OpenMed 脱敏引擎威胁模型：从资产分解到可执行滥用用例套件的纵深防御剖析

OpenMed 脱敏引擎威胁模型：从资产分解到可执行滥用用例套件的纵深防御剖析

【免费下载链接】openmedLocal-first healthcare AI: clinical NER & HIPAA PII de-identification that runs 100% on-device. 2,200+ medical models, 21 languages, Apple MLX + Python, no cloud, no patient data leaving your network. Apache-2.0项目地址: https://gitcode.com/GitHub_Trending/ope/openmed

导读

本文是 OpenMed 脱敏（de-identification）路径——即 "redactor"——的结构化威胁分析。OpenMed 的安全目标是：在承认脱敏无法消除全部残余重识别风险的前提下，防止受支持的去标识化路径暴露受保护健康信息（PHI）或其他个人数据。任何导致标识符在脱敏后存活的缺陷都构成redaction bypass（脱敏绕过），按 SECURITY.md 的定义属于安全缺陷而非普通 bug。读完本文，你将掌握 OpenMed 的资产与信任边界划分、五类对手模型、七阶段去标识化攻击面、STRIDE 属性映射、AC-01 至 AC-11 的完整滥用用例目录及其缓解状态，以及如何通过可执行测试套件验证缓解措施。

1. 威胁模型在整个安全体系中的定位

该威胁模型是 OpenMed 安全工作的锚点，它枚举"去标识化承诺可能以何种方式失效"，将每一个枚举出的失效模式映射到已有的或计划中的缓解措施，并标记残余缺口。它支撑着三类具体工作：

• 对抗性评测（adversarial-eval）：通过攻击视角验证模型与流水线的真实泄漏行为；
• 模糊测试（fuzzing）：追踪 DoS 类路径（如病态输入导致的资源膨胀）；
• 协调披露（coordinated disclosure）：新发现的绕过必须在修复后再公开。

同时，它服务于欧盟 AI 法案的鲁棒性/网络安全义务（路线图 S7.7）以及 S8.6 风险登记。

文档刻意与一套可执行的滥用用例套件配对——tests/unit/security/test_redactor_leakage_bypass.py。该套件只使用合成标识符，将已缓解的滥用类别驱动穿过真实的脱敏表面，并断言每个类别都被拦截。公开目录只在线索类别层面描述已知缺口，刻意省略未缓解绕过的可利用复现细节；后续报告遵循 SECURITY.md 中的漏洞报告流程。

2. 资产：攻击者想要什么，以及"损失"意味着什么

威胁模型首先定义五类受保护资产（对应 threat-model.md 第 1 节）：

注意 A2 的特殊性：即使输出中不存在任何单个直接标识符，通过准标识符的组合关联（linkage）仍可能重识别个体，因此脱敏并非"删除几个字段"那么简单。

3. 信任边界：本地优先的边界划分

OpenMed 是local-first的，这些边界与OPENMED_OFFLINE非目标（模型下载后无强制网络调用）以及AGENTS.md的本地优先规则保持一致：

• TB1 — 进程边界（设备端）：所有脱敏都在操作者机器上的进程内运行。模型下载完成后，默认不要求也不发起网络调用；离线模式（openmed/core/offline.py）可以硬阻断出口流量。默认脱敏路径不会把 PHI 发送给网络对端；操作者自建集成与第三方模型服务是独立的信任决策。
• TB2 — 输入边界（不可信文本）：输入文档是不可信的。它可能被攻击者控制，包含对抗性 Unicode、编码技巧、提示注入字符串或故意混淆的标识符。redactor 必须对敌意输入健壮，而不只是对噪声输入健壮。
• TB3 — 密钥保管边界：日期平移 HMAC 密钥、代理库映射、可逆 ID 密钥由操作者提供，默认不记录日志、不嵌入输出。带种子的replace代理是数据最小化手段而非加密，不声称提供密码学意义上的不可逆性；带密钥的可逆性是授权密钥或映射持有者的属性。
• TB4 — 产物边界：日志、缓存、临时文件与审计报告是运行遥测。它们携带偏移、哈希、溯源与风险分数——绝不携带明文标识符或映射（见 docs/security/no-raw-phi-logging.md）。
• TB5 — 模型-代码边界：只有第一方 privacy-filter 组织才走trust_remote_code自定义代码路径；不可信的模型标识符落入标准加载器，标准加载器绝不启用远程代码（_TRUSTED_PRIVACY_FILTER_PREFIXES，位于 openmed/core/pii.py）。这直接对应 STRIDE 中的权限提升威胁（见第 6 节）。

4. 对手模型：谁是主要威胁

主要对手是 ADV-1：一个不可信的输入作者，试图通过让标识符看起来像检测器会忽略的东西（而人类或下游关联仍能读出）来把直接标识符偷运过 redactor。这解释了为何威胁模型的重心放在 Unicode 混淆、分隔符变异等输入侧攻击上。

5. 攻击面：七阶段去标识化流水线

公开入口点是openmed.deidentify（以及extract_pii），实现在 openmed/core/pii.py，由 openmed/core/pipeline.py 编排。相关阶段按顺序为：

① Normalize（纵深防御）。流水线先做 NFC 归一化并折叠空白（Pipeline.stage1_normalize），PII 路径在此基础上额外通过normalize_for_pii_detection（openmed/core/script_detect.py）折叠对抗性 Unicode：剥离零宽控制符与独立组合标记，把希腊/西里尔/全角易混淆字符（confusables）折叠为对应的拉丁形似字符。全部操作保持偏移不变——检测到的 span 通过DetectionNormalization.remap_span重映射回原始文本（script_detect.py），确保脱敏落在真实字符上。

② Detect（ML）。基于归一化文本，由 token-classification 模型检测标识符。

③ Smart-merge。正则语义单元合并把模型碎片（例如被切分到多个 token 的日期）重新合并为完整标识符（_apply_pii_smart_merging，位于 openmed/core/pii.py）。

④ Safety sweep（确定性）。safety_sweep（openmed/core/safety_sweep.py，任务OM-008）在归一化文本上运行带验证器门控的正则（Luhn、IBAN、SSN、NPI、电话、邮箱……），把模型漏掉的结构化标识符追加进来。关键规则：已有模型 span 永远优先，与既有 span 重叠的扫描候选被丢弃。从源码看，候选按confidence → priority → start → 长度排序后逐条与活动 span 做重叠检查（safety_sweep.py），最终交给质量门做重叠解析。

⑤ Resolve overlaps / quality gate。resolve_overlapping_entities与validate_entity_spans（openmed/core/quality_gates.py，任务OM-012）产生确定性、无重叠、边界合法的 span 集合；冲突时关键/高风险标签胜出（源码中_CRITICAL_LABELS覆盖 SSN、PASSWORD、PIN、API_KEY、CREDIT_CARD、CVV，quality_gates.py）。值得注意的是 span 校验是warn-only：只记录诊断与元数据标志，绝不静默丢弃实体（quality_gates.py），避免"校验器反而造成泄漏"。

⑥ Redact。每个 span 按_redact_entity（openmed/core/pii.py）执行 mask / remove / replace / hash / date-shift / format-preserve，用替换内容覆盖输出中的原始字符。deidentify的完整签名（pii.py）暴露了安全相关的关键参数：confidence_threshold默认 0.7（注释明确"Higher threshold for safety"）、patient_key/date_shift_secret（HMAC 密钥材料，原始密钥不落日志）、keep_mapping、use_safety_sweep（默认 True）、consistent/seed（可预测代理的控制开关）。

⑦ Audit（可选）。可复现的AuditReport记录偏移、哈希、溯源、阈值与来自risk_report的残余风险摘要（openmed/risk/init.py），且不存储源 span 或周围上下文的明文。

安全扫描与归一化层是关键的纵深防御：对显式支持的转换与结构化格式，归一化先规范化输入，确定性扫描再回收模型漏掉的标识符。但它们并不覆盖所有可能的混淆——这正是滥用用例目录存在的意义。

6. STRIDE 风格映射

7. 滥用用例目录：AC-01 至 AC-11

每个滥用用例记录向量类别、攻击者目标、缓解（或缺口）与状态。AC 编号是稳定的，所有已发布示例均为合成数据。

一个重要的兼容性细节：使用仅含哈希/偏移上下文的审计报告保持确定性排序、JSON 往返、可复现哈希与 HMAC 验证。遗留产物（其存储的repro_hash或 HMAC 覆盖了原始before/after字符串）在加载后不再具备完整性兼容：加载器在任何新序列化前移除明文，旧哈希与签名不再验证。应使用固定版本的 OpenMed 重新生成并重新签名，而不是重新导出遗留产物。

7.1 缓解所有权映射

7.2 开放缺口（当前无完整缓解）

• AC-02 — 未规范化的分隔符变异。某些可见分隔符变换落在归一化与确定性模式契约之外，属于残余泄漏类别。文档刻意省略利用细节；新发现通过 SECURITY.md 的漏洞报告流程提交。

8. 残余泄漏风险：被测量而非被假设

即使所有缓解到位，残余风险依然存在，并被量化而非假设消除：

• ML 召回上限：确定性扫描只覆盖带验证器/正则的结构化标识符。自由文本标识符（姓名、罕见地名）依赖模型召回；对抗性重识别评测（OM-034）与审计residual_risk摘要量化实际泄漏。
• 准标识符关联（A2）：移除直接标识符不保证不可重识别。risk_report/run_reid_attack（openmed/eval/attacks/reid.py）对关联与 k-匿名评分；k_min == 1的记录被标记为完全可重识别。
• 新型混淆向量：尚未折叠的新易混淆区间或拆分技巧可能绕过检测。滥用用例套件是已缓解类别的回归网；新类别获得一个AC编号，但不会发布未修补的漏洞利用配方。
• 密钥保管（A3）：可逆性强度取决于操作者密钥保管；OpenMed 无法防御被窃取的密钥。
• 种子替换的可预测性：replace移除源明文并可省略显式映射，但确定性 Faker 代理不是加密。跨文档可关联性或通过可预测输入恢复，应视为残余风险而非密码学不可逆性。

9. 如何执行该模型：可运行滥用用例套件

滥用用例目录是可执行的。运行：

.venv/bin/python -m pytest tests/unit/security/test_redactor_leakage_bypass.py -q

已缓解的AC-*类别驱动合成尝试穿过真实脱敏表面（safety_sweep、normalize_for_pii_detection、以及使用 mock 检测器的deidentify），断言标识符被拦截。该套件有三条硬性规则（见 test_redactor_leakage_bypass.py 文档字符串）：

1. 仅合成标识符——数字被构造成结构上有效（校验和正确）但不属于任何真实个人（如 Luhn 有效的 Visa 测试卡号4111 1111 1111 1111、文档用 SSN 形态123-45-6789、IBAN 注册表示例GB82 WEST 1234 5698 7654 32）。
2. 离线——确定性层（normalize_for_pii_detection→safety_sweep）不需要模型；端到端deidentify路径把 ML 检测器 mock 成盲检测器（什么也找不到），这是最强的测试：它证明即使模型完全失效，redactor 的承诺在确定性结构化标识符上依然成立。
3. 泄漏优先——断言检查的是原始标识符不存活于输出，而不只是"找到了某个实体"。

值得注意的实现细节：AC-01 测试先证明"裸扫描会被绕过"（credit_debit_card不在直接扫描结果中），再证明"归一化链能回收"——这正是归一化层存在的理由。AC-10 测试则遍历审计产物的三种序列化形态（repr(to_dict())、to_json()、export_review_bundle()），逐一断言原始标识符与明文上下文均不出现，同时确认审计仍以text_hash形式记录了相邻标识符被找到的事实——"记录证据但不记录明文"的平衡点。

当前公开回归套件刻意省略已知未缓解类别的复现；公开回归应伴随协调修复与披露一起落地，而非提前。已知缺口（AC-02）或新怀疑的绕过，请通过 SECURITY.md 私有渠道报告，附合成复现——绝不要公开发 issue，绝不要使用真实数据（SECURITY.md 明确要求：报告泄漏真实数据本身即事件，须按事件处理）。

10. 配套文档与延伸阅读

• 无原始 PHI 日志策略的完整允许/禁止清单与工程要求见 docs/security/no-raw-phi-logging.md（其中规定了在修改 PII/脱敏路径后运行pytest tests/unit/test_no_raw_text_logging.py -q的守卫测试）。
• 漏洞分级（CVSS v4.0 + 隐私影响覆盖，隐私缺陷从不低于 High）、响应时间目标（3 个工作日确认、90 天协调披露）与安全港条款见 SECURITY.md。
• 对抗性重识别评测的量化实现见 openmed/eval/attacks/reid.py 与 openmed/risk/reid.py。

总而言之，OpenMed 的 redactor 威胁模型把"脱敏不可能绝对安全"这一现实转化为一套可审计、可执行、可演进的工程体系：资产与信任边界定义保护范围，STRIDE 映射确定控制归属，AC 目录把攻击向量固化为回归测试，而残余风险章节则诚实地标注出测量得到而非假设掉的安全边界。对任何将 OpenMed 集成进临床或数据处理管线的工程师而言，这篇模型既是威胁认知基线，也是漏洞报告与验收测试的操作手册。

【免费下载链接】openmedLocal-first healthcare AI: clinical NER & HIPAA PII de-identification that runs 100% on-device. 2,200+ medical models, 21 languages, Apple MLX + Python, no cloud, no patient data leaving your network. Apache-2.0项目地址: https://gitcode.com/GitHub_Trending/ope/openmed