llm-stream-guardrails

llm-stream-guardrails 是一个零依赖的脱敏库，用于在 LLM 输出流到达屏幕或日志之前剥离秘密信息和 PII。

llm-stream-guardrails 在 0.7.9 版本之前的实现中，通过 `BEGIN PRIVATE KEY` 标记持有 PEM 私钥，但判断结束的方式是看是否出现任意带标签的 `END` 行，而非要求标签精确匹配。

由于结束标记匹配逻辑缺陷，当 PEM 私钥的结束标记被错误写成 `END CERTIFICATE` 时，库仅掩码头部，base64 编码的私钥体直接以明文流过去，且泄露的体可重建出可用的私钥。

四个漏洞在 llm-stream-guardrails 0.7.9 版本中全部修复，每个都配有在旧版本上会失败的回归测试。

修复后，流式输出与整串输出一致的不变式在约 32 万个模糊测试分块中成立。

测试套件只断言了格式正确的密钥块会被掩码，但没有测试断言在畸形块上不发生泄漏，因此测试全部通过时漏洞依然存在。

在流式处理中，一个紧跟在 JSON 引号后的有效 IBAN 在整串过滤时被掩码，但在流式处理时分片释放了内容，导致流式输出与整串输出不一致。

llm-stream-guardrails 之前用于跳过文档占位符的启发式规则是：只要值中包含连续四个相同字符就会触发，导致一个碰巧包含四个连续字符的真实凭证被放行。

llm-stream-guardrails 之前基于 ASCII 的检测器会被值中的全角数字或不可见分隔符绕过，导致包含这些字符的真实敏感值未被掩码。