脱敏该做到什么程度？我的答案是：先问数据往哪去，再谈强度。进日志、进评测集、进训练，三档要求完全不一样。最常见的错误是一刀切上最严方案，结果日志失掉排查价值，线上事故来了只能干瞪眼。反面风险同样真实：可逆脱敏的映射表本身就是高价值资产，管不住它，脱敏等于白做。问题不在选哪个方案，在于清不清楚数据正在走哪条管道。
三档要求，别拿一个开关搞定
我见过太多团队把脱敏当成一个全局开关：公司说"数据要脱敏"，于是所有出口统一套最严规则，姓名全打星，手机号全抹掉，连日志里的 userId 都换成随机串。结果产线故障，凌晨两点爬起来，想追一个用户的请求轨迹，ID 全对不上——排查价值归零。
脱敏强度应该跟着数据流分三档。
日志：可逆。 不需要知道这个人是谁，但要能判断"是不是同一个人"。稳定的伪 ID、确定性哈希都行，但必须能还原本尊，不然排查链条断掉。
评测集：不可逆。 评测数据一旦泄露，等于考题泄了。这里不能用映射表——有人拿到表，整套评测作废。
训练数据：最难。 要求真实到模型学得到规律，又脱敏到指不回个人。这档不是"做了什么"说了算，做完得测重识别。
日志的可逆脱敏，映射表要单独锁
日志最常见的困境：个人字段直接打码，断了关联分析；全保留又违规。折中是伪 ID——同一个用户进日志始终同一串，但映射表单独存。
这个映射表要按密钥的标准管。不能跟日志放一个库，放 KMS 或者独立 vault，访问全审计，权限最小化。这周有个热帖正好扎心：人类审批 AI agent 命令时漏掉了三分之一的威胁，四万次运行里，人类审批者看漏了 1/3 恶意命令。把映射表的访问控制寄托在"审批流程"上，本身就是最大风险。审批是仪式，不是安全机制。真得靠技术锁死：短生命周期密钥、操作审计、分离存储。
评测集要不可逆，但别把数据做假
评测集脱敏做到不可逆是底线，名字换成随机名、ID 重新生成，这条路对。但下一个坑立刻出现：过度净化让评测集失真。
这篇合成临床 benchmark 的论文点出一个现象：合成的医疗评测数据能通过下游效用检查，结构上依然不真实，因为真实运营数据拿不到手，只能靠生成。做 agent 评测的人得记着：脱敏后的评测集如果丢掉真实分布的脏、乱、长尾特征，跑分再高也是自欺。正确姿势不是重造，是"换肤"：分布、缺失模式、时间间隔原样保留，只把标识字段换掉。你要评的是模型能力，不是你的合成引擎。
训练数据：重识别测试，别靠自觉
训练数据是麻烦的一档。日志错了能看见，评测集坏了能重造，训练数据出了问题，模型学进去的错误会沉淀很久，还难溯源。所以这档必须补一道工序：脱敏后跑重识别攻击，看能不能从脱敏数据重新关联回原始个体。能匹配上就是强度不够，匹配不上才叫过关。
这个测试没有万能阈值，得自己设计。数据维度越多越危险——时间戳、地理位置、罕见组合，都是重识别的抓手。医疗数据尤其紧：那篇心衰 EHR 特征工程的论文提到，数据科学家 39% 到 45% 的工作量耗在特征工程上。脱敏策略若太粗暴，这个比例还得往上走。
有个土办法可以参考：脱敏完，拿自己的数据做一次攻击演练。如果你凭直觉能"猜到"某个样本是谁，那自动化重识别一定做得到——这比任何合规清单都管用。