MemPrivacy – 记忆张量联合荣耀 AI 开源的隐私保护框架

1. MemPrivacy是什么

MemPrivacy是由记忆张量（MemTensor）团队联合荣耀AI团队及同济大学共同开发的开源端云协同Agent隐私保护框架。针对云端Agent长期记忆场景中用户敏感信息泄露的痛点，该框架提出了一种“本地可逆伪匿名化”方案：端侧设备实时识别用户输入中的隐私片段，将其替换为带语义类型的占位符（如<Email_1>、<Health_Info_1>），真实值与占位符的映射持久化存储于本地SQLite数据库；云端仅基于占位符完成推理、记忆写入与检索，回传后由本地还原为真实内容。该方案在保留云端Agent语义理解能力的同时，实现了架构级的隐私隔离。

技术定位与领域： 属于人工智能与隐私计算交叉领域，具体聚焦于端云协同场景下的Agent长期记忆隐私保护。其独特定位在于将“可逆匿名化”机制引入Agent记忆系统，在隐私保护与系统效用之间取得平衡，区别于传统的不可逆掩码或完全不上传方案。

研发背景： 由记忆张量团队（专注于AI记忆系统研究）、荣耀AI团队（端侧部署经验）及同济大学（学术研究支持）三方联合开发。研发动机源于当前云端Agent在长期记忆场景中广泛存在的隐私风险——用户健康数据、身份信息、财务凭证等敏感内容在云端存储和处理时面临泄露威胁，而现有方案（如直接屏蔽或粗粒度掩码）严重损害Agent的个性化能力。

核心价值： 解决了Agent隐私保护领域的核心矛盾——如何在保护用户隐私的同时，不牺牲云端Agent的语义理解和个性化记忆能力。创新价值在于：通过类型化占位符保留语义角色信息，使云端Agent仍能基于类型标签理解上下文；通过本地可逆映射机制，实现“云端不见明文，本地可控还原”的架构级隔离；通过四级隐私分类体系，支持用户按需配置保护策略。

技术特点： 基于Qwen3系列底座训练专用隐私提取模型，提供0.6B、1.7B、4B三种参数量版本，均经过SFT与GRPO强化学习两阶段训练，在隐私提取准确率上碾压GPT-5.2等通用大模型；自研MemPrivacy-Bench评测基准，覆盖200个合成用户、中英双语多轮对话、超15.5万个隐私项，支持端到端评估。

2. 主要功能

• 本地可逆伪匿名化： 端侧设备实时识别用户输入中的隐私片段，将其替换为带语义类型的占位符（如<Email_1>、<Health_Info_1>），真实值与占位符的映射持久化存储于本地SQLite数据库。云端仅处理占位符文本，回传后本地再还原为真实内容，实现架构级隐私隔离。

• 四级隐私分类体系（PL1–PL4）： 以可识别性、潜在危害性与可利用性三个维度为准绳，将隐私分为基础画像级（PL1）、身份锚定级（PL2）、高危敏感级（PL3）、致命核心级（PL4）四个等级。用户可自由配置脱敏阈值与保护策略，例如仅对PL2及以上级别进行脱敏，在隐私保护与系统效用之间灵活权衡。

• 三种掩码模式： type_specific模式使用类型化占位符（如<Email_1>），保留语义角色信息，效用最优；generic模式使用通用占位符（如<Mask_1>），隐私保护更强但语义较弱；complete模式直接删除敏感片段，隐私保护最强但系统效用最低。用户可根据场景需求动态切换。

• 端-云-端三段式流程： 上行脱敏（本地）→ 云端处理（推理/记忆写入/工具调用）→ 下行恢复（本地），实现架构级隔离。云端组件永不接触原始敏感值，即使云端被攻破，攻击者也只能看到无意义的占位符，无法还原用户真实信息。

• 多规格端侧模型： 开源0.6B、1.7B、4B三个参数版本（基于Qwen3系列底座），均提供SFT与RL训练版本。0.6B版本适合轻量IoT设备，4B版本适用于高性能端侧设备，适配从智能手表到旗舰手机的不同部署需求。

• 自研评测基准MemPrivacy-Bench： 覆盖200个合成用户、中英双语多轮对话、超15.5万个隐私项，支持隐私提取准确率与记忆系统效用损失的端到端评估。内置Mem0、LangMem、Memobase三大主流记忆系统的评估脚本，可直接测试不同保护策略下的隐私-效用权衡。

• 低延迟本地处理： 单条消息的隐私检测与脱敏延迟低于1秒，适合无缝端侧部署。经过优化的推理管线确保在移动设备上也能实时处理，不影响用户与Agent的交互体验。

• 持久化映射管理： 本地SQLite数据库跨会话保存占位符↔真实值映射，支持长期Agent记忆场景下的持续隐私保护。映射数据仅驻留本地，不上传云端，且支持加密存储，进一步保障数据安全。

3. 如何使用

1. 环境要求与前置条件： 需要Python 3.9+环境，建议使用Linux或macOS系统。硬件方面，推荐配备至少8GB显存的GPU（如NVIDIA T4或更高）以运行4B模型，0.6B模型可在CPU上运行。需提前安装Git和pip包管理器。

2. 克隆仓库并安装依赖： 执行git clone https://github.com/MemTensor/MemPrivacy.git克隆项目代码。创建Python虚拟环境（python -m venv memprivacy_env），激活后执行pip install -r requirements.txt安装所有依赖包，包括PyTorch、Transformers、SQLite驱动等。

3. 配置隐私框架参数： 编辑src/privacy_config.yaml文件，设置LLM API凭证（如OpenAI API Key）、本地SQLite数据库路径（如./data/mapping.db）及掩码级别（如设置mask_level: PL3表示对PL3及以上级别进行脱敏）。可选择掩码模式（type_specific/generic/complete）。

4. 配置评估套件参数（可选）： 如需运行基准测试，编辑evaluation/eval_config.yaml文件，配置OpenAI API凭证、记忆系统数据库连接（Mem0/Memobase）及各角色LLM的模型名称。注意确保各记忆系统已正确安装并运行。

5. 运行核心脱敏流程： 调用src/privacy_masking.py中的mask_dialogue()函数进行上行脱敏。示例代码：masked_text, mapping = mask_dialogue(user_input, mode='type_specific', mask_level='PL3')，返回脱敏后的文本和映射字典。

6. 云端交互： 将脱敏后的文本发送至云端LLM或记忆系统，云端基于占位符完成推理与记忆操作。云端无需任何额外配置，仅需处理普通文本格式的占位符。

7. 下行恢复： 调用unmask_dialogue()函数，使用本地SQLite映射表将云端响应中的占位符还原为真实值。示例代码：original_response = unmask_dialogue(cloud_response, db_path='./data/mapping.db')，返回还原后的真实文本。

8. 运行记忆系统评估（可选）： 执行python evaluation/eval_mem0.py、python evaluation/eval_langmem.py或python evaluation/eval_memobase.py进行端到端基准测试。测试结果将输出隐私提取准确率（F1分数）和系统效用损失（记忆检索准确率下降百分比）。

4. 优缺点分析

5. 同类工具对比

选型建议： 对于需要长期记忆能力的云端Agent场景（如个人助理、医疗咨询Agent），MemPrivacy是最优选择。其可逆伪匿名化机制在保护隐私的同时最大程度保留了Agent的语义理解能力，且系统效用损失极低（0.71%-1.60%），远优于传统掩码方案。特别是对于金融、医疗等对隐私合规要求严格的行业，MemPrivacy的四级分类体系和本地映射机制提供了灵活的合规方案。

对于仅需基础PII检测的场景（如数据脱敏管道），微软Presidio凭借其丰富的预定义PII类型和成熟的规则引擎是更轻量的选择。但需要注意，Presidio的不可逆掩码会导致16%-42%的系统效用损失，不适合需要保留语义的Agent场景。OpenAI privacy-filter虽然在通用场景下表现尚可，但在隐私提取准确率（35.50%）和系统效用保护方面均显著落后于MemPrivacy，仅适合对隐私保护要求不高的简单过滤任务。

6. 编辑点评

从技术创新性来看，MemPrivacy在Agent隐私保护领域做出了实质性突破。其“本地可逆伪匿名化”架构巧妙解决了隐私保护与系统效用之间的核心矛盾——传统不可逆掩码方案虽然简单直接，但会严重损害Agent的语义理解能力，导致“Agent失忆”或任务逻辑断裂。MemPrivacy通过类型化占位符保留语义角色信息，使云端Agent仍能基于类型标签理解上下文，同时通过本地映射实现安全还原，这一设计思路在隐私计算领域具有重要的理论价值。

实用价值方面，MemPrivacy的评测数据极具说服力。在MemPrivacy-Bench基准上，4B-RL版本的F1分数达85.97%，碾压OpenAI privacy-filter的35.50%，系统效用损失仅0.71%-1.60%，而传统方案会导致16%-42%的暴跌。这意味着在实际部署中，用户可以在几乎不影响Agent性能的前提下实现高强度的隐私保护。多规格模型（0.6B/1.7B/4B）的提供也使得从IoT设备到旗舰手机都能找到合适的部署方案。

适用人群方面，MemPrivacy特别适合以下群体：开发端侧智能助手的团队（需要本地隐私过滤）、企业级Agent合规部署团队（满足GDPR等数据保护法规）、隐私计算研究人员（利用MemPrivacy-Bench进行基准测试）、以及需要长期记忆型个人助理的开发者。需要注意的是，该框架目前对中文场景的优化深度有限，中文用户可能需要自行评估或进行微调适配。

未来发展潜力巨大。随着端侧AI Agent的普及和隐私法规的日益严格，像MemPrivacy这样兼顾隐私保护与系统效用的方案将成为刚需。未来可期待的方向包括：更小参数量的端侧模型（如0.3B版本）以适配智能手表等超轻量设备；多语言支持扩展；以及与更多Agent框架（如LangChain、AutoGPT）的原生集成。

7. 应用场景

• 端侧智能助手隐私增强： 为手机端AI助手提供本地隐私过滤层，确保用户健康数据（如心率记录）、财务信息（如银行卡号）不上云明文。用户可设置仅对PL3及以上级别脱敏，在保护核心隐私的同时保留个性化推荐能力。

• 企业级Agent合规部署： 在涉及客户PII的客服Agent、医疗咨询Agent中，通过MemPrivacy的四级分类体系满足GDPR、HIPAA等数据保护法规要求。企业可配置PL2及以上级别脱敏，确保姓名、身份证号等身份锚定信息不上云，同时允许基础画像信息（如兴趣爱好）正常处理。

• 长期记忆型个人助理： 保护用户日程、偏好、家庭住址等长期记忆数据，同时保留个性化能力。例如，助理可以记住用户“每周二下午3点接孩子放学”的日程，但“孩子姓名”和“学校地址”会被脱敏为占位符，云端仅知道“有一个每周二的固定日程”而不知具体内容。

• 跨境云服务隐私隔离： 中国大陆用户数据经本地脱敏后上云处理，满足数据出境合规要求。例如，跨境电商平台将用户收货地址中的具体门牌号脱敏，云端仅处理城市和街道信息，回传后本地还原完整地址，避免敏感数据跨境传输风险。

• 隐私保护研究基准测试： 研究人员使用MemPrivacy-Bench评估不同记忆系统（Mem0、LangMem、Memobase）的隐私-效用权衡。内置的评估脚本支持一键运行，可生成标准化的隐私提取准确率和系统效用损失报告，加速隐私保护领域的研究进展。

8. 常见问题FAQ

Q：MemPrivacy与传统PII检测工具（如Presidio）的核心区别是什么？
A：核心区别在于“可逆性”和“语义保留”。传统工具采用不可逆掩码（如将邮箱替换为[EMAIL]），云端无法还原，导致Agent失去上下文理解能力。MemPrivacy采用类型化占位符（如<Email_1>），保留语义角色信息，且本地SQLite映射支持安全还原，系统效用损失仅0.71%-1.60%，远低于传统方案的16%-42%。

Q：部署MemPrivacy需要什么硬件配置？
A：0.6B版本可在CPU上运行，推荐4GB以上内存；1.7B版本建议使用4GB显存GPU；4B版本推荐8GB显存GPU（如NVIDIA T4）。单条消息处理延迟低于1秒，适合端侧实时部署。如需运行评估套件，建议使用16GB显存GPU。

Q：MemPrivacy支持哪些语言？
A：目前支持中文和英文，训练数据以英文为主，中文占比较低（约30%）。中文场景下的隐私识别准确率略低于英文，建议中文用户先在小规模测试集上评估效果，必要时使用中文语料进行微调。

Q：本地SQLite映射数据库如何保证安全？
A：支持加密存储（使用SQLite加密扩展），映射数据仅驻留本地，不上传云端。建议用户启用设备级加密（如iOS的Data Protection或Android的File-Based Encryption），并定期清理过期映射记录。恶意软件若访问本地数据库仍可能泄露映射关系，需配合端侧安全防护措施。

Q：MemPrivacy能否与现有Agent框架集成？
A：可以。MemPrivacy提供Python API，支持作为中间件插入现有Agent流程。典型集成方式：在用户输入进入Agent前调用mask_dialogue()脱敏，在Agent响应输出前调用unmask_dialogue()还原。已提供Mem0、LangMem、Memobase的评估脚本作为参考实现。

Q：不同掩码模式（type_specific/generic/complete）如何选择？
A：推荐场景：需要最大化Agent性能时使用type_specific（语义保留最佳）；对隐私要求较高但需保留基础语义时使用generic；对隐私保护要求极严且可接受Agent性能下降时使用complete。用户可按隐私等级动态切换，例如对PL2使用type_specific，对PL4使用complete。

9. 项目地址

• GitHub仓库： https://github.com/MemTensor/MemPrivacy
• HuggingFace模型库： https://huggingface.co/collections/IAAR-Shanghai/memprivacy
• arXiv技术论文： https://arxiv.org/pdf/2605.09530