Prompt-Eligibility：数据分类中缺失的那一列

这让人感到不安，因为这意味着分类决策不能仅在数据层进行一次性决策后就被遗忘。它必须在构建 Prompt 的时刻，针对 Prompt 即将发往的特定端点进行评估。这听起来成本很高。但这正是问题的本质所在。

像审计数据库查询一样审计每一个提示词模板​

大多数团队将提示词模板视为应用程序代码。它们存在于代码库中，通过 PR 进行审查，并在 CI 通过后发布。从隐私的角度来看，这种做法是错误的：提示词模板更像是一个将数据外泄给外部方的 SQL 查询。它理应受到与针对受监管表格运行的 SELECT 语句同等严苛的审查。

必须落地的审计流程——而且目前几乎没人执行——如下所示：对于代码库中的每一个模板，提取出所有插入的字段。对于每个字段，记录其来源表或服务、当前的数据分类以及提示词准入层级（prompt-eligibility tier）。将准入层级与该模板指向的模型端点进行交叉比对。如果任何字段的准入层级禁止使用该端点，则拦截该变更。如果任何字段的准入层级比模板作者意识到的更为宽松，则要求签核（sign-off）。

这是一项枯燥的工作。但这也是唯一能捕获到那些让所有受害者都倍感头疼的失败模式的审计方法。2023 年的三星事件——三名工程师在内部禁令解除后的几周内，分别将源代码、会议纪要和良率测试序列粘贴到 ChatGPT 中——这并非数据分类政策的失败。该政策可能已经正确地将这些源代码标记为机密。失败的原因在于没有人划定“允许工程师阅读此代码”与“允许工程师将此代码发送给我们没有合同关系的供应商”之间的界限。模板级审计虽然无法阻止手动复制粘贴，但它可以阻止同类错误的制度化版本：内部工具悄无声息地将这些源代码插入提示词，并发送给了一个没人标记过的模型。

2025 年 Microsoft 365 Copilot 中的 EchoLeak 漏洞则展示了相反的情况。在那里，分类是正确的，合同也是正确的，但提示词注入链导致 Copilot 将敏感上下文嵌入到指向外部的链接中，从而绕过了脱敏层。这并不是说审计在面对攻击者时毫无意义；它的意义在于，无论你是否映射了出口通道，它都客观存在，而攻击者会先于你对其进行映射。

在构建时脱敏，而非在 API 边界脱敏​

一个常见的架构错误是将脱敏工作推给 AI 网关——一个位于应用程序代码和模型 API 之间、对出站流量强制执行策略的中心化代理。作为深度防御层，这是正确的。但作为主要控制手段，这是错误的。

当提示词到达网关时，应用程序已经组装好了字节流。关于插入哪些字段的决策已经做出。如果应用程序选择在系统提示词中嵌入员工的 SSN（社会安全号码），网关可以进行模式匹配并脱敏，但网关现在是在低上下文环境下运行：它看到 123-45-6789，必须猜测这是一个 SSN、一个零件编号还是一个序列化的时间戳。误报会破坏合法的提示词；漏报则会泄露 SSN。

正确的首要控制措施是在提示词构建时，此时应用程序代码确切知道每个字段的含义，并可以做出类型化的决策：“这是 EmployeePII.SSN，当前激活的模型端点是 Bounded（受限端点），准入映射表显示 Restricted（受限）数据不能发送到 Bounded 端点，拒绝执行。”网关随后作为一个兜底方案，拦截构建层的 Bug、插入了未经授权字段的第三方库，以及将受限数据夹带进输出的提示词注入链。

这反转了时下流行的“AI 网关救世主”架构。网关是必要的，但它不是边界。边界存在于任何将类型化值拼接到将成为提示词的字符串中的地方——这通常发生在功能团队的代码内部，并且通常在安全团队的威胁模型中是不可见的。

将你的供应商技术栈映射到准入层级​

最后一步是运营层面的。你的技术栈可以触达的每一个模型端点——包括功能团队上个月添加的、你购买的 SaaS 工具中嵌入的、以及外包人员接入内部 Demo 的——都需要标记其当前的合同状态。默认 API 层级（30 天数据保留）。企业级 API（7 天数据保留且默认不进行训练）。企业级 API（协商后的零数据保留）。自托管且无外部出口。每个标签决定了哪些提示词准入层级的数据可以发送给它。

这份清单很快就会过时。供应商会更改默认值。产品会在不同的 SKU 之间移动并继承不同的条款。一个团队升级到了新的 API 版本，可能就悄无声息地脱离了涵盖旧版本的合同。审计不能是一次性的练习；它必须是每个功能团队每季度都要提供证据的定期核查。一些较好的 AI 网关实现（如 Cloudflare、Vercel、Kong 等）现在可以自动执行这种约束——它们提供策略标记路由的变体，拒绝将 Restricted 载荷转发到非 ZDR（零数据保留）端点——但网关只知道应用程序告诉它的信息。输入垃圾标签，输出的就是虚假的合规假象。

没人点破的成本真相是：这是平台化工作。它不会体现在功能开发速度上，不会影响产品指标，而且会与那些能产生这些效果的事情争夺工程时长。做这项工作的团队可能一个季度都发布不了什么新东西。而没做这项工作的团队看起来一切都好，直到监管机构问起：“在 2026 年，有哪些数据作为模型输入离开了你的边界？”而得到的回答只有耸肩。欧盟 AI 法案对通用模型的执行期限已于 2026 年 8 月通过，最高罚款可达全球收入的 7%。这才是财务部门能听懂的语境。

架构实现​

Prompt 层是一个你的现有 DLP（数据泄露防护）方案未能建模的数据出口通道。电子邮件、文件存储和出站网络流量都有相应的控制措施。Prompt 层之所以能绕过这些控制，是因为它看起来像是来自应用程序内部的 API 调用，而且流出的数据看起来不像文件或电子邮件 —— 它看起来就像普通的字符串插值，这种每个开发者每天都会写上百次的代码，根本不会被视为数据外泄。

命名这个通道是第一步。在数据分类文档中增加一列“Prompt 合规层级”，并建立相应的“按层级划分的已批准模型端点”清单，这将迫使团队进行原本只会在事故回顾中才有的对话。一旦这一列存在，填充它的审计工作就会迫使每个 Prompt 模板进入与其他处理敏感数据的代码相同的审查流程 —— 这正是它从一开始就该待的地方。

尚未开展这项工作的组织并不一定已经犯错。他们只是还未接受评分。当监管机构、客户安全审查或集体诉讼取证过程提出这个问题时，给不出答案本身就是一种答案。构建这个答案的工作并不光鲜，也不利于市场营销。然而，这恰恰是那种事后看来显而易见的平台投资 —— 就像在发生数据泄露后，回过头看第一批 DLP 的部署是多么理所当然一样。现在就为这一列命名的团队，未来就不必再临时拼凑审计追踪记录。