脱敏必须在向量化之前：RAG的泄露面在哪

结论先行：脱敏必须发生在切片与向量化之前。向量本身就是泄露面——把敏感字段嵌进向量，等于把秘密写进了向量数据库，事后过滤无法消除已经发生的 embedding 泄露。

一、RAG 的泄露面在哪里

很多人以为“只要检索时过滤掉敏感文档就行”。但向量一旦生成，敏感信息就已经被编码进高维空间。一个被模糊处理过的原文也许看不出名字，但它的向量仍然可被相似检索命中，从而暴露“存在这样一份敏感文档”。泄露面不在输出端，而在向量化这一步。

更具体地说，泄露有三条路径。第一，相似检索命中敏感向量，即使原文被挡住不返回，“有一份匹配度很高的敏感文档”这个信号本身就有价值。第二，向量库的运维人员、备份文件、导出接口都可能接触到向量，向量是长期驻留的数据，不是临时计算结果。第三，检索前过滤会占用 Top-K 名额——被过滤掉的文档本来占了检索名额，返回结果的相关性上限被压低，这是后置过滤的结构性缺陷。三条路径的共同解法只有一个：别让敏感内容进向量。

二、什么时候脱敏

正确顺序是解析 → 清洗 → 脱敏 → 压缩 → 切片 → 治理 → 评测。脱敏排在切片和向量化之前，确保进入向量库的每一块内容都已是脱敏副本。这个顺序是刚性的，不是建议：任何排在向量化之后的脱敏，都只是给已经泄露的向量打补丁。

压缩也要跟着排进这个顺序。压缩源应优先使用脱敏后的副本，平均节省约 60% 存储空间——既省了空间，又避免脱敏前的原件通过压缩包二次流出。医疗、金融场景里，一份带着患者姓名截图的高清原图存在归档目录里，往往就是一次合规事件的全部要件。

三、检测哪些敏感目标

内嵌图片的敏感区域检测覆盖 11 类：人脸、车牌、文本 OSD、印章签名、二维码、屏幕、表格、水印 Logo、字幕条、证件号段、远处小目标。处理方式含高斯模糊、马赛克、黑箱，可以按目标类型和密级选择强度：人脸用高斯模糊保画面语义，证件号段直接黑箱，不给还原留余地。

在企业文档语境下，常表述为 13 类（含公章、证件照等）。分类细是有原因的：财报扫描件里的印章、培训材料里的会议室白板截图、供应商合同里的银行账号表格，散落在不同类型的目标里，混为一类检测会互相干扰阈值。分得越细，误检和漏检越可控。

四、和权限打标的关系

脱敏处理“内容里写了什么敏感信息”，权限打标处理“谁能看这块内容”。两者是互补的两道防线：脱敏抹掉不可逆的敏感像素，权限控制访问边界。权限打标同样要在检索前完成——检索前权限前置过滤，才能避免后置过滤占用 Top-K 名额、泄露敏感文档的存在性。

可以按数据的敏感等级分工：公开内容只做权限打标，不做脱敏，保住信息完整度；内部及以上的内容先脱敏再入库，权限作为第二道闸。两道防线都在检索前生效，检索时拿到的东西本身就已经是安全子集。

脱敏是数据安全的第一道闸。权限如何前置过滤见 RAG 权限打标；图片处理如何保住 AI 特征见 AI 特征保护压缩；脱敏后的切片策略见 切片策略。想让脱敏成为流水线的默认环节而不是事后补救，可以了解丑梨AI的脱敏方案。

真实场景：合规行业的脱敏验收标准

脱敏做到什么程度算合格？合规行业的验收口径通常有三条：第一，检测覆盖面——内嵌图片敏感区域检测 11 类（人脸、车牌、文本 OSD、印章签名、二维码、屏幕、表格、水印 Logo、字幕条、证件号段、远处小目标），企业文档语境常表述为 13 类（含公章、证件照等），检测类别越全，漏网越少；第二，处置可選——高斯模糊、马赛克、黑箱三种方式按区域敏感度选择，而不是一刀切黑箱；第三，过程可审计——每一次检测与处置都留痕，法务与信息安全签字时拿得出证据。

某全国性商业银行等两家上市发行人的 859 份文档全量处理 0 失败，前提正是脱敏环节逐份留痕、逐项达标。还要强调一遍顺序问题：脱敏必须在切片与向量化之前完成，向量本身就是泄露面，事后过滤救不回已经发生的 embedding 泄露。脱敏之后图片内容的安全压缩策略，见AI 特征保护压缩：11 类检测器怎么保特征；入库后的权限侧防线，见RAG 权限打标：为什么过滤要在检索前。

常见问题 FAQ

Q1：为什么脱敏不能放在检索时做？

向量一旦生成，敏感信息已编码进高维空间，事后过滤无法消除已发生的 embedding 泄露；相似检索仍能命中敏感向量，暴露敏感文档的存在性，还会占用 Top-K 名额。

Q2：脱敏能检测哪些敏感目标？

内嵌图片敏感区域检测覆盖 11 类：人脸、车牌、文本 OSD、印章签名、二维码、屏幕、表格、水印 Logo、字幕条、证件号段、远处小目标；企业语境常表述为 13 类（含公章、证件照）。

Q3：脱敏和权限打标有什么不同？

脱敏抹掉内容里不可逆的敏感像素（人脸印章等），权限打标控制谁能访问哪块内容。两者互补：公开内容可只打权限，内部及以上先脱敏再入库，都要在检索前完成。

Q4：压缩和脱敏的顺序怎么排？

顺序是解析 → 清洗 → 脱敏 → 压缩 → 切片。压缩应优先使用脱敏后的副本，平均节省约 60% 存储空间，也避免原件经压缩包二次流出。