Модели не нужен паспорт вашего клиента, чтобы написать ему ответ

Модели не нужны настоящие данные

Люди несут в модель письмо клиента, выгрузку из CRM, лог с паролем в стектрейсе. Запрет не работает — работу уносят в личный ChatGPT. Блокирующий фильтр не работает — получается тот же запрет, только с раздражением. Guardrails исходит из простого наблюдения: чтобы написать клиенту ответ, модели достаточно знать, что здесь стоит имя, а здесь — телефон. Поэтому шлюз ничего не блокирует: он заменяет данные нумерованными заглушками, отдаёт модели и возвращает настоящие значения в ответ.

Это реальный прогон через небольшую модель gemma3:4b на процессоре. Один и тот же человек в письме — одна и та же заглушка, поэтому модель рассуждает о нём связно, а восстановление однозначно. Номер дома в модель ушёл: базовый распознаватель видит названия, но не номера — точная модель закрывает и их, об этом ниже.

Документы — правилами с контрольными суммами, имена и адреса — моделью

Нейросеть не знает алгоритм контрольной суммы СНИЛС и может принять номер заказа за ИНН. Правило знает: сумма сходится — ИНН, не сходится — нет. Поэтому документы, карты, телефоны, email, ключи и пароли находят правила за десять миллисекунд. Имена и адреса правилами не описать — их ищет модель распознавания, которую вы выбираете при установке: быстрая spaCy или точная ruBERT. Если модель и правило спорят, побеждает правило.

Демо: вставьте текст и посмотрите, что уйдёт в модель

Вместе со шлюзом ставится страница демо: вставляете любой текст, видите замаскированную версию и список найденного с типами, переключаетесь между восемью готовыми наборами — поддержка, HR, банк, код, логи, договор, корпоративные данные — и, если модель настроена, прогоняете текст через неё и получаете ответ с восстановленными данными.

Три команды и три вопроса

Скрипт установки спросит, какую модель использовать — запустить на этой машине, указать адрес вашей или пока обойтись без неё, — насколько тщательно искать имена и адреса и на каких портах открыть шлюз и демо. Дальше он сам скачает и запустит всё необходимое и проверит себя: замаскирует тестовое письмо, пропустит через шлюз и убедится, что в ответе всё восстановилось.

git clone https://github.com/buffsystems/buff-guardrails.git
cd buff-guardrails
./install.sh

Шлюз понимает API Anthropic и OpenAI. Claude Code достаточно трёх переменных окружения:

export ANTHROPIC_BASE_URL=http://localhost:4000
export ANTHROPIC_AUTH_TOKEN=sk-...
export ANTHROPIC_MODEL=default

Claude Desktop и Cowork, Buff Code и любой SDK подключаются так же — пошагово для Windows, macOS и Linux, с экспортом настроек для раздачи сотрудникам: docs/clients.md

Что шлюз делает, а чего не делает

Слабое место базового варианта — адреса: spaCy на русском видит названия улиц и городов, но не номера домов. На живых переписках он находит 60 имён и 51 адрес из ста, точная модель ruBERT — 92 и 98, ценой 150 миллисекунд на запрос вместо 11. Если сотрудники работают с обращениями клиентов, выбирайте ruBERT — это один пункт в установщике.

• Не блокирует запросы и не ведёт реестр инцидентов: это не DLP, а слой между сотрудником и моделью, который делает обычную работу безопасной.
• Не заменяет правовые основания обработки: он снимает передачу данных третьему лицу, остальное — ваши регламенты.
• Не обещает ста процентов: цифры измерены на открытых наборах и воспроизводятся командой make bench в репозитории.
• Открытый код под лицензией MIT: что именно и как маскируется, можно проверить, а не поверить.