Гайд · TNWS AI

Как проверить маскирование персональных данных перед вызовом AI API

19 сентября 2026 6 мин—

Тестируем локальный препроцессор обращений перед AI API: синтетические адреса почты, замена токеном и негативная фикстура.

Задача и применимость

Не отправить электронный адрес клиента в сторонний AI-сервис из шаблонного запроса поддержки. Определите конкретный тип персональных данных, который обязан маскироваться, и границу применения: этот пример покрывает только email-адреса с простым шаблоном. Он не заменяет полноценное обнаружение PII, не покрывает телефон, паспорт, имена и экзотические формы адресов. Реальные обращения не вставляйте в тесты; вымышленные адреса позволяют проверить контракт без новой утечки. Здесь используется локальная тестовая фикстура: значения приведены как пример входа и ожидаемого поведения, а не как измерение реального сервиса. Если ваш проект вызывает внешнюю модель, проверьте документацию выбранного поставщика отдельно и не считайте локальную симуляцию проверкой доступности API.

Названия методов Python, синтаксис GitHub Actions и используемые версии actions сверены с официальными первоисточниками 19.09.2026. Команды в шаблонах следует запускать в собственном репозитории после проверки путей; никакие цены, тарифы и результаты производительности в статье не предполагаются.

Подготовка данных и критерий ошибки

Перед кодом сформулируйте один проверяемый инвариант из задачи: что конкретно должно пройти и какой специально нарушенный пример обязан завершиться ошибкой. Используйте синтетические обращения и стабильные ID. Данные, попавшие в репозиторий или журнал CI, могут увидеть участники проекта; не копируйте сюда реальные обращения, ключи и закрытые документы. Фикстура не должна зависеть от сегодняшнего ответа модели: ожидаемое значение задаётся после предметной проверки.

Оставьте тестовые файлы рядом с кодом. При изменении бизнес-правила обновляйте его описание и expected осознанно, отдельным ревью. Простой зелёный запуск не является доказательством: сначала проверьте, что отрицательный кейс действительно делает job красным. Ошибка должна сообщать ID или номер строки, но не раскрывать чувствительный исходный текст.

Входная фикстура, которую можно скопировать

Сохраните строки в обозначенный ниже файл; комментарии с путями — пояснение и не входят в JSONL или CSV. Если пример показывает две версии ответа, прогоните их отдельно, как описано в шагах.

{"input":"Свяжитесь: ivan@example.invalid","expected":"Свяжитесь: [EMAIL]"}
{"input":"Письмо отправлено","expected":"Письмо отправлено"}

Пошаговая реализация

Создайте каталог scripts и файл scripts/evaluate.py; при необходимости добавьте каталог data и пример из предыдущего блока. Убедитесь, что кодировка текстовых файлов — UTF-8.
Скопируйте скрипт ниже и запустите команду python scripts/evaluate.py локально. Для проекта с отдельным модулем замените демонстрационную функцию на импорт приложения. Сначала сохраните исходное проверяемое поведение.
Вставьте redact в этап приложения непосредственно перед формированием тела API-запроса, а не после получения ответа. Скопируйте фикстуры и прогоните скрипт локально и в CI. Добавьте негативный тест для вашего допустимого формата адреса; если регулярное выражение его пропускает, не заявляйте, что защита полная. Отдельно решите, нужно ли маскировать данные в логах, trace и историях диалога: одна функция не очищает остальные каналы. Для реальной системы проведите обзор модели угроз и, при необходимости, используйте специализированный механизм DLP.
Добавьте workflow из следующего блока в .github/workflows/ai-evaluation.yml. Он запускается для pull request и не передаёт секреты коду из PR. Если сетевой интеграционный тест всё же необходим, выведите его в отдельный доверенный workflow и ограничьте доступ к ключу.
Откройте успешный и намеренно неуспешный запуск. Убедитесь, что статус job соответствует коду завершения Python, а сообщение указывает на кейс, который нужно исправлять. После проверки верните корректные данные, не оставляйте искусственный сбой в ветке.

# scripts/evaluate.py
import json, re

EMAIL = re.compile(r"(?<![\w.+-])[\w.+-]+@[\w.-]+\.[A-Za-z]{2,}(?![\w.-])")
def redact(text):
    return EMAIL.sub("[EMAIL]", text)

fixtures = [
    {"input":"Свяжитесь: ivan@example.invalid", "expected":"Свяжитесь: [EMAIL]"},
    {"input":"Письмо отправлено", "expected":"Письмо отправлено"},
]
for case in fixtures:
    actual = redact(case["input"])
    if actual != case["expected"]:
        raise SystemExit("Redaction mismatch in synthetic fixture")
    if "@" in actual:
        raise SystemExit("Unmasked email marker remains")
print("Synthetic email redaction cases passed")

Готовый workflow для проверки в pull request

Файл ниже запускает скрипт через Python. permissions: contents: read оставляет встроенному токену только чтение кода. Если вы уже используете другой CI, сохраняйте тот же негативный тест и ненулевой код выхода, а файл workflow адаптируйте к своей инфраструктуре.

name: AI evaluation
on:
  pull_request:
permissions:
  contents: read
jobs:
  evaluate:
    runs-on: ubuntu-latest
    steps:
      - uses: actions/checkout@v7
      - uses: actions/setup-python@v7
        with:
          python-version: '3.13'
      - run: python scripts/evaluate.py

Пример входа и ожидаемого результата

Вход Свяжитесь: ivan@example.invalid преобразуется в Свяжитесь: [EMAIL]; фраза Письмо отправлено не меняется. Если заменить функцию redact на возвращение исходного текста, проверка завершится ошибкой и CI не позволит принять изменение незамеченным. Это наблюдаемое поведение демонстрационного кода, а не отчёт о запуске на внешней модели. В production проверяйте, что конкретный контракт подходит к бизнес-процессу, и сохраняйте вход/ожидание рядом с именем кейса.

Где этот тест может обмануть

Регулярное выражение здесь демонстрирует проверяемый инвариант для конкретных тестов, а не универсальную валидацию email. Маскирование после отправки в модель бесполезно для конфиденциальности входа. Токен [EMAIL] следует использовать одинаково в шаблоне промпта и в тестах; восстановление адреса допускайте только в доверенной части приложения. Если тест проверяет только формат, не представляйте его как оценку фактической правильности ответа. Если тест проверяет только список ID, не делайте вывода о полноте подтверждающих документов. Разделяйте сбой инфраструктуры, некорректный корпус и нарушение прикладного инварианта: у этих проблем разные действия.

Внимательно смотрите дифф при изменении ожидаемого результата. Ослабление утверждения ради зелёного статуса может скрыть ошибку. В публичных артефактах и summary показывайте только синтетический ID и минимально необходимые поля. При увеличении корпуса проверьте, что новый тестовый случай действительно добавляет неизвестную ранее ветку поведения, а не повторяет существующий текст с другой пунктуацией.

Чек-лист финальной проверки

У входных данных есть понятный ID и проверенное ожидаемое поведение.
Успешная фикстура проходит локально, испорченная падает с понятной причиной.
Скрипт запускается по тому же пути в CI, что и в инструкции.
Вход, журнал и репозиторий не содержат секретов или реальных персональных данных.
Сравнивается актуальная версия кода; PR не подменяет эталон без ревью.
Проверены границы именно этого теста: что он обнаруживает и что не проверяет.

Частые вопросы

Заменяет ли тест юридическую проверку персональных данных?

Нет. Он проверяет конкретную функцию и синтетические примеры, а требования обработки данных определяются отдельно.

Почему проверка по символу @ недостаточна?

Это дополнительная страховка для демонстрационной фикстуры, не доказательство отсутствия PII другого вида.

Где вызывать redact?

До сериализации запроса к внешнему API и до записи исходного текста в логи, если их тоже требуется очищать.

Что делать с адресами необычного формата?

Расширьте тестовый корпус и реализуйте проверенный детектор для вашей предметной области; не объявляйте этот regex исчерпывающим.

Как принять изменение после теста

Попросите второго участника проекта воспроизвести пример из статьи на своей ветке и оценить ожидаемый результат независимо от вывода скрипта. Особенно важно проверить, не изменили ли авторы PR эталон одновременно с функцией так, чтобы ошибка стала невидимой. Сохраните ссылку на конкретный запуск рядом с ревью и повторите тест после объединения изменений, если последующие коммиты затрагивают ту же обработку данных. При обнаружении настоящего сбоя сначала добавьте отдельную синтетическую фикстуру, которая воспроизводит проблему, и лишь потом исправляйте код. Так можно проверить, что исправление действительно удерживается, а тест не оказался формальным.

Официальная документация

Источники проверены 19.09.2026: 1, 2, 3. Перед переносом на другой runtime ещё раз проверьте версии и актуальные поля документации.