你的智能体无法穿透推理的脱敏层

修复的办法不是在两种视角之间二选一，而是让它们通过一种两边都能审视的产物来对话。

会话级稳定的实体 token。 在一次对话或一次智能体运行内，同一个实体始终拿到同一个占位符。微软的 Presidio 通过确定性映射来支持这一点——同样的输入每次运行都得到同样的 token。类似 PII Shield 的隐私代理把 token 作用域绑到 context_id，让一致性贯穿整段转录文本。token 后缀按会话随机化，因此没有本地映射就无法反解，但它在会话内保持稳定，所以共指得以保留。这是最便宜的模式，也填上了大部分缺口。

结构化脱敏，保留类型和相等性。 不要把一切都替换成 [REDACTED]，而是输出 [EMAIL_3] 和 [ACCOUNT_3]，这样智能体仍然可以推理"属于 3 号人物的邮箱和属于 3 号人物的账户"。这种结构会泄露类型——对隐私来说通常没问题——但保留了智能体需要的关系图。

对智能体必须运算的字段使用保留格式加密。 当智能体需要做的不只是相等性推理——比如校验邮箱格式、核对账号校验位、按区号比较两个电话——不透明的占位符会把这些操作搞坏。保留格式加密产生的密文保留了原值的形态，所以智能体可以做格式校验和相等性连接，而不必看到底层的值。确定性加密保证相同的明文总是加密成相同的密文，这正是维持引用完整性的关键。

在工具边界解析占位符，而不是在推理之前。 一个常见错误是在提示词边界做脱敏，并且直到面向用户的响应才解析回来。这对分类没问题。对调用工具的智能体来说，脱敏层应当在工具调用内部（在推理步骤决定调用什么、用什么参数之后）把占位符解析回真实值，这样实际的副作用——发送邮件、退款、更新记录——使用的是真实数据，而推理完全发生在占位符之上。这个模式有时被称为"感知脱敏的工具层"或"延迟解析网关"。

专门面向脱敏输入的智能体任务评估套件。 大多数智能体评估套件都建立在真实数据上，从未见过脱敏层。结果就是你的评估认证的是一个你并不在生产中运行的系统。构建一个并行的评估，把生产里的脱敏层注入到评估管线，并衡量实体关系类问题："给定两个指称，它们是否是同一个实体？""给定一段历史，这个人以前联系过我们吗？""给定一个工作流，操作是否落在了正确的账户上？"把这个分数和分类评估分开追踪，盯着它和未脱敏基线之间的差距。这个差距就是隐私层向智能体收取的代价。

为什么这种东西仍然会被发布​

即便团队怀疑这个问题存在，仍然有三个原因让它们把破损版本发出去。

第一是隐私团队和智能体团队没有共享的评估。隐私团队衡量泄漏率。智能体团队衡量未脱敏开发数据上的任务成功率。没有谁的考核包含那个联合属性——脱敏数据上的任务成功率——而 bug 就完整地藏在这个联合属性里。

第二是失败模式分布不均。智能体做的很多任务并不需要共指（一次性分类、对单条消息的无状态回答）。这些在脱敏后照常工作，让所有人相信脱敏层没问题。失败只会出现在那些依赖身份连续性的多步骤流程里，而这些流程通常恰恰是价值最高的——因为它们才是真正做跨轮次推理的部分。于是脱敏层在大部分流量上看起来正确，却恰好在最重要的那部分流量上失效。

第三是修复的成本花在协调上，而不在代码上。稳定实体 token 本身在脱敏库里只是一处小改动。难的是重建生产脱敏管线，让一个会话 id 贯穿每一次调用；难的是重建评估套件，让它在脱敏输入上衡量智能体任务；难的是让隐私团队和智能体团队共享一个回归看板。没有哪一步需要新的研究。所有这些都需要两个平时不共同拥有同一份产物的团队开始共同拥有一份产物。

架构层面的领悟​

"我们把 PII 屏蔽掉了"不是一个完整的隐私故事。它是一种转换选择，会改变智能体能做什么。一支团队在不衡量推理代价的前提下就把它发出去，并没有"无代价地"保护隐私——它把一种泄漏风险换成了一种正确性风险，而第二种风险从来没有被命名。

这种正确性风险与 2026 年发布的许多智能体失败有着相同的形态：一种来自单轮的直觉被推广到了多步骤系统，评估建立在单轮假设之上，而多步骤的失败模式藏在没有哪个团队完整拥有的组件接缝里。命名这种取舍并不会让它消失，但它能让取舍变得可审计——而这正是走向"选择一种与智能体真正要做的推理相匹配的脱敏机制"的第一步，无论那是随机 token、固定 token、稳定 token、结构化 token，还是保留格式加密。

最便宜的修复版本只是脱敏配置里的一行：把 token 的作用域绑到会话级，而不是单次调用。最贵的版本则是那种评估纪律——能在六个月后某个工具改了响应形状、脱敏层重新开始把两个实体合并成一个时，抓住这种 bug 的下一个变体。两件事都值得做。便宜的那件今天就值得做。