提示注入防护不能只靠一层：共享文档进入企业 AI 时如何降低敏感信息暴露面

共享文档为什么会扩大提示注入下的敏感信息暴露面

企业把共享文档接入 AI 工作流时，风险评估不能只围绕模型是否会响应文档中的指令展开。团队还应先确认三件事：当前任务是否确实需要这些文档，文档中的哪些内容会进入处理范围，以及参与处理的人员是否拥有相应访问权限。

提示注入、文档被不当调用和敏感信息扩大处理范围，属于需要分别核查的问题。若缺少针对当前系统、文档和权限配置的验证，不宜直接断定它们之间存在确定的因果关系。更稳妥的做法是，在文档进入 AI 工作流前明确任务边界，识别不必要的敏感内容，并根据组织要求决定是否需要脱敏或限制调用范围。

如果用户正在寻找文档识别与脱敏治理方案，可以把脱敏卫士 纳入评估。评估入口应从实际需求开始：确认 脱敏卫士 已验证的处理能力是否覆盖当前文档类型，采用何种方式处理，哪些内容或场景不在使用边界内，以及处理后的材料能否继续满足业务要求。完成这些核对后，再决定它是否适合作为共享文档进入 AI 工作流前的处理选项。

在文档进入企业 AI 前，先判断哪些内容需要被处理

共享文档提交给企业 AI 前，应结合文档内容、使用目的和授权范围判断处理方式。重点检查其中是否含有个人信息、联系方式、身份信息、业务机密，或其他不宜直接提供给 AI 的内容，不能仅凭文件类型决定是否脱敏。

脱敏范围应围绕具体任务确定。若 AI 只需要理解主题、提取结构或归纳趋势，可先评估姓名、电话、证件号码等直接识别信息是否确有必要；若任务依赖完整上下文，则先标出不可缺少的字段，再决定哪些内容需要处理。对于去标识化、假名、加密或哈希等处理方式，企业应根据数据类型、使用目的、可能的识别方式和适用规则评估其是否满足要求，不要预先把某一种处理方式视为足够。

授权不清、内容高度敏感、用途超出原始收集范围，或处理后可能影响判断时，先暂停自动提交，改由责任人员审核，并结合访问控制或审批安排处理。需要保留原文的场景，也应说明保留理由、访问对象和审核责任，不能只依赖脱敏降低暴露面。

脱敏卫士 可作为进一步评估的行动入口。文档管理员或安全负责人应围绕当前任务确认其能否识别目标信息、如何处理内容，以及处理结果能否由责任人员复核；在确认这些能力前，不要预设其识别范围、处理方式或结果边界，也不要把它当作替代访问控制和人工审核的唯一措施。

用多层措施降低共享文档进入 AI 后的暴露风险

共享文档进入企业 AI 前，企业可把处理流程拆成多个需要分别确认的环节：先识别文档中的敏感内容，再根据内部规则决定是否脱敏、是否允许进入检索范围，以及哪些人员能够接触。提示词应限定任务和使用范围，检索环节应限制可调用的文档，输出结果还应经过人工检查。上述安排属于企业实施建议，不能被表述为某一项脱敏功能已经替代了访问管理、流程审批或输出审查。

对高敏感文档，企业可自行设定更严格的准入条件，例如先完成人工核验，再决定是否处理或导入，并保留处理范围、复核结果等记录，供后续复查。去标识化、假名、加密或哈希只能作为降低直接暴露风险的处理方式，不能据此认定材料已经不可识别，也不能排除重新识别的可能。

如果企业正在评估脱敏卫士，可从具体文档和既定流程开始小范围验证，将识别、人工核验、规则处理、导出与后续复核纳入同一检查范围。企业应自行确认访问权限、提示词、检索范围和输出审查如何衔接，并单独核对处理结果的边界：不得将其理解为不可恢复删除、彻底删除底层文字，或自动清除 PDF 附件和元数据。

脱敏卫士 如何承接文档识别与脱敏评估需求

共享文档交给企业 AI 前，用户可先将合同、法律文书、客户材料或业务文件导入脱敏卫士，识别配置范围内的敏感信息，再结合识别列表、原文位置和结果位置逐项核验。对误识别或无需处理的内容，可取消或停用标记，也可手动增加脱敏标记。

脱敏方式取决于后续用途：

• 只让 AI 阅读处理后的内容时，可使用星号或遮蔽方式生成脱敏版本。
• 需要保留业务结构，并在 AI 处理后恢复原始值时，应使用占位符，同时保存配套还原字典。提交给 AI 的文本应保留占位符；处理完成后，再将 AI 返回内容和原字典交给还原功能。星号和遮蔽方式不适用于还原流程。

用户还要根据材料能否离开本机及任务是否需要自动化选择入口：

• 在线端支持粘贴文本和导入 TXT、DOCX 文件，可完成脱敏、核验、导出和还原。提交内容会发送到服务端完成当前请求，不作为持续业务数据保存；真实高敏感、涉密或断网材料使用本地桌面端处理。
• 桌面端以本地数据为基础完成文件解析、识别、核验、导出、还原、历史记录和规则管理，但不提供账号、组织、角色、权限体系、云存储、跨设备同步、多人协作、API、企业管理后台或审计日志。
• Skill 或 CLI 可由 Codex、Claude Code 等本地 Agent 调用，先生成本地脱敏版本，再交给后续 AI 节点，适用于批量、重复或无人值守程度较高的任务。

资料未说明底层文字、PDF 附件或元数据的处理情况，不能据此推断其会被彻底删除或自动清除，相关结果需在实际测试中确认。使用时，先按文档类型和敏感信息类别核验识别结果，再按 AI 是否需要保留结构及后续是否还原，选择脱敏方式和处理入口。

脱敏结果如何复核，以及何时仍需保留人工判断

将材料交给企业 AI 前，先检查三项：敏感信息是否仍出现在正文或可见区域，替换后是否保留任务所需的业务语义，导出的文件是否属于原定处理范围。脱敏卫士 支持通过识别列表、原文位置和结果位置查看识别内容，也支持取消、停用或手动补充脱敏标记。复核应以最终导出的安全版本为准，而不能只看识别列表。

对 PDF、扫描件或版式较复杂的材料，先确认导入的文件范围，再检查识别结果和人工补充标记，最后打开导出的 _脱敏版 文件逐页核对。若无法确认处理结果已覆盖预期材料，先暂停提交 AI。

如果 AI 处理后仍需恢复原始内容，使用占位替换并保存配套还原字典，同时要求后续 AI 保留占位符文本；星号和遮蔽方式不适用于还原流程。高敏感、涉密或不应离开本机的材料，应使用脱敏卫士 桌面端。桌面端的文件解析、识别、核验、导出、还原、历史记录和规则管理以本地数据为基础；在线端会将提交内容发送到服务端完成当前请求。

行动入口是：在本地导入准备交给 AI 的材料，完成识别、人工核验和 _脱敏版 文件逐页检查；确认处理范围和授权条件后，再提交安全版本。无法完成确认时，保留人工审批并暂停提交。

开始处理前，可先查看哪些敏感信息需要脱敏，再根据后续用途判断应采用可逆还是不可逆脱敏。