AI 能再识别匿名访谈数据吗？2026 年研究
Qualitati 研究团队 · 2026-08-13 · 7 分钟阅读
再识别（re-identification）指的是一份"已去标识化"的访谈记录仍能被追溯回受访者本人的风险。Tianshi Li 在 2026 年的一项研究显示，一个具备网页搜索能力的 AI agent 成功再识别了 24 份匿名研究访谈中的 6 份，每份成本不到 0.50 美元、耗时约四分钟。对定性数据而言，单纯的删改已经不再构成隐私保护。
这项研究测试了什么？
研究测试的是：一个普通的 LLM agent 能否揭开公开发布的定性数据集中受访者的身份。2025 年 12 月，Anthropic 发布了 Anthropic Interviewer 数据集——据 Li（2026）介绍，其中包含 1,250 份关于专业人士如何在工作中使用 AI 的访谈，其中 125 份来自科研人员。姓名和部分细节被做了删改处理，而该数据集在发布时将匿名化表述为一种额外的礼节，而非隐私保障。
Li 的攻击既不需要专门工具，也不需要越狱提示。它使用的是广泛可得的、带网页搜索的推理模型，配合普通自然语言指令：
- 筛选。在 125 份科研人员访谈记录中筛出提及至少一项已发表成果的样本，共有 24 份符合条件。
- 检索与排序。对每一份记录，让推理 agent 检索与所描述项目相匹配的候选论文，并返回一个排序后的匹配列表。
- 置信度评分。让模型在"极低"到"极高"的五级量表上为每个匹配打分，并给出书面理由。
- 人工核验。将高置信度的命中结果与访谈记录中的方法、贡献、时间线和团队构成逐一比对。
有多少受访者被再识别？
24 份中的 6 份。据 Li（2026），agent 将 7 份记录标记为"极高"置信度，人工核验确认其中 6 份确实对应到某篇具体论文或学位论文——在提及已发表成果的记录中成功率为 25%。这些匹配同时在多个独立细节上吻合：方法论、实验流程、核心贡献、研究结果、时间线以及团队构成。当所描述的成果是学位论文时，匹配结果可唯一确定受访者身份。
真正值得研究者深思的是成本结构。论文报告每份记录的攻击成本不到 0.50 美元，运行时间约四分钟。一个过去需要老练对手花费数周人工文献比对的数据集，如今可以用一杯咖啡的价格被端到端扫一遍。
为什么删改处理会失效？
删改会失效，是因为定性材料的丰富性本身就是身份标识。去掉姓名并不能消除"领域专有术语 + 小众问题设定 + 独特研究贡献"这一组合——当搜索引擎能把它们与公开记录关联起来时，这些信号就成了准标识符（quasi-identifier）。
其中的机制颇为讽刺：访谈做得越好，风险越大。Li 指出，追问式的后续提问引出了更多信息，这些信息汇总起来使某个项目变得高度可识别。让一份访谈记录值得分析的深度，恰恰也是让它可被追溯的深度。这是定性数据共享中的结构性张力，而不是某一个数据集的疏漏。
| 风险因素 | 传统问卷数据 | 定性访谈记录 |
|---|
| 直接标识符 | 较少，易于剔除 | 较少，易于剔除 |
| 准标识符 | 有界的人口统计字段 | 开放式，实质上无边界 |
| 与公开记录的关联 | 需要外部数据集 | 只需一次网页搜索 |
| 数据更丰富的后果 | 分析力更强 | 分析力更强同时暴露风险更高 |
| 2026 年的攻击成本 | 中等 | 每份记录不到 0.50 美元（Li, 2026） |
实际的伤害是什么？
这些伤害更多是社会性与职业性的，而非经济性的。Li 列举了多种：与受访者预期相悖的身份暴露、因 AI 使用污名而产生的情绪困扰、研究实践被披露带来的声誉风险、对合作者的批评性评论被归因后损害的人际关系，以及可能违反雇主或资助方 AI 政策的做法被曝光。
关键在于，论文指出这种风险会随时间增长。今天无法识别的一份访谈记录，会在受访者发表其所描述的项目那一刻变得可识别。在某一时点给出的知情同意，正在被一个不断扩张的搜索索引持续检验。
Li 建议下架该数据集或暂时隐藏，并对受访者进行事后说明以重新获取同意。Anthropic 未采取进一步行动，仅更新了文档，澄清受访者已同意公开发布原始访谈记录。对这一处理方式可以有不同看法；但无可争议的是，"我们已删除姓名"已不再是对所提供保护程度的可信描述。
研究者应当改变什么？
假定你发布的任何丰富访谈记录都是可再识别的，并围绕这一假设而非围绕删改来做设计。具体而言：
- 不要承诺你无法兑现的不可归因性。如果原始记录将被公开，知情同意书应说明内容可能被追溯，而不是声称回答"不会被个人归因到你"。
- 发布前先做一次对抗性检查。用一个带搜索能力的模型扫一遍你自己的访谈记录，看看它能挖出什么。成本只有几分钱、耗时几分钟，这在今天已是最低限度的审慎义务。
- 把项目描述当作标识符对待。对方法论、研究场景和研究贡献做泛化处理，而不只是处理姓名和机构。
- 优先共享分析结果而非原始文本。编码结果、主题结构和简短的示例引语，其关联风险远低于完整访谈记录。如果你的主题分析流程能产出可审计的编码轨迹，那条轨迹往往才是适合共享的成果——原始记录未必需要公开。
- 当风险状况改变时重新征求同意。论文发表对受访者而言是一个风险事件，而不只是一个里程碑。
这些都不是在反对定性数据共享，而是在指出：威胁模型的变化速度已经超过了规范演进的速度。大规模开展 AI 主持访谈的团队尤其应注意其叠加效应——访谈量更大、追问更深、公开记录更多，三者都在朝同一个方向推。
常见问题
这是否意味着我永远不该共享访谈记录？
不是。这意味着记录级别的共享需要明确的再识别风险评估和诚实的知情同意表述。对许多项目而言，共享编码手册、主题和简短引语即可实现可复现性目标，而风险要低得多。
更强的匿名化工具能阻止这次攻击吗？
难以可靠地阻止。这次攻击利用的并非残留的姓名，而是受访者所描述内容的实质。自动去标识化能移除直接标识符，但此处的识别信号正是研究项目本身。
模型的安全护栏为什么没能拦住这次攻击？
Li 报告称，把攻击拆解成一个个本身无害的任务——检索、比对、排序——即可绕过护栏；这利用了检索工具的双重用途属性，以及单次请求无法验证用户意图这一事实。
24 份中的 6 份算高吗？
这是下限，不是上限。作者刻意未公开详细提示词和操作细节，以免攻击易被复现，并且只统计了经人工核验的匹配。一个不那么审慎的对手，投入更多精力、面对更晚近的搜索索引，很可能做得更好。
结论
定性数据的匿名化，已悄然从一个技术步骤变成一项风险判断。据 Li（2026），一个通用的 AI agent 以每份不到 0.50 美元的成本，再识别了某个大型公开访谈数据集中四分之一的符合条件记录。正确的应对不是停止共享定性数据，而是不再把删改处理说成保护、对自己的发布做对抗性测试，并撰写与你实际能保证的程度相匹配的知情同意表述。
原始文献：Tianshi Li (2026), Agentic LLMs as Powerful Deanonymizers: Re-identification of Participants in the Anthropic Interviewer Dataset, arXiv:2601.05918.
最后更新：2026 年 8 月 13 日
本文是对第三方研究的独立编辑性摘要，与所引用的作者或机构无隶属关系，也未经其背书或审阅。