Почему форматное маскирование всё равно указывает на того же клиента

Поддержка, операционка и дежурные инженеры уже давно используют диалоговый ИИ как черновик: вставляют жалобу, лог, протокол созвона и ждут более ровный ответ. Поле вставки по-прежнему выглядит как часть браузера. После отправки текст покинул текущую вкладку. Поставщик модели по своим условиям решает, пойдёт ли он в обучение, попадёт ли в историю и останется ли ещё одна копия для проверки безопасности. Звёздочки, которые вы поставили на своей машине, влияют на этот запрос только если они уже стоят до нажатия «отправить».

В апреле 2023 года инженеры полупроводникового бизнеса Samsung примерно за двадцать дней трижды вставили в ChatGPT то, что не должно было выйти из здания: исходники базы по полупроводникам, код поиска дефектов и внутренние протоколы. PCMag со ссылкой на корейское освещение The Economist зафиксировал эти три случая. Bloomberg в мае 2023 года сообщил, что компания затем запретила генеративный ИИ на рабочих устройствах. Ни один из трёх случаев не был «забыли закрыть звёздочками телефон». Наружу ушли исходный код, алгоритм и содержание совещания.

В том же году Cyberhaven опубликовала телеметрию рабочего места примерно по 1,6 млн сотрудников компаний, которые пользуются её продуктом. Обновление около июня 2023 года утверждало: с момента публикации ChatGPT около 4,7% этих сотрудников хотя бы раз вставили туда конфиденциальный материал, а около 11% того, что сотрудники вставляли в ChatGPT, было помечено как конфиденциальное. Цифры лежат в блоге самой Cyberhaven. Это телеметрия одного вендора, не отраслевая перепись, и ставки нельзя растянуть на каждую службу поддержки 2026 года. Проверить можно более узкий факт: вставка рабочего текста в потребительское окно чата уже в 2023 году была достаточно обычной, чтобы отдельно спросить, что именно меняет маска до отправки.

Это другой слой, чем «почему новый ключ нельзя снова слать в чат». Та статья — про API-ключ, который после ротации снова попадает в канал с поиском; см. После утечки переменных окружения в облаке новый ключ нельзя снова слать в чат. Здесь — соседний ежедневный канал: тикеты, письма и логи, и какой слой идентичности форматное маскирование меняет до входа в ИИ, а какой остаётся обычными словами.

Маскирование UsePwd закрывает текст в текущей вкладке. Страница открывается сразу — без регистрации. Распознавание зафиксировано на шести типах: телефон, документ, карта, почта, API-ключ и IP. Исходный текст не уходит как тело HTTP-запроса и не пишется в analytics. Одна вставка — не больше 512 КБ; большее разбейте на части. Это не понимание естественного языка. Страница не ставит оценку фамилии «Анна Соколова» и не решает, является ли «ул. Примерная, д. 12» адресом доставки.

Телефоны ловятся как континентальные мобильные номера, международные строки, которые начинаются с +, и распространённая североамериканская запись. Для документов 18-значный резидентский номер сначала проверяется контрольной суммой, чтобы случайная цифирь заказа реже принималась за удостоверение; страница также принимает старую 15-значную форму, американский SSN вида 123-45-6789 и часть паспортных строк «латиница плюс цифры». Карты — от 13 до 19 цифр и проверка Luhn; целые 15- и 18-значные прогоны пропускаются, чтобы не спорить с правилом документа за тот же отрезок. Почта — локальная часть @ домен. Ключи — открытый список префиксов, в том числе sk-, sk_live_, sk_test_, AKIA, ghp_, github_pat_, xoxb- и Bearer . IP закрывает IPv4 и часть записей IPv6.

По умолчанию стоит умная маска: у телефона, документа и карты остаются последние четыре цифры; у почты — первый символ локальной части и полный домен; у ключа — префикс и последние четыре; у IPv4 — первые два октета. Полная маска превращает каждое попадание в звёздочки той же длины; почта становится ***@***, ключ сохраняет узнаваемый префикс плюс ***. Оба режима меняют только задетые отрезки. Справа перечислены типы и число совпадений этого прогона — чтобы сверить, а не принять на слово фразу «уже анонимно».

Пункт 1 статьи 3 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных» относит к персональным данным любую информацию о прямо или косвенно определённом либо определяемом физическом лице. Пункт 9 той же статьи называет обезличиванием действия, после которых без дополнительной информации нельзя определить принадлежность данных конкретному субъекту. Текст закона — в справочной системе Consultant. Замена +79161234567 на +*******4567 — привычный приём частичного закрытия. Это не «данные больше ни к кому не относятся». У кого осталась полная заявка, запись разговора или витрина заказов, тот склеит последние четыре, домен почты и сюжет жалобы.

В европейском контуре тот же разрыв записан другими словами. Статья 4(5) GDPR определяет псевдонимизацию как обработку, после которой данные нельзя отнести к конкретному лицу без отдельно хранимой дополнительной информации. Соображение 26 преамбулы оставляет такой результат внутри персональных данных: псевдонимизированные сведения, которые снова можно отнести к человеку, по-прежнему касаются определяемого лица. Анонимная информация — та, что к идентифицируемому человеку уже не относится, — выведена за пределы Регламента. Консолидированный текст есть на EUR-Lex, в том числе по-русски. Читать «стало больше звёздочек» как «больше не определяемый» — значит принять обезличивание или псевдонимизацию за анонимизацию.

Умная маска нарочно оставляет последние четыре и домен, чтобы оператор мог сверить: «закрыли ли мы ту строку, которую собирались закрыть». Этот остаток — не разрешение отдать абзац любому третьему лицу. Полная маска снимает хвосты и поднимает стоимость склейки. Фамилия, адрес, номер заявки и сюжет от переключения режима не исчезают. Домен почты часто опаснее локальной части: @example.com на потребительском ящике указывает слабо, а @компания-на-двадцать-человек плюс «вчера в 16:00 просил возврат» внутри этой компании почти равно имени. IPv4 в виде 203.0.*.* мало что даёт в публичной сети; в офисном сегменте на одну подсеть сама подсеть — зацепка. Ключ, оставленный как sk_test_ или ghp_, сообщает ниже по цепочке, какого класса удостоверение здесь когда-то стояло. Префикс — не секрет. Это ярлык.

У двух-трёх слов имени нет контрольной суммы. Адрес — улица, дом и квартира, а не фиксированная ширина. Номера заявок, заказов и накладных каждая система придумывает сама: сегодня WO-20260903-8842, завтра другой префикс. Диалоговой модели, которой поручили набросать ответ, как раз нужен этот сюжет: когда звонили, куда доехала посылка, что обещали. Если движок форматов вырежет всё это, черновик станет бесполезным. Если оставит — слой идентичности на месте.

Поэтому строку, которую чаще всего надо стереть руками, часто занимает не телефон. Телефон как раз легко задевается правилом. Имеет смысл второй взгляд: как назван контакт, лежит ли полный адрес, лежит ли номер, который ищется во внутренней базе, и хватает ли времени плюс детали, чтобы зафиксировать один звонок. Оставить эти четыре вещи в промпте и назвать текст «замаскированным» — значит показать только то, что строка с телефоном стала короче.

Для российской заявки пробел ещё шире. ИНН из 10 или 12 цифр, СНИЛС вида 123-456-789 00 и серия-номер внутреннего паспорта не входят в шесть типов как отдельные классы. Правило «документ» заточено под 18-значный резидентский номер с контрольной суммой, старую 15-значную форму, американский 123-45-6789 и часть латинских паспортных строк. Кириллическое ФИО, «кв. 14, подъезд 3» и трек CDEK своим ходом не закроются. Если вы привыкли думать «маска снимет все ПДн из 152-ФЗ», сверка на месте как раз это опровергает.