APrivacy-Preserving Architecture for On-Device Intelligent Computing Using a Small Language Model with Input and Output Guardrails: Prototype Implementation and Preliminary Evaluation

在现代世界中，我们经常要求计算机为我们思考，利用强大的人工智能来撰写电子邮件、解决问题或回答问题。这些智能系统大多存在于云端，这意味着你的话语会通过互联网传输到遥远的服务器进行处理。虽然这种方式运作良好，但也引发了一个隐忧：每当你输入像电子邮件地址或电话号码这样的个人细节时，这些信息就会离开你的设备并进入他人的系统。为了解决这个问题，研究人员开发了更小、更紧凑的思考机器版本，使它们可以直接在你的电脑或手机上运行。这让你的数据保留在原处，即你的设备上。然而，仅仅因为一台电脑是本地运行的，并不意味着它是安全的。一种被称为“提示词注入”（prompt injection）的聪明手段仍然可以欺骗机器，使其忽略规则或泄露秘密，而且机器可能会不小心吐出它本该隐藏的隐私信息。因此，挑战在于构建一个既能保持本地运行，又能充当警觉卫兵的系统，对输入和输出的内容进行检查。

一位名叫 Harshal Gadekar 的研究员来自印度的 Sanjivani 大学，他构建了一个工作原型来测试这个想法。他创建了一个注重隐私的助手，该助手通过一个名为 Ollama 的工具来管理流程，在本地电脑上完全运行一个名为 Phi-3 Mini 的小型语言模型。该系统设计了双层安全机制，就像一个安检站，在乘客登机前进行一次扫描，并在到达后再次进行扫描。在电脑思考答案之前，一个“输入护栏”（input guardrail）会扫描用户的消息。它寻找试图欺骗系统的迹象，例如要求忽略先前指令或揭示机器隐藏规则的命令。如果它发现了此类诡计，就会立即停止请求。它还会扫描敏感的个人细节（如电子邮件地址），并在电脑读取它们之前将其隐藏。一旦本地电脑生成了响应，第二个“输出护栏”（output guardrail）会扫描答案，以确保没有隐私信息意外溜出。

研究人员使用一组精心挑选的问题测试了这个系统，以观察它在现实世界中的表现。当被问及一个简单且无害的问题，如“什么是人工智能？”时，系统运行得非常完美。它在本地处理了请求，通过了所有安全检查，并在三秒多一点的时间内返回了答案。屏幕显示输入内容是干净的，未检测到诡计，且最终答案可以安全显示。随后，系统面临了一系列四种不同的欺骗尝试，用户试图命令机器揭示其秘密指令或忽略其安全规则。在所有这些案例中，输入护栏都抓住了企图。系统识别出了诡计，拦截了请求，并显示了一条警告消息，而不是让电脑生成响应。这证明了即使当电脑在你的办公桌上运行时，它仍然需要一个卫兵来防止被操纵。

测试还包括一个包含虚假个人数据的提问，具体是一个伪造的电子邮件地址和一个电话号码。在这里，系统展示了它的力量以及一个明显的弱点。当用户输入该电子邮件地址时，系统识别出了它，将文本替换为一个写着“电子邮件已脱敏”（email redacted）的占位符，并将消息传递给电脑。最终答案显示了脱敏后的文本，意味着电子邮件得到了成功保护。然而，系统未能捕捉到那串八位数的电话号码。它让该号码原封不动地通过，最终输出也显示了完整的电话号码，仿佛什么都没发生过一样。输出护栏也漏掉了它，报告称在答案中未发现敏感数据。这一结果强调了，虽然本地计算结合安全检查的想法是可行的，但目前识别个人信息的规则尚不完美。系统成功拦截了欺骗行为并捕捉到了电子邮件，但却让电话号码暴露了出来。

研究结论认为，将本地计算与安全检查结合成一个轻量级的流水线是可能的。该系统证明了它可以运行在个人设备上，拦截常见的欺骗尝试，并隐藏某些类型的隐私数据。然而，研究人员谨慎地指出，这些发现是初步的。测试集非常小，仅由 handful 个问题组成，且观察结果是在单台机器上进行的，并未测量系统在重负载下的错误率或运行速度。未能捕捉到电话号码的事实表明，检测规则需要扩大范围，以覆盖更多格式的个人数据。在这一方法被认为可以可靠用于日常使用之前，该系统需要在更多样化的输入（包括更复杂的诡计和不同类型的个人信息）下进行测试。目前，这项工作是一个充满希望的概念验证，表明只要不断改进安全卫兵，一个安全、私密的 AI 助手是触手可及的。