2026年6月22日，位于美国艾森豪威尔行政办公楼的美国国家设计工作室（National Design Studio，简称 NDS）开源了首代浏览器端原生脱敏系统 Rampart。这套系统把确定性正则规则与 MiniLM 小型语言模型串联在一起，权重文件仅 14.7MB，宣称在 WebGPU 环境下中位数延迟仅 3.9ms，并在 7 种西欧拉丁语系测试集上拿到了 98.42% 的私有词召回率。NDS 的意图很直接，要在用户把提示词发送给云端大模型的前一毫秒，就地截留敏感数据。
这篇发布很快在开发者社群激起水花，因为人们苦云端数据泄露久矣。但如果撕开宣传层面上这个近乎完美的召回率指标，审视官方白皮书与底层模型表现，就会发现端侧脱敏从理念到落地存在巨大的认知断层。Rampart 绝非坚不可摧的隐私银弹，而是一次伴随着严苛技术妥协的初级工程尝试。
极小模型与规则串联：端侧过滤的工程取舍
让脱敏动作在浏览器内发生，解决的是信任机制的先天缺陷。传统 AI 交互要求用户信任服务商的隐私协议，但无论 AWS Bedrock Guardrails 这类云端护栏，还是企业内部的审计中间件，都存在日志越权记录或未知漏洞隐患。另一种思路是下放脱敏模型到本地，但体积往往难以承受。例如 OpenAI Privacy Filter 采用 1.5B 总参数与 50M 激活参数的稀疏架构，即使经过压缩，官方 ONNX 权重仍在 809MB 到 1.62GB 之间，常规网页前端根本无法承受这种加载开销。
Rampart 的解法是极度克制地压缩体量。整套模型参数量仅约 1850万，分词器与 Q4 ONNX 权重合起来完整体积仅约 15.0MB。在处理流程上，它划分成前后两道防线，先由确定性正则表达式配合真实逻辑校验，快速过滤身份证号、社保号、信用卡和电话等强结构化数据；紧接着唤醒 MiniLM 读取上下文，识别姓名与住址等非结构化实体。
把所有运算压进前端确实换来了惊艳的开销比。然而，为了能在常规浏览器里跑通，这套模型把架构上下文窗口上限严苛地卡在了 512 tokens。这意味着只要用户粘贴一篇几千字的医疗单据或长篇劳动合同，Rampart 的分析能力就会直接在边界截断，后半段文本完全脱离模型保护。
指标游戏下的防护漏洞：高召回率与低 F1 的落差
在 NDS 公布的数据中，Rampart 以 98.42% 的召回率力压 ~600MB 的 GLiNER（94.2%）以及微软 Presidio（65%）。但这一数字存在极大的口径限定。
官方测试依托的是 30,000 行 OpenPII 测试集，98.42% 仅仅指词级存在召回率，置信区间在 98.35% 至 98.49% 之间。如果换成自然语言处理领域更通用的实体识别标准，Rampart 的严格实体跨度 F1 值实际只有 52.8%，即便放宽条件也仅在 0.66 左右。
隐私防护的承诺建立在零遗漏之上，只要漏掉一个真实编号，整条防线便失去意义。
F1 值的滑落暴露出两个严重问题。首先是边界切分错误导致的语义破坏。Rampart 在测试集中的公有词保留率为 91.69%，这意味着有超过 8% 的无辜普通单词会被当成隐私给误伤抹去，直接影响大模型对提问意图的理解。其次是在该测试集中，依然残留了 2,082 个未能脱敏的私有词。对于日常信息，漏掉 1.58% 似乎可以容忍；但在隐私合规场景下，只要漏掉一个社会安全号或家庭住址，本地截留的逻辑便告击穿。
更深层的分歧来自评测环境的主场偏差。第三方厂商 Desert Ant Labs 在跨 24 种欧盟语言的多域测试中发现，一旦离开 NDS 预设的主场语境，Rampart 的召回率会骤降至 61.4%，大幅落后于参数量更大的 GLiNER-PII（91.1%）。
硬件枷锁与对抗穿透：被限制在理想环境的初级防线
把目光放回真实的客户端运行环境，宣传口径与工程实际的裂隙进一步拉大。官方公布的 3.9ms 中位数延迟（p95 为 9.3ms），是死死限定在搭载 Apple Metal 的 WebGPU 硬件加速环境下的。但在缺少硬件加速的通用浏览器环境里，模型降级至 WebAssembly（WASM）运行时，其中位数延迟会猛增至 12.6ms，p95 延迟更会放大到 35.5ms；若放在服务端 Node ONNX 运行，中位数也需 6.6ms。尽管几十毫秒对于人类打字感知不甚明显，但这直接击碎了极速无感的宣传神话。
更大的隐患存在于安全防御本身。白皮书数据显示，非拉丁语系名字的识别率出现了断崖式下滑，直接跌破 50%。在面对恶意构造的对抗注入时，整体召回率会跌至 86.4%。攻击者只要利用简单的空白切分、字符替换或者插入零宽字符，就能毫不费力地绕过规则与小模型的联合绞杀。
- 风险.由于尚未内置针对 API 密钥和 JWT 的专属拦截逻辑，开发者直接使用 Rampart 防范代码凭证泄露将形同虚设。
目前项目仓库甚至没有建立用于捕获常见开发密钥的预设标签。针对这一缺失，社区开发者于 2026 年 7 月 3 日提交了 GitHub Issue #7 请求补充支持，至今仍未关闭。这意味着在程序员最容易不慎粘贴外泄的 API Key 和 Token 场景中，Rampart 几乎处于不设防状态。
对前端架构师而言，是否引入 Rampart 成为一道现实的算术题。为了一个仅支持西欧语言、无法拦截密钥、上下文仅 512 tokens 的弱防护层，是否值得给网页加载增加 15MB 资源体积与不可忽视的冷启动时间，需要仔细权衡。
NDS 开源 Rampart 的价值在于证明了浏览器端脱敏的技术可行性。它为普通用户的轻量日常对话拉起了一道初级围栏，向大厂掌控的云端安全体系提出了质疑。但在复杂的跨语种交互与高价值防泄漏场景下，极小模型筑起的端侧藩篱，距离成为合格的防火墙依然有很长的路要走。