小，包括分词器14.7MB

浏览器中 p50 运行时延迟（WebGPU）3.9ms

私密词召回率，七种语言98.4%

在消息发往任何地方之前，有两个读取器在你的设备上查看它。

第一个是一组规则。正则表达式配合真实验证来处理具有结构的信息：社会安全号码、信用卡、电话号码、路由和账号、电子邮件、IP 地址、政府身份证件。它是确定性的且快速。

第二个是一个小型语言模型。规则无法预见每一个姓名或街道地址，因此 MiniLM 会阅读句子以寻找个人信息，并对句子上下文有更深入的理解，然后将其在特定类别中发现的信息进行脱敏。

例如，假设你在聊天中输入一句充满个人信息的话：

Rampart 在设备端对 PII 进行脱敏，因此它无需离开你的设备

浏览器将相关 PII 临时存储在你的设备上以填补空白

我的名字是 [GIVEN_NAME] [SURNAME]，我的社会安全号码是 [SSN]，我每月收入 $1,950。你能帮我找到负担得起的住房吗？

消息

原始：我的名字是 Maria Garcia，我的社会安全号码是 123-45-6789，我每月收入 $1,950。你能帮我找到负担得起的住房吗？

脱敏后：我的名字是 [GIVEN_NAME] [SURNAME]，我的社会安全号码是 [SSN]，我每月收入 $1,950。你能帮我找到负担得起的住房吗？

我们在 AI4Privacy 的 OpenPII 1.5M 数据集以及一个合成生成器上训练了 Rampart，该生成器用刻意杂乱的聊天式输入强化了全部 17 种实体类型。下面的核心数据来自一个包含 30,000 行的留出 OpenPII 切片，涵盖七种拉丁字母语言，由已发布的流水线进行端到端评分。

Rampart确定性 + 模型 · 14.7 MB

98.42%

97.4%

GLiNER small v2.1模型 · ~600 MB

94.2%

Community BERT-small PII模型 · ~29 MB

81.5%

Microsoft Presidio确定性 + 模型 · ~13 MB

65%

AWS Bedrock Guardrails模型 · 云端

63.8%

在涵盖七种受支持语言的 30,000 行留出 OpenPII 测试集上的私有词项召回率。越高越好。基准测试（在新标签页中打开）

Rampart 是一款 alpha 产品，旨在成为更全面的 AI 聊天体验个人身份信息管理工作的第一道防线。它目前支持英语、西班牙语、法语、德语、意大利语、葡萄牙语和荷兰语。

在 HuggingFace 上下载模型、安装 NPM 库，或阅读白皮书。

如果为美国人打造优雅且实用工具的工作能引起你的共鸣，不妨考虑加入 NDS。