تصور کنید یک مدل محلی با تنها ۰.۶ میلیارد پارامتر بتواند در حفاظت از حریم خصوصی کاربران، غول‌های تریلیون-پارامتری ابری را شکست دهد. این ادعا در ۱ سپتامبر ۲۰۲۶ با معرفی مدل PII-Tracer و محک PII-TRACE توسط شرکت پرپلکسیتی (Perplexity) به واقعیت تبدیل شد؛ یافته‌هایی که ثابت می‌کند معماری‌های تخصصی و فشرده در شناسایی مداوم اطلاعات حساس، کارآمدتر از مدل‌های همه‌منظوره هستند.
این تحول در حالی رخ می‌دهد که صنعت هوش مصنوعی به سمت معماری‌های محاسباتی ترکیبی حرکت می‌کند. در این ساختار، عامل‌های ابری وظایف سنگین استدلال، تحقیق و برنامه‌ریزی را بر عهده دارند و مدل‌های محلی مدیریت فایل‌های خصوصی را انجام می‌دهند. نقطه ضعف بحرانی در این زنجیره، «دروازه حریم خصوصی» است؛ اگر یک شناسنده محلی حتی یک اشاره به شماره کارت اعتباری یا آدرس را در یک مکالمه طولانی از قلم بیندازد، کل جریان داده‌ها به خطر می‌افتد. این چالش دقیقاً همان نقطه‌ای است که نقص‌های حذف اطلاعات در سمت ارائه‌دهنده را برجسته می‌کند و ضرورت کنترل‌های سمت کاربر را دوچندان می‌سازد.
مکانیزم دروازه حریم خصوصی
در این معماری ترکیبی، یک دروازه حریم خصوصی محلی محتوای حساس را روی دستگاه (مثلاً مک) نگه می‌دارد، اطلاعات شناسایی شده را سانسور (Redact) می‌کند یا پیش از ارسال به ابر، اجازه کاربر را می‌گیرد. این رویکرد یادآور سیستم‌های حذف ۱۰۰ درصدی اطلاعات شخصی است که پیش از ارسال هرگونه داده به مدل‌های ابری، لایه‌ای از امنیت محلی ایجاد می‌کنند. PII-Tracer دقیقاً سیگنال کنترلی این مسیریابی را با علامت‌گذاری بازه‌هایی که پیش‌بینی می‌شود حاوی اطلاعات شناسایی شخصی (PII) باشند، فراهم می‌کند.
به نقل از مستندات پرپلکسیتی، شناسایی داده‌ها به‌ویژه در مکالمات طولانی و چندزبانه به‌شدت دشوار است، زیرا یک شناسه ممکن است چندین بار در نوبت‌های مختلف مکالمه ظاهر شود. هر اشاره‌ای که شناسایی نشود، می‌تواند اطلاعاتی را که سیستم دقیقاً برای محافظت از آن‌ها طراحی شده است، افشا کند.
جزئیات محک PII-TRACE
برای حل این چالش، پرپلکسیتی محک PII-TRACE (ردیابی PII تکراری در تبادلات مکالمه‌ای) را توسعه داد. این محک شامل ۱۳,۱۴۸ مکالمه مصنوعی در ۱۳ زبان و ۱۰ سیستم نوشتاری مختلف است. این مجموعه داده دارای ۳۷,۴۳۱ اشاره به شناسه‌ها است که در سطح کاراکتر و در ۹ نوع مختلف از PII برچسب‌گذاری شده‌اند.
بررسی ترکیب داده‌ها نشان می‌دهد ۴۱٪ از مکالمات حاوی محتوای ساختاریافته هستند. در میان ۵,۶۴۵ مکالمه‌ای که دارای PII برچسب‌گذاری شده بودند، ۶۳.۸٪ شامل شناسه‌ای بودند که بیش از یک بار تکرار شده بود و ۲۸.۷٪ شامل شناسه‌ای بودند که در چندین نوبت (Turn) مختلف مکالمه ظاهر شده بود.
طبق اعلام این شرکت، این محک بر سه چالش اصلی تمرکز دارد:
- پوشش مداوم: اطمینان از اینکه هر اشاره به یک شناسه، بدون توجه به مکان ظهور یا اینکه آیا بین نوبت‌های کاربر و دستیار تقسیم شده است یا خیر، علامت‌گذاری شود.
- استواری در بستر متن: مدیریت مکالماتی با طول بسیار متغیر، از کمتر از ۱,۰۰۰ تا بیش از ۱۰۰,۰۰۰ کاراکتر.
- پیچیدگی چندزبانه: مدیریت محتوای با فرمت‌های ترکیبی، مانند متونی که نثر عادی با کد، جدول یا سوابق ساختاریافته ادغام شده‌اند.
اندازه‌گیری و سنتز داده‌ها
عملکرد در دو سطح اندازه‌گیری می‌شود. در سطح «شناسه»، یک امتیاز شناسایی مداوم ردیابی می‌کند که آیا هر کاراکتر در هر اشاره از یک شناسه یکسان پوشش داده شده است یا خیر. در سطح «کاراکتر»، این محک از معیارهای دقت (Precision)، بازیابی (Recall) و امتیاز F1 استفاده می‌کند.
مجموعه داده‌ها مصنوعی هستند اما از مکالمات واقعی تولیدی (Production) مشتق شده‌اند. ابتدا چندین مدل زبانی، ۹ نوع PII را در ترافیک واقعی علامت‌گذاری کردند و سپس یک مرحله مبتنی بر قانون (Rule-based)، شناسه‌های تکراری را تحت یک شناسه موجودیت (Entity ID) گروه‌بندی کرد. این شناسه‌ها با جای‌گذارهای تایپ‌شده جایگزین شدند، بازنویسی (Paraphrase) شدند و سپس با مقادیر مصنوعی پر شدند. سه دروازه خودکار — شامل بازبینی با Presidio و عبارات منظم (Regular-expression) — تضمین کردند که هیچ مقداری از منبع اصلی باقی نمانده است. در نهایت، یک مدل زبانی دوم و بازبین‌های انسانی نتایج را حسابرسی کردند.
معماری PII-Tracer
مدل PII-Tracer یک رمزگذار (Encoder) دوطرفه با ۰.۶ میلیارد پارامتر است که از بدنه Qwen3 اقتباس شده است. برخلاف مدل‌های زاینده استاندارد که از ماسک‌های علی (Causal Masking) استفاده می‌کنند، این مدل از توجه (Attention) دوطرفه آگاه از پدینگ (Padding-aware) استفاده می‌کند. این ویژگی اجازه می‌دهد هر توکن بتواند به نوبت‌های قبل و بعد در یک پنجره ۴,۰۹۶ توکنی دسترسی داشته باشد.
برای هر توکن، رمزگذار یک نمایش ۱,۰۲۴ بعدی تولید می‌کند. سپس یک سر (Head) برچسب‌گذاری خطی، ۳۷ برچسب احتمالی را تحت طرح BIOES برای شناسایی موجودیت‌های نام‌دار (NER) امتیازدهی می‌کند: یک برچسب برای متنی که خارج از بازه PII است، به علاوه چهار برچسب موقعیت بازه برای هر یک از ۹ نوع PII.
جزئیات فنی تکمیلی عبارتند از:
- سر کمکی (Auxiliary Head): پیش‌بینی می‌کند که آیا مکالمه حاوی مطالب حساس، مانند اطلاعات پزشکی یا مذهبی است یا خیر.
- آموزش: مدل برای سه Epoch روی تقریباً ۷۱۴,۰۰۰ نمونه آموزشی، ترکیبی از مکالمات دستیار چندزبانه و نمونه‌های تک-رکورد، آموزش دیده است.
- استنتاج: یک رمزگشای Viterbi محدود شده، به دنبال با‌کیفیت‌ترین توالی برچسب‌ها می‌گردد تا نتایج را به بازه‌های دقیق کاراکتری نگاشت کند.
رویارویی با مدل‌های پیشرو
در آزمایش‌های رودررو، PII-Tracer به امتیاز F1 کاراکتری ۰.۶۲۹ رسید که بالاترین مقدار در میان ۱۲ سیستم ارزیابی شده بود. این مدل همچنین دومین امتیاز برتر را در F1 هم‌پوشانی بازه (Span-overlap) و F1 دربرگیری بازه (Span-containment) کسب کرد. در حالی که مدل‌های پیشرو مانند GPT-5.6-sol و Claude Sonnet 5 عملکرد کلی مشابهی داشتند، اما در بحث «ثبات» شکست خوردند.
بر اساس گزارش پرپلکسیتی، PII-Tracer توانست تمام اشاره‌های ۷۹.۴٪ از شناسه‌های تکراری و ۷۷.۶٪ از شناسه‌های بین-نوبتی را پیدا کند. در مقابل، GPT-5.6-sol در همین معیارها تنها به ۵۷.۰٪ و ۵۵.۱٪ رسید. این شکاف به این دلیل است که مدل‌های پیشرو بسته-منبع هستند و در ابر میزبانی می‌شوند، بنابراین برای غربالگری متونی که باید محلی بمانند، اساساً نامناسب‌اند. این رویکرد در واقع تکامل‌یافته‌ی مفاهیمی است که در سیستم‌های ماسک‌گذاری محلی مانند PISIGuard برای جلوگیری از خروج داده‌های حساس به سرورها مطرح شده بود.
محدودیت‌ها و بهینه‌سازی‌ها
طول بستر متن همچنان یک چالش است. نرخ بازیابی (Recall) تک-پنجره‌ای برای PII-Tracer در مکالمات زیر ۱,۰۰۰ کاراکتر ۰.۹۷۵ و برای متون بین ۱,۰۰۰ تا ۱۰,۰۰۰ کاراکتر ۰.۹۵۵ است، اما برای متون بالای ۱۰,۰۰۰ کاراکتر به ۰.۶۸۷ کاهش می‌یابد.
با این حال، پرپلکسیتی دریافت که رمزگشایی همان نقطه بازرسی (Checkpoint) با پنجره‌های لغزان با ۵۰٪ هم‌پوشانی، نرخ بازیابی کلی کاراکتر را به ۰.۹۶۵ و شناسایی مداوم چند-اشاره‌ای را بدون نیاز به آموزش مجدد به ۰.۹۵۴ می‌رساند. امتیاز ثبات PII-Tracer از ۰.۹۱۷ برای شناسه‌های تک-اشاره‌ای به ۰.۶۹۱ برای شناسه‌هایی که ۶ تا ۱۰ بار تکرار شده‌اند، تغییر می‌کند.
اعتبارسنجی جهانی و خارجی
در یک برش شش‌زبانه (شامل خطوط لاتین، سیریلیک و هانگول)، PII-Tracer در زبان‌های آلمانی (۰.۷۳۵)، فرانسوی (۰.۶۳۳)، ایتالیایی (۰.۶۷۶) و روسی (۰.۶۵۱) پیشتاز F1 کاراکتری بود. در زبان‌های انگلیسی و کره‌ای نیز فاصله این مدل با بهترین نتایج بین ۰.۰۱۶ و ۰.۰۳۶ بود.
در پنج محک تک-رکورد خارجی، PII-Tracer در تمامی مجموعه‌داده‌ها از OpenAI Privacy Filter پیشی گرفت. نتایج کلیدی عبارتند از:
- ai4privacy: امتیاز ۰.۹۵۰ در برابر ۰.۹۰۷
- Nemotron-PII: امتیاز ۰.۸۴۷ در برابر ۰.۷۰۹
- TAB (برچسب‌گذاری انسانی): امتیاز ۰.۵۹۴ در برابر ۰.۳۵۰
این تغییر رویکرد نشان می‌دهد آینده حریم خصوصی در «مدل‌های بزرگ‌تر» نیست، بلکه در «دروازه‌های هوشمندتر» است. پرپلکسیتی با انتقال منطق شناسایی به یک رمزگذار دوطرفه در لبه، حریم خصوصی را به جای یک مسئله تولید متن، به عنوان یک مسئله مسیریابی (Routing) تعریف کرده است.
برای توسعه‌دهندگان، مهم‌ترین نکته، کارایی مقیاس ۰.۶ میلیارد پارامتر برای وظایف NER است. این ثابت می‌کند که یک SLM بسیار تخصصی می‌تواند لایه امنیتی قابل‌اعتمادتری نسبت به یک LLM عمومی فراهم کند. مقاله پژوهشی هشدار می‌دهد که چون مکالمات بازسازی‌های مصنوعی هستند، نتایج بیشتر بیانگر شناسایی مکالمه‌ای هستند تا بارهای کاری واقعی تولیدی. فراخوانی ابزارها (Tool calls)، پیام‌های بین-عاملی و ورودی‌های چندوجهی خارج از محدوده این پژوهش بوده‌اند.
پرپلکسیتی قصد دارد هم محک و هم مدل را تحت مجوز MIT منتشر کند. کاربران باید منتظر ادغام این ابزارها در محیط‌های محلی مک باشند تا نحوه مدیریت بارهای کاری واقعی تولیدی را مشاهده کنند.
گام بعدی شما
- اگر توسعه‌دهنده هستید، از مدل‌های تخصصی SLM برای لایه‌های امنیتی به جای LLMهای عمومی استفاده کنید.
- برای کاهش نرخ خطای شناسایی در متون طولانی، استراتژی پنجره‌های لغزان (Sliding Window) را پیاده‌سازی کنید.
- منتظر ادغام این ابزارها در محیط‌های محلی مک باشید تا عملکرد آن‌ها در بارهای کاری واقعی بسنجید.
اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های NPU در دستگاه‌های لبه مراجعه کنید.
گفتگو