客服机器人知识库隐患：工单回复直接复用会泄露客户隐私

支持机器人的知识库常通过让客服保存优质回复来积累。工单解决后，客服点击保存，答案便进入机器人检索池。这看似高效，却隐藏着严重问题。

GoodBarber 工程负责人 Pierre-Laurent Medori 分享了一次全面审计：由于过滤错误，65条已保存答案在数月内未被机器人使用，修复后即将重新生效。他逐条阅读这些答案，发现了普遍存在的隐私与准确性问题。

工单回复的“毒性”

问题根源：保存时表单预填了工单本身——客户最后的消息和客服的回复。除非客服重写，否则保存的就是针对特定客户的回复。这样的回复包含：

• 身份信息：客户姓名、邮箱、应用名称、域名、问候语和签名。
• 账户链接：指向特定客户后台的链接，机器人可能发给其他客户。
• 一次性动作：“问题已解决”“我测试过了”等，机器人无法执行这些动作。
• 代表客户声明：如以客户名义写好的宣誓书。
• 时间信息：如“上周日”，已过期的截止日期。
• 预设前提：假设客户拥有特定设置，无任何条件。

此外，标题复制、答案只覆盖部分问题、同一问题答案矛盾、帮助链接失效等问题也普遍存在。

预填表单（pre-filled form）：客服点击“保存到知识库”时，系统自动把当前工单的客户最后一条消息和客服回复填入编辑框。这种设计本意是减少重复输入，却让客服倾向于直接提交，而非改写成通用答案。预填内容天然携带工单上下文，包括客户身份、具体账户和一次性对话。要打破这一惯性，要么改为空白通用模板，要么在保存前强制客服回答“这条答案发给其他客户还成立吗”。

改写为通用答案

作者逐条处理了最危险的答案。例如，宣誓书被改写为商店期望的证明清单；“问题已解决”只保留通用建议“重新保存并检查预览”；针对特定网站的诊断保留了技术解释但去除了网站信息。一天内，约30条被改写，1条删除。

宣誓书（affidavit）：在部分电商或服务场景中，客户需要提交一份书面声明，证明某项事实（如未收到货、授权变更等）。客服有时会代客户起草宣誓书并保存到知识库，但这类文本往往以客户第一人称写成，包含客户姓名、订单号和具体日期。机器人若原样复用，会向其他客户发送一份以陌生人名义撰写的法律文件，既无意义又可能引发合规风险。因此作者将其改写为“商店期望的证明清单”，即只保留需要哪些材料、如何提交等通用指引。

预防规则

为确保未来保存的答案干净，团队制定了10条规则，核心包括：

1. 保存的答案必须通用：设身处地问，如果机器人复制给其他客户，还正确吗？
2. 不包含客户数据：姓名、邮箱、应用名称、域名、ID、问候语、签名。
3. 不包含账户链接，改用菜单路径描述。
4. 不描述执行过的动作。
5. 不包含日期。
6. 答案依赖具体情况时，写明两种分支。
7. 问题要清晰完整，答案覆盖所有要点。
8. 一个主题一个保存答案，重复的只保留一个。

干净答案让宽松阈值成本更低

清理后，机器人使用保存答案的情况：42%的回复引用了至少一条保存答案，来自20多条不同答案。匹配常常宽松：距离小于0.40时，12次中9次相关；在0.40到0.50之间（约80%注入发生在此区间），多数不相关，甚至有些答案附在“Hi”这样的消息上。但模型大多忽略不相关的注入——10个关于推送通知的普通问题收到不同功能的保存答案，没有一个回复提及它。

作者指出，如果答案未清理，同样的阈值可能会向询问类似商店拒绝问题的客户提供宣誓书，向询问域名的客户发送陌生人的后台链接。风险不在阈值，而在于进入集合的内容。

向量距离与检索阈值：机器人检索保存答案时，通常将问题与答案分别编码为高维向量，再计算两者之间的距离（如余弦距离或欧氏距离）。距离越小表示语义越接近。文中提到的 0.40、0.50 即为此类距离阈值：低于阈值才会被当作候选答案注入上下文。阈值越宽松（数值越大），召回越多，但混入不相关内容的概率也越高。阈值收紧则可能漏掉本可复用的答案。因此，阈值选择本质上是召回率与准确率的权衡。

注入（injection）：指检索系统把匹配到的保存答案作为上下文拼接到用户问题之前，再交给大模型生成回复。模型可能采纳、部分采纳或完全忽略注入内容。即使注入不相关，模型有时也能依靠自身判断忽略它，但这并不可靠——一旦注入内容包含敏感信息或错误前提，模型仍可能将其复述给客户。

工具改进建议

• 不要用原始工单预填保存答案，改用通用模板，或在保存按钮旁显示测试问题。
• 保存前检查：自动标记姓名、邮箱、域名、账户链接、日期、“我测试了”“已解决”等。
• 在扩大检索前审查集合：错误修复、宽松阈值、新嵌入模型，都会将未以该角色阅读过的答案推给客户。

如果你也将工单转化为机器人知识，你的保存按钮对工单做了什么？