一种大模型工具调用的全链路密文隐私保护方法与流程

本发明涉及人工智能与信息安全交叉，具体涉及大模型自主工具调用全链路端云协同隐私防护方案，可广泛应用于智能办公 、多轮对话式 ai 助手、跨设备智能任务自动化、金融 / 医疗 / 政务类敏感数据智能体交互场景，尤其涉及大模型智能体（llm 智能体）在多模态输入、工具调用及云端交互场景下的用户隐私保护方法及系统。本发明可具体应用于包含光学字符识别（ocr）、命名实体识别（ner）、应用层加密上云传输、单轮/多轮会话密钥管理及密文动态刷新技术的自动化代理系统。

背景技术：

1、随着大模型智能体（llm 智能体）技术的快速发展，智能体 已具备自主调用外部工具、处理多模态数据及执行复杂任务的能力。然而，在金融、医疗、办公等敏感场景中，智能体 不可避免地会接触用户的隐私数据（如身份证号、银行卡号、api 密钥等），一旦隐私数据在 ocr 提取、模型推理或工具调用环节泄露，将造成严重的合规风险与用户利益损失。

2、现有技术中，cn202311156126.3提出一种基于智能合约的密文计算系统，通过加密客户端、区块链系统及远程认证服务模块实现密文存证、授权管理及计算验证，但仅聚焦于计算环节的隐私保护，未涉及数据采集、传输及工具调用场景的隐私隔离，且依赖智能合约的共识机制导致计算开销较大，难以适配实时性要求高的智能体交互场景。cn202210297064.7通过不经意多项式传输和paillier同态加密保护用户查询目标与服务器数据库隐私，采用分桶操作降低计算复杂度，但未解决动态数据（如多模态输入）的隐私识别问题，且加密机制仅覆盖查询阶段，未涉及数据传输及处理环节的隐私保护。cn202510822188.6结合零知识证明、差分隐私及同态加密技术，通过策略合规性证明验证计算节点操作权限，并利用临时许可令牌实现密态计算，但未针对智能体工具调用场景设计专用密钥管理机制，其差分隐私预算实时验证机制需额外计算资源，可能影响智能体响应速度，且未解决单轮会话密钥销毁及多轮密文动态刷新问题。cn202411434510.x在联邦学习过程中对客户端模型参数进行加密处理，并通过干扰数据实现差分隐私聚合，防止梯度泄露，但未涉及多模态数据隐私识别及全链路密文保护，其加密机制仅覆盖模型参数传输阶段，未解决原始数据在采集、传输及处理环节的隐私隔离问题。cn202510486461.2通过动态加密引擎、密钥管理集群及链路监测单元实现数据链路安全管控，支持国密sm9算法与量子抗性ntru算法切换，但未针对智能体交互场景设计专用隐私识别模块，其密钥管理集群依赖区块链智能合约，计算开销较大且难以适配轻量级边缘设备，且未解决多模态数据中隐私字段的精准定位问题。

3、综上所述，现有技术存在以下缺陷：

4、1、现有密文计算、同态加密、差分隐私、联邦学习加密方案大多仅针对单一计算或参数传输环节设计，未覆盖多模态数据采集、端到端查询传输、工具调用全链路，缺少面向llm 智能体的完整隐私闭环防护；部分方案依赖区块链、复杂零知识证明，计算开销大，无法适配边缘设备实时交互需求。

5、2、现有 ocr 技术仅优化文本识别精度，未配套隐私过滤机制；隐私识别手段分为两类，仅使用正则表达式无法识别上下文关联的非结构化隐私实体，仅使用轻量 ner 模型则对结构化密钥、凭据识别效率低下，缺少二者融合的双层识别架构。

6、3、云端传输仅依靠 https 传输层加密，缺少适配智能体交互的独立应用层加密机制，云端服务商、中间转发节点可直接读取用户明文查询。

7、4、会话密钥生命周期管控存在双重漏洞：单轮对话结束后仅逻辑删除密钥，无内存级零字节覆写销毁机制，攻击者可通过内存 转储（dump） 还原会话隐私；跨轮复用隐私采用静态密文存储，同一隐私字段多轮对话生成相同密文，攻击者窃取多份配置文件快照后可通过密文比对追溯用户行为轨迹。

8、5、现有密钥更新理论方案计算成本高，未适配本地轻量化 json 持久存储场景，无法兼顾多轮对话使用体验与防追溯安全需求。

9、6、 缺少工具调用前置动态风险分级审批机制，所有调用统一弹窗，无自动放行 /生物识别差异化授权，用户体验差且无法精准拦截高敏感操作。

10、综上，现有技术存在隐私识别机制单一、全链路防护缺失、密钥生命周期管控不安全、跨轮密文可追溯四大核心缺陷，难以满足金融、医疗等高敏感行业大模型智能体合规落地要求。

技术实现思路

1、本发明针对现有大模型智能体工具调用隐私保护方案防护链路碎片化、隐私识别精度不足、密钥销毁与刷新机制缺失、多轮对话隐私可追溯、跨设备密钥泄露的缺陷，提供一种大模型工具调用的全链路密文隐私保护方法、系统及计算机可读存储介质，构建覆盖多模态输入、云端传输、模型推理、工具执行、本地持久存储的全链路密文防护闭环，解决四大核心技术问题：

2、1、解决多模态 ocr 提取文本后隐私筛查缺失问题，兼顾结构化凭据高速识别与非结构化语义实体精准捕获，避免隐私明文直接流入大模型推理链路；

3、2、 解决用户查询上云传输单层加密防护不足问题，构建应用层 + 传输层双层加密隔离，杜绝云端链路明文泄露；

4、3、 解决会话密钥生命周期管控漏洞，分别设计单轮临时密钥内存销毁机制、多轮持久密钥动态刷新机制，消除内存残留与跨轮密文追溯风险；

5、4、 解决工具调用环节隐私明文全域扩散问题，将明文限制于工具调度栈帧内部，同时采用模块化低耦合架构，兼容各类 llm 智能体业务框架，适配多行业合规场景。

6、为实现上述目的，本发明第一方面提供一种大模型工具调用的全链路密文隐私保护方法，具体包括 s1 至 s7 七个步骤，各步骤存在时序约束、耦合联动关系，五大核心机制协同形成端到端隐私闭环：双层隐私识别、双层传输加密、栈帧明文隔离、单轮会话内存销毁、多轮密文动态刷新，实现模型全程无明文、单轮无内存残留、跨对话不可追溯防护效果。具体包括如下执行步骤:

7、s1：捕获用户任务请求中原始文本，接收图片 / 视频多模态输入，通过 ocr 统一提取文本，得到待识别多模态文本数据；

8、s2：对所述多模态文本数据进行隐私字段识别，采用正则表达式匹配与小模型命名实体识别（ner）双重机制，定位并标记敏感信息；两重识别结果取并集输出全部敏感隐私字段；

9、s3：对携带隐私字段的用户请求（query） 采用 hkdf-sha256 结合设备硬件信息派生 fernet 对称密钥做应用层加密，加密报文再经由 https/tls 传输层通道发送至云端服务器，形成应用层 + 传输层双层加密隔离，云端链路全程无法接触明文请求（query）；

10、s4：在每轮对话开始前，生成独立绑定的单轮临时密钥，将 s2 识别出的全部隐私明文加密生成统一携带 enc:: 前缀的密文令牌并注册至本轮专属密钥映射表；本轮密钥映射表同步对接 s7内存销毁接口和/或持久密文刷新接口；

11、s5: 执行风险分级审批门控步骤：工具调用拦截模块截获待执行的工具调用请求，所述风险分级基于工具调用请求的目标资源类型、涉及的隐私数据类别及调用频率确定，并依据该风险分级对工具调用执行差异化审批门控，具体为执行自动放行、简易弹窗确认、隐私脱敏摘要展示、双重身份核验、人脸或指纹识别和 / 或自定义口令的差异化分级授权操作，基于风险分级执行差异化审批门控；

12、s6：在大模型智能体进行工具调用时，本地可信运行时通过递归替换算法将工具参数中的密文令牌还原为明文，执行工具逻辑；

13、s7：针对单轮临时密钥，当前对话轮次结束后，对本轮密钥映射表内全部明文数据执行内存零字节覆写销毁，彻底清除内存隐私残留，抵御内存转储（dump） 窃取攻击；

14、针对多轮复用的隐私字段构建独立多轮持久密钥机制：将隐私密文以机器绑定对称加密存储至本地 json 配置文件，每次读取配置文件时生成全新随机字符串密文，使相同隐私明文在不同对话轮次生成完全不同密文，阻断跨轮次密文比对追溯攻击；动态刷新生成的新密文令牌同步接入s4中的单轮密钥映射表参与工具调用，两套密钥机制协同覆盖单次/ 跨轮对话全场景。

15、优选的，步骤 s2 中的双重机制具体包括：

16、第一层采用正则表达式与熵值分析，匹配固定格式的凭据及高熵字符串；

17、第二层采用基于 distilbert 或 microsoft presidio pii 的小模型 ner 网络，对上下文语义进行识别，捕获正则表达式无法覆盖的隐私实体，两层结果取并集后输出。

18、其中：distilbert 2019 年公开，蒸馏轻量化 bert 属于 nlp 领域标准通用技术，hugging face 开源生态内置大量 distilbert-ner 预训练模型，工业、学术论文海量使用；

19、microsoft presidio pii 识别框架是微软官方开源项目，github 近万星，2018年持续迭代至今，是 ai 隐私脱敏工业标准工具；

20、s1（多模态隐私数据捕获提取）与s7（密钥及隐私数据销毁、密文动态刷新）为该隐私保护方法的首尾核心闭环模块，并非独立运作，可与s2、s3、s4、s5、s6全中间步骤深度联动、互补赋能。通过全流程模块一体化协同，彻底解决单一步骤的安全短板、性能缺陷与风控漏洞，实现从数据采集、识别、加密、风控、调用、解密到销毁的全链路隐私安全增效，具体协同增益作用如下：

21、1、s1、s7与s2（双重隐私识别）协同：实现全量隐私精准管控，杜绝漏防残留

22、s1是所有隐私数据的来源，负责采集文本、图片、视频多模态数据，通过ocr统一输出待识别原始明文，覆盖结构化文本与非结构化影像数据，解决传统隐私识别仅支持纯文本的局限性。但s1仅做数据采集，无法甄别敏感信息，单独使用会导致普通数据与隐私数据混存，无法精准防护。

23、依托s2正则表达式+小模型ner的双重识别机制，可精准定位s1提取数据中的全部隐私字段（固定格式凭据、高熵字符串、语义类隐私实体），并做标记输出，为后续加密、风控、销毁提供精准数据依据。而s7针对s2识别出的全量精准隐私字段执行针对性管控：单轮对话结束后精准销毁s2标记的隐私明文，无遗漏、无误删；多轮场景下仅对有效隐私字段做密文动态刷新，规避无效数据加密冗余。

24、协同增效核心：s1广谱采集+s2精准甄别+s7定点销毁刷新，形成“数据全采集、隐私全识别、风险全清零”的闭环，彻底解决多模态数据隐私漏识别、销毁不精准、残留无清理的问题，大幅提升隐私防护完整性。

25、2、s1、s7与s3（双层硬件加密）协同：筑牢传输+存储双重安全壁垒，杜绝明文泄露

26、s1提取的原始多模态明文为核心敏感数据源，若直接传输、存储将存在极高泄露风险。s3基于tpm芯片、磁盘序列号等硬件指纹，通过hkdf-sha256派生fernet对称密钥，对s1原始隐私数据做应用层加密，叠加https/tls传输层加密，实现双层加密隔离，确保云端链路全程无明文。

27、但s3仅负责传输与静态加密防护，无法解决终端内存残留、长期存储密文可追溯的安全隐患。此时s7形成末端兜底：针对s3加密传输、本地处理后的隐私数据，单轮会话结束后彻底覆写内存明文，阻断内存转储攻击窃取s3加密前的原始数据；多轮复用场景下，对s3绑定硬件指纹的持久化密文做动态随机刷新，让同一s1原始隐私数据生成差异化密文，破解硬件绑定密钥固定带来的跨轮次密文比对溯源漏洞。

28、协同增效核心：s3阻断链路传输泄露风险，s7解决终端内存残留、密文固化溯源风险，二者配合s1原始数据源头管控，实现“传输无明文、内存无残留、密文无溯源”的全维度加密安全体系，弥补单一双层加密无法覆盖终端本地安全的短板。

29、3、s1、s7与s4（单轮/多轮密钥映射）协同：打通密钥全生命周期闭环，实现精准适配管控

30、s4是密钥体系的核心调度模块，基于s1采集、s2识别的隐私数据，生成单轮临时密钥与多轮复用密钥，构建专属密钥映射表，是连接隐私数据与加密、销毁逻辑的核心枢纽。s4明确区分单次临时会话与跨轮复用两种密钥场景，但自身不具备密钥失效、数据销毁与密文迭代能力。

31、s7与s4深度接口联动，形成完美互补：一方面s7实时对接s4内存销毁接口，每轮对话结束后，精准匹配s4本轮密钥映射表中的所有s1衍生隐私数据，执行零字节覆写销毁，实现单轮密钥“一次使用、用完即毁”，杜绝临时密钥复用泄露风险；另一方面s7对接s4持久密文刷新接口，对多轮复用隐私数据动态生成新密文令牌，并同步回写接入s4密钥映射表，让更新后的密文可直接参与后续工具调用。

32、协同增效核心：s4负责密钥创建、绑定与调度，s7负责密钥失效、数据销毁与密文迭代，配合s1源头数据分类采集，构建“建密-用密-汰密-刷新密”的完整密钥生命周期管理，解决s4密钥静态固化、无法自主更新销毁的缺陷，兼顾会话灵活性与密钥安全性。

33、4、s1、s7与s5（风险分级审批门控）协同：实现安全防护与业务可用性动态平衡

34、s5为工具调用的前置风控关卡，用户工具调用请求自定义风险分级，可对应执行差异化授权策略，拦截高风险隐私调用行为。s1采集的多模态隐私数据涵盖低敏、中敏、高敏各类信息，对应不同风控等级，为s5风险分级提供原始数据支撑。

35、s7的后置安全管控可完美适配s5的差异化风控逻辑，形成“前置风控拦截+后置彻底清零”的双层防护：对于s5自动放行的低风险s1隐私数据，s7通过多轮密文刷新实现高效复用，避免重复采集加密，提升业务效率；对于s5弹窗确认、双重核验、生物识别的中高风险s1隐私调用数据，s7在会话结束后强制彻底销毁内存残留，杜绝高敏数据长期驻留终端，同时高敏数据不做持久化复用，仅临时单次生效。

36、协同增效核心：s5前置规避主动调用风险，s7后置消除被动残留风险，基于s1原始数据的隐私等级差异适配差异化风控与销毁策略，既避免过度风控影响办公、政务、医疗等场景的业务效率，又杜绝高敏隐私数据残留泄露，实现安全与效率的动态平衡。

37、5、s1、s7与s6（可信环境解密调用）协同：限定明文暴露窗口，极致缩小攻击面

38、s6依托arm tee、intel sgx等可信执行环境，仅在工具调用瞬时将s4密文令牌还原为明文，执行工具逻辑，且密钥仅驻留可信内存、不持久化磁盘，是全流程唯一明文暴露环节。

39、s1提供的原始隐私数据仅在s6环节短暂解密为明文，其余全流程均为密文状态，而s7专门针对s6解密后产生的瞬时明文残留做兜底清理：工具调用、结果展示完成后，立即清零s6可信环境内存中的s1原始隐私明文，彻底消除唯一明文节点的残留风险。同时s7多轮密文刷新机制，可避免s6重复解密同一隐私数据产生固定明文特征，防止攻击者通过多次调用解密轨迹追溯原始数据。

40、协同增效核心：s6将明文暴露范围限定在可信环境、压缩至瞬时窗口，s7彻底清除瞬时操作后的明文残留，配合s1源头数据管控，实现“全程密文、仅瞬时解密、用完即清零”，将系统隐私攻击面压缩至最小，彻底解决可信环境解密后的内存残留漏洞。

41、本发明还提供一种基于 ocr 与小模型识别的用户隐私保护系统，包括：

42、（1）多模态 ocr 提取模块，执行 s1 多模态图文文本提取；

43、（2）双层隐私识别模块，内置正则熵值子模块、轻量 ner 子模块，执行 s2 隐私字段标记；

44、（3）双层加密传输模块，内置硬件指纹采集、hkdf-sha256 密钥派生子单元，执行s3 双层加密传输；

45、（4）双生命周期密钥管理模块，包含①单轮临时密钥子单元：创建带 enc:: 令牌映射表、对接销毁接口；②多轮持久密钥动态刷新独立子单元：本地 json 硬件加密存储、每次读取生成新密文并回传映射表；

46、（5）风险分级审批模块，拦截工具调用并按最高风险执行差异化身份核验，执行s5 流程；

47、（6）工具调用模块，搭载递归替换 + 跳过保护引擎，仅在可信栈帧解密，执行 s6流程；

48、各模块按 “s1 多模态提取→s2 隐私识别→s3 双层加密→s4 密钥注册→s5 风险审批→s6 栈帧解密→s7 销毁 / 密文刷新”时序联动，形成端到端隐私闭环。

49、 单轮密钥管理为每轮对话创建独立密钥映射表，生成带 enc:: 前缀的密文令牌，轮次结束通过内存零字节覆写销毁全部明文数据；

50、多轮密钥管理，机器绑定加密存储隐私密文至本地 json 文件，每次读取配置文件生成全新随机字符串密文，阻断跨轮密文追溯；

51、所述多模态 ocr 提取模块负责调用 paddleocr 单例引擎；所述隐私字段双重识别模块串联正则匹配子模块与小模型 ner 子模块；所述应用层加密传输模块负责基于hkdf-sha256 密钥派生的 fernet 加密报文的封装与解封。

52、 所述单轮密钥管理维护 turnsecrets 注册表，执行 begin_turn 与 end_turn生命周期管理；所述多轮密钥管理负责 secret.json 的读写与动态刷新；所述工具调度模块集成递归替换引擎，实现密文到明文的栈帧内转换。

53、本发明还提供一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现上述方法步骤。

54、本发明还提供一种计算机程序产品，其特征在于，包含计算机程序，所述程序被处理器执行时，实现权利要求 1 至 7 任一所述全链路密文隐私保护方法。

55、本领域技术人员可以理解，本发明所涉及的代码逻辑可通过 python、c++ 等编程语言实现，底层依赖 paddleocr、microsoft、presidio、fernet 等开源库，结合自定义的密钥管理管道，形成完整的隐私保护闭环。

56、有益效果

57、 与现有技术相比，本发明具有显著的有益效果，主要体现在如下三个方面：

58、1. 安全层面协同有益效果

59、（1）全链路密文闭环，云端、第三方工具无任何隐私明文；

60、（2）硬件绑定双层加密 + 本地动态密文，阻断跨设备拷贝解密；

61、（3）单轮内存物理覆写抵御内存 dump 窃取；多轮随机密文杜绝跨轮行为追溯；（4）风险分级差异化校验，高敏感操作强制生物核验，从调用源头减少隐私暴露。

62、2. 性能层面协同有益效果

63、（1）双层识别精准局部加密，避免全文加密导致大模型推理失效；

64、（2）多轮密文动态回流复用，省去重复 ocr、ner、密钥派生算力开销；

65、 （3）轻量化 fernet+hmac 加密，对比同态加密延迟大幅降低，支持高并发850turns/s。

66、3. 合规层面协同有益效果

67、（1）单次会话内存彻底清零，满足医疗、金融数据最小留存监管；

68、 （2）跨轮隐私不可关联追溯，符合《个人信息保护法》敏感信息存储要求；

69、（3）分级审批 + 全链路密文日志，具备完整隐私操作审计举证链路。