摘要： OpenAI 在 2026 年 4 月 22 日推出 Privacy Filter，這個 1.5B 參數的稀疏 MoE 模型可在本地偵測並遮蓋文字中的 8 類個人識別資訊，權重與程式碼以開源方式提供。模型每個 token 只活躍 50M 參數，支援 128K context、瀏覽器、ONNX 與 SageMaker 部署，適合高吞吐資料清理。官方明確定位它是遮蔽與資料最小化的輔助工具，不是匿名化、合規或安全保證，敏感場景仍需人工覆核。
Privacy Filter 是 OpenAI 在 2026 年 4 月 22 日宣布推出的模型，用途是偵測並遮蓋文字中的個人識別資訊（PII）。權重依 Apache 2.0 授權上架到 Hugging Face，推論與部署程式碼也一併在 GitHub 開源，瞄準的是高吞吐量、本地端的資料清理場景。
為什麼重要：對不少企業來說，採用 LLM 有個硬性前提——敏感資料必須先在本機過濾，才能送往外部 API。這個位置向來多由通用 NER 模型或規則運算式把守；OpenAI 如今補上了一個開源選項，自己的機房跑得動，連瀏覽器裡也跑得動，而且把角色定位說得明白——僅供輔助，而非合規保證。
模型本體：雙向 token 分類器
就結構而言，它屬於雙向的 token 分類器——原始文字進去，每個 token 會得到橫跨 33 個類別的 logits。其中 8 個屬於個資類別——帳號、私人地址、私人信箱、人名、電話、私人網址、日期、密鑰——各自搭配 BIOES 標記，剩下的那一類充當背景。一整條序列只要一次前向傳播就標記完畢；接著由受限的 Viterbi 解碼接手，靠轉移偏置把零散的離散標籤收攏成連貫合理的區段。執行期參數可自行權衡精確率與召回率，也能調整區段長度。
稀疏 MoE：總量 1.5B、每 token 只動用 50M
架構上有個巧妙安排。底座先按自回歸方式預訓練（整體結構接近縮小版的 gpt-oss），之後被改造成雙向分類器，再接受監督式後訓練。規格如下：全部參數共計 1.5B，換算到每個 token，實際活躍的只有 50M——做法是稀疏 MoE，每個 token 從 128 個專家中選出 4 個，d_model 定為 640，transformer 堆疊 8 層，14 個 query head、KV head 僅 2 個（group size 7），位置資訊採旋轉位置編碼；注意力為帶狀（band 128，把自身算進去的有效視窗是 257 token）。上下文長度可達 128K。權重檔採 safetensors 格式，約 2.8 GB，社群另有量化版本。
標籤如何成形：單次前向加 Viterbi 解碼
整個設計最值得一提的，是「標記」與「決策」分屬兩層。模型本身的任務只有一個：針對每個 token 給出所屬類別的分佈；span 怎麼定案，全權交由 Viterbi 解碼來處理——背景持續偏置、區段進入與結束偏置、邊界交接偏置一起約束輸出，不合法的標籤序列因此無從出現。靠這層分工，同一份權重能隨場景改變行為：粗篩管線把召回擺在前頭，自動遮蔽把精確擺在前頭，背後用的是同一個模型。
部署範圍：瀏覽器一路到 SageMaker
能跑的地方相當多。在 Transformers 裡，只需單行 pipeline 就能載起模型；走 Transformers.js 的話，瀏覽器本身就是執行環境——靠 WebGPU 加上 q4 量化。官方示範中，Harry Potter 被標成 private_person，信心達 0.999996；電子郵件位址則被標成 private_email（達 0.999999）。ONNX 及 SageMaker 的部署方式也在支援之列。Hugging Face 另外備有 demo Space，線上貼段文字就能檢驗效果。
官方定位與已知限制：是工具，不是保證
談到限制，模型卡寫得一點也不客氣：「redaction 與資料最小化的輔助，不是匿名化、合規或安全保證」。至於標籤政策，則屬於靜態設計——想調整標記範圍，靠的是微調而非改設定。已知失敗模式有兩種走向：罕見姓名與各地書寫慣例可能漏抓，公共實體，或是無害的高亂度字串也可能被過度遮蔽。醫療、法律、財務、人資、教育與政府場景，官方明確要求務必保留人工覆核。
給工程團隊的三點啟示
實際面上可以歸納三件事。其一，開源圈從此多了一個能自行託管的 PII 過濾基準選項；資料要離開內部環境前的第一道關卡，既能架在自己的機房，也能架在使用者的瀏覽器裡。其二，每個 token 實際運作的參數只有 50M，推論成本壓得夠低，放進管線熱路徑做高吞吐掃描不成問題。其三，它的介面設計值得參考——偵測與決策分開處理、行為交給解碼參數調整，這種工程模式比起「一個模型解決全部」，更能承受真實資料管線的考驗。