第3章 输出侧防御：内容审查与数据泄露防护

第3章 输出侧防御：内容审查与数据泄露防护

到这里，我们已经在输入侧筑起了三道防线：边界隔离让模型分清"指令"与"数据"，输入清洗滤掉明显的恶意载荷，检测引擎识别越狱探针与可疑意图。但一个有经验的攻防工程师会告诉你：再严密的输入过滤，也不可能做到 100% 拦截。模型仍可能因上下文诱导、多轮累积、或训练数据本身的偏见，吐出不该说的内容——可能是违法有害信息，可能是泄露的用户隐私，也可能是它本不该知道的内部系统提示词。

这就是为什么输出侧防御不是"锦上添花"，而是安全管线的"最后一公里"。它和输入侧防御构成纵深：输入过滤在攻击到达模型之前削减风险，输出过滤在有害结果离开系统之前再卡一道闸。两者职责不同、不可互相替代——很多合规要求（如内容安全审核、个人信息保护相关法规）本质是对"对外输出"的约束，只能靠输出端落实。

输出侧到底防什么

把"输出风险"摊开看，主要分两类，二者常被混为一谈，但处置思路完全不同。

第一类是内容风险：模型生成了有害、违规、不实或不适宜公开的内容。比如煽动暴力、输出色情、给出危险的医疗或操作建议。这类风险的源头，往往是模型自身的能力与训练分布——它"想说"，或者"被诱导着说"。处置靠"审查 + 拦截 + 替换"。

第二类是泄露风险：模型把不该给当前读者的信息吐了出来。信息不是它"想编"的，而是它"恰好见过"——用户 A 的隐私、检索召回的内部文档、系统提示词里的机密。处置靠"隔离 + 脱敏 + 防泄露"。

很多团队只做内容审查，觉得"只要不说坏话就行"，却忽略了泄露风险。但泄露风险往往比内容风险更难被发现、危害却更直接（一次 PII 外泄就可能触发合规事件）。所以本章刻意拆成两节：3.1 讲内容审查，3.2 讲数据泄露防护。

输出侧在纵深管线里的位置

把输出侧放进整条纵深管线里看，它的位置非常关键：位于模型生成之后、用户接收之前。任何一层的疏漏，最终都要由输出端兜底。一个常见的错误认知是"输入拦住了就万事大吉"——但输入侧面对的是"已知攻击模式"，输出侧还要面对"模型自由生成带来的未知风险"，二者覆盖的威胁面根本不同。

注意这张图里两个框是串联的：先过内容审查，再过数据泄露防护。顺序有讲究——审查先拦掉"明显有害"的内容，减少后续 DLP 要处理的噪声；DLP 再做最精细的敏感信息兜底。把顺序反过来也能工作，但经验上"先内容、后泄露"更利于分别统计两类风险指标。

本章路线图

本章的路线图很清晰：3.1 先把"内容审查"这件看似简单、实则坑极多的事讲透，包括三层架构与敏感信息识别；3.2 再谈更隐蔽也更容易被低估的"数据泄露防护"，重点在 PII 脱敏与系统提示词防泄露。

为什么不能只靠输入端

也许你会问：第 2 章的输入护栏已经那么强了，为什么还要在输出端再花一章？原因有三，值得记住。

其一，生成是开放性的。输入是固定的、有限的、可枚举的；但模型的输出是组合爆炸的——你永远无法预演它会说出哪句没预料到的危险话。输入端拦的是“已知的坏输入”，输出端拦的是“未知的坏输出”，覆盖的是两类根本不同的威胁面。

其二，合规指向输出。无论国内个人信息保护相关法规，还是各平台的内容安全规范，约束对象几乎都是“对外发布的内容”。也就是说，即便输入侧天衣无缝，只要最终吐出的话违规，责任仍在你。输出端是合规的“最后闸门”，绕不开。

其三，纵深冗余。安全工程的第一定律是“没有任何一层能 100% 可靠”。输入过滤可能漏判一个新型越狱，此时输出过滤就是兜底的救命层。两道闸总比一道稳——这正是纵深防御（defense in depth）的精髓。

小结

本节把“输出侧防御”的范围、位置和必要性都摆清了：它防两类风险（内容风险与泄露风险），位于生成之后、返回之前的最后一关，且因为生成开放、合规指向、纵深冗余三重原因，是任何大模型应用都绕不开的一道防线。下一节起，我们分别把内容审查（3.1）与数据泄露防护（3.2）拆开讲透。

读完本章开头，你应该能回答三件事：输出过滤和输入过滤到底差在哪；一套生产可用的输出侧管线由哪几块拼成；以及当模型把用户 A 的订单号不小心回给了用户 B，你该在哪一层拦下来。带着这三个问题往下读。