数据、隐私与安全：Chad 与 Arnav 谈 Palantir AIP 的安全原语

摘要

Palantir 架构师 Chad Walquist 与隐私与公民自由（PCL）团队的软件工程师 Arnav 对话，深入剖析 Palantir 平台上安全与隐私的原语。Arnav 介绍 PCL 团队的工作形态：先进的数据保护工作流（目的论证、敏感数据发现、数据混淆）、生成式 AI 时代的负责任 AI（测试评估、公平与偏见、幻觉），甚至延伸到国防领域（国际人道法、武装冲突法）——把法律与伦理学科和工程实践桥接起来。

演示从最终用户视角"倒走"到数据源头：以虚构企业 Onyx 的内部通讯录应用为例，展示数据谱系（data lineage）如何默认产生——只要你在平台内工作，每次上游数据到下游转换的出处都会被维护，无需思考。当员工对象类型由更敏感的数据（地址、工资）支撑时，三种安全原语协同工作：标记（markings）——二进制的访问控制，下游数据默认继承上游标记，除非获得授权的用户专门降密；受限视图（restricted views）——实现行级访问控制，比如只有美国 HR 人员能看到美国员工的工资行；Cipher——用开源加密算法做数据混淆，需要时以限速、可审计、目的受限的方式解密单个值。

最后，这些原语延伸到 AI 智能体：智能体与人类遵守同样的标记、受限视图与访问控制，加上为生成式 AI 量身定制的工具作用域（tool scopes）与 Logic。Arnav 的结论是：早期在数据保护与治理上的投资，正是 Palantir 软件能在生成式 AI 时代加速的原因——"你可以两者兼得：既有效运营，又不牺牲安全与隐私。"

正文

一、隐私与公民自由团队在做什么

Arnav 是隐私与公民自由（Privacy & Civil Liberties，PCL）团队的软件工程师，嵌入到所有不同平台的产品构建中。构建"隐私与民事自由"的产品意味着什么？它有很多形态：先进数据保护工作流所需的工具——如何支持目的论证（purpose justification）、敏感数据发现或数据混淆（data obfuscation）；在生成式 AI 领域，大量思考"负责任 AI"——安全有效地做 AI 意味着什么，从测试评估到公平与偏见、到幻觉问题，这些当下热门的 AI 安全与治理关切；工作甚至延伸到国防领域——大量思考国际人道法与武装冲突法。Arnav 说，这本质上是把法律与伦理学科与工程实践桥接起来。

Chad 提出他的思考框架：把安全理解为"从我作为最终用户倒走"——理解出处（provenance）与谱系（lineage），判断"我能否信任眼前这份数据来做这个决策"。今天演示就从最终用户一路走回数据源头：它从哪里来、如何被保护、如何被治理、必要时如何重新分类、开发者能访问什么。

二、数据谱系：默认产生的溯源

演示围绕 Onyx 内部通讯录应用展开——最简单的应用，只有一个本体论（Ontology）对象类型"员工"，但后台大有文章。打开数据谱系（data lineage）：右侧是通讯录应用，输入是一个对象类型——员工；背后有多个数据集；打开 flows 开关可以看到完整链路：最左侧原始数据，经过转换、清洗成为粉色清洗数据集，最终集成进本体论。值得强调的第一点是：数据谱系是默认产生的——在平台内工作，每次用上游数据创建下游数据，出处都被维护，你不需要思考它。这个管道很简单（两个原始数据集、中间转换、进入本体论），但你可以想象它扩展到支撑完整本体论的成千上万甚至几十万个数据集与转换。

Chad 说这很重要：看数据时你要知道"它怎么到这里、经历了什么"——出处与谱系是信任的前提。Arnav 接着演示多源聚合：组织可能有多个数据源（HR 的员工数据、财务、工资等更敏感的数据），平台可以聚合它们而不牺牲安全或隐私——"两者可以兼得"。他当前只被授权访问一个上游数据集；员工对象类型其实由多个更敏感的数据支撑，而 AIP 只显示他有权看到的——他甚至"发现不了"其他数据的存在。Chad 补充：这不仅对消费应用的最终用户，也对构建数据产品的开发者——设计时与运行时都有安全访问控制。

三、三层控制：标记、受限视图与 Cipher

第一层是标记（markings）：平台最基本的访问控制形式之一，一种二进制的访问控制——要么你能访问被标记的数据，要么不能，取决于你是否在标记里。刚才把 Chad 加进 Onyx US HR 组，就给了他两个 HR 标记的访问权。与静态访问控制组不同，标记利用随时间构建的数据出处与谱系实现"默认安全"：如果上游数据有标记，任何下游派生数据默认继承该标记，除非获得授权的用户专门降密（比如数据已聚合、敏感列已删除）。Arnav 强调："我保护的是数据，不只是对象"——而且有关于谁重新分类的治理审计轨迹。还有多种细粒度治理方式：追溯审计日志、checkpoints 工具、拉取请求做安全审查、四眼原则（开发者需要拉入有降密权的人）。

第二层是受限视图（restricted views），实现行级访问控制（row-level access control）：比如 Onyx 的组织政策规定只有美国 HR 人员能看到美国员工的工资信息，而 Onyx 是跨国公司、国际 HR 看国际员工——通过带组条件的受限视图，数据集的每一行只有组内成员可见，且动态响应组成员变化，还能做基于时间或临时的行级访问。Chad 说这到了"细胞级"：可以保护属性、对象、行——数据集的具体元素。

第三层是 Cipher：数据混淆或数据最小化的工具。访问控制无法完全最小化数据——你可能在某个合法工作流里需要那个特定单元格，只是不需要批量或一开始就拿到。Cipher 用加密算法混淆数据，之后按需解密。示例中地址以密文形式存在，基于开源加密算法；当某个工作流确实需要该值时，以限速、可审计、目的受限的方式取回单个值。三者合一的演示：James Wilson（国际销售负责人）——地址是密文（点击后通过 checkpoints 工作流做目的论证，确认后日志实时可审，地址才显示）；工资可见（他是美国员工，Chad 在美国 HR 组）；而他的下属、驻新加坡的亚太销售负责人 Melissa——地址同样是密文，工资则被限制："这不是前端把'受限'二字显示出来，我是真的未被授权读取这个特定对象的这个特定属性。" Chad 感叹：这是跨越一切的强大可审计性与治理——而且它嵌入本体论，意味着你在其上构建的一切都继承同样的控制。

四、智能体时代的访问控制

最后一个问题：AI 与智能体工作流也嵌入本体论，那么智能体是否必须遵守与人类相同的原则？Arnav 确认：任何智能体工作流、任何生成式 AI 工作流都要面对同样的访问控制基础设施——标记、受限视图、Cipher 等控制仍然存在，限制智能体能访问什么、能执行哪些操作；此外还有一整套其他特性——工具作用域（tool scopes）与 Logic——作为专门针对生成式 AI 在组织中使用方式的访问控制原语。Chad 点出关键："我们把访问控制做出来了，但那是给人用的——实际上同样的东西适用于生成式 AI 智能体。"

Arnav 收束：这是 Palantir 长期坚持的立场——在数据保护、隐私与访问控制上的早期投资，正是软件能在当前生成式 AI 时代加速的原因：组织需要做的所有生成式 AI 工作流，都坐落在数据保护与数据治理的基础上。把数据保护与治理当作一等公民而非事后添加，你就能更好地应对负责任 AI 的所有挑战——从偏见到评估，到过去 20 年一直在面对的安全挑战。Chad 补充：这也正是有效性的来源——"这些东西意味着我可以在真实人类环境中部署真实工作流，有真正的生产级支撑与评估软件。不是'我如何最小化'，而是'我如何最小化并同时在生产中有效使用'——你需要工具才能两者兼得。" 这就是这场对话想传达的：你可以两者兼得，但要拥有做这件事的工具。