代码交给 AI 前，网关脱敏为什么只能做最后一道补充检查？

IDE 插件把光标附近的代码发给模型看起来只是一段补全请求。问题是“附近”可能同时包含连接串、测试凭证和还没有公开的业务规则。网关把password替换成星号不等于这段代码已经获得外发许可。2026 年 10 月 9 日Anthropic 发布了对评估与内部使用中非预期模型行为的调查。对后端团队来说值得带回设计评审的问题是工具边界必须由系统落实不能只靠模型理解任务意图。原始调查讨论的是具体观察不能据此推算我们自己的泄露概率。先决定能不能发再讨论怎么遮罩我会把代码辅助请求拆成三项独立判断仓库和路径是否允许交给该提供商请求是否只带完成当前任务所需的上下文允许外发的片段是否仍含可识别的敏感值。第一项属于权限策略第二项属于检索和上下文组装第三项才是脱敏探针。例如支付仓库里的内部定价算法即使没有任何密钥也可能不适合发到外部模型。反过来一段开源示例出现tokendemo也不能只凭变量名就断言发生了真实泄露。探针的结果需要附带命中规则和处理方式供人复核不能只返回一个“安全”布尔值。图里的拒绝分支没有回到模型请求业务可以重新提交经过批准的输入但系统不能因为第一次被拒绝就换一个通道继续发送同一份内容。一个可以运行的小探针下面只处理教学约定的token值、password值形式它不是通用凭证检测器。保留尾部上下文时按 Unicode 码点截取避免把 Java 的 UTF-16 代理项切成半个字符。实际 tokenizer 的 Token 预算还要单独计算。保存为Demo.java用javac --release 11 Demo.java编译再运行java Demo。import java.util.regex.Pattern; public class Demo { static final Pattern SECRET Pattern.compile( (token|password)[^;\\s], Pattern.CASE_INSENSITIVE); static String mask(String code) { return SECRET.matcher(code).replaceAll($1masked); } static String tail(String value, int maxCodePoints) { if (maxCodePoints 0) throw new IllegalArgumentException(negative limit); int count value.codePointCount(0, value.length()); int start value.offsetByCodePoints(0, Math.max(0, count - maxCodePoints)); return value.substring(start); } static void check(boolean ok) { if (!ok) throw new AssertionError(); } public static void main(String[] args) { check(mask(tokenexample; x1).equals(tokenmasked; x1)); check(tail(甲乙, 2).equals(乙)); check(tail(甲乙, 0).isEmpty()); check(mask(business_ruleprivate).contains(private)); System.out.println(mask and Unicode boundaries OK; business secrets remain undetected); } }最后一项检查故意验证漏检边界普通规则字符串不会被这个探针识别。测试通过只说明约定格式被处理、字符边界没有切坏不说明代码可以外发也不说明任何真实凭证已经被找全。真正需要补上的工程约束规则要在本地执行原始片段不能先进入远端审查日志。日志记录规则编号、路径策略版本和请求标识即可命中原文应按敏感数据管理。多行字符串、拼接、编码和配置注入都可能绕过简单正则对高风险仓库拒绝外发通常比不断叠加正则更清楚。OWASP 的敏感信息披露条目也把数据清理和访问控制视为应用层责任并提醒提示词约束可能被绕过。这里没有调用真实模型或企业 DLP 服务误报率、漏报率和请求时延都没有实测。上线前需要用获得授权的样本集验证这些指标而不是从几条单元样例推导“毫秒级绝对安全”。代码辅助入口值得做脱敏但更早的一步是让每次外发都能回答谁允许、允许哪些内容、失败后停在哪里。本地运行环境为 Java/javac 12.0.1使用--release 11编译并执行了文中的检查没有安装新依赖。该结果只覆盖示例列出的逻辑不代表真实模型、浏览器或生产链路已经验证。