从AI隐私到PIR：一种让服务器看不见你查询内容的技术
最近两年，AI大模型的发展速度远远超出了很多人的预期。无论是写代码、查资料、学习知识，还是咨询法律、医疗、心理问题，越来越多的人开始把AI当作自己的私人顾问。很多时候，我们甚至会向AI提出一些从未告诉过任何人的问题。例如：
•长期睡眠差、情绪低落，不敢告诉家人，我应该怎么办？
•如何判断自己是否患有抑郁症？
•公司裁员前有哪些征兆？
•看着同龄人结婚升职赚钱，我一事无成，活着的意义到底在哪？
这些问题看起来只是一次普通的提问，但背后却隐藏着大量敏感信息。因为当你向AI提问时，AI不仅知道答案，也知道你究竟在关心什么。相较AI输出的答复，提问内容本身承载着更关键的个人倾向与隐私线索。
基于这一隐私隐患，一个核心疑问应运而生：如果有一种技术，能够让我们获得想要的信息，却不让服务器知道我们查询了什么，会怎么样？事实上，密码学家们很早就在思考这个问题。而他们给出的答案，就是今天要介绍的主角——PIR（Private Information Retrieval，私有信息检索）。
先来看一个简单的例子。假设有一个AI知识库，里面存储着数百万条信息。现在你想查询“如何判断自己是否患有抑郁症”。在传统模式下，你需要将问题发送给服务器。服务器收到请求后，从数据库中找到对应内容，再把结果返回给你。整个过程十分自然。但如果仔细分析，会发现服务器实际上获得了两部分信息：
1.你提出了什么问题；
2.问题对应的答案是什么。
在多数应用场景里，查询请求本身蕴含的隐私风险，远高于检索得到的结果内容。例如，当一个人频繁查询某种疾病时，可能意味着他正在面临健康问题；当一个人咨询离职、裁员相关内容时，可能透露出他的职业状态；当一个人反复询问法律纠纷或心理健康问题时，又会暴露其现实处境。这些信息一旦被长期记录、分析和关联，就可能形成极其详细的用户画像。
这就引出一项核心诉求：如果我只是想获得信息，能不能不暴露自己真正关心的信息？面对这个问题，人们最先想到的往往是一些简单方案。比如，把整个数据库全部下载到本地。这样服务器自然不知道你最终查看的是哪一条数据。但如果数据库有几十GB、几百GB，甚至几个TB呢？显然这种方法并不现实。还有人会想到VPN、代理服务器或者匿名网络。这些技术确实能够隐藏“是谁在查询”，但无法隐藏“查询了什么”。因为服务器最终仍然会收到你的请求内容。换句话说，它可以不知道你是谁，却依然知道你想要什么。
上述传统方式均无法完美隐匿查询内容，PIR为此提出了更完备的实现思路。它希望做到：服务器知道有人在查询，却不知道查询的目标到底是什么。听起来似乎有些不可思议，但这正是PIR的核心目标。
PIR，全称Private Information Retrieval，中文通常翻译为“私有信息检索”。它是一种密码学技术，允许用户从数据库中获取指定数据，同时保证服务器无法得知用户实际查询的是哪一条数据。如果用一句话概括：拿到答案，却不暴露问题。第一次接触PIR的人，往往都会产生同样的疑问：既然服务器不知道我要什么，它又怎么把正确的数据给我？这一疑问，也正是PIR技术原理最巧妙、最值得拆解剖析的关键点。
在我们的传统认知里，想获得答案，就必须先暴露问题。但PIR试图打破这种看似理所当然的逻辑。它希望让“获取信息”和“暴露意图”成为两件彼此独立的事情。
为了方便理解，我们不讨论复杂的数学公式。假设有一个巨大的档案柜，里面有1000个抽屉，每个抽屉都存放着一份资料。现在你真正想看的，是第371个抽屉里的内容。传统方式非常简单，你直接告诉管理员：“请帮我打开第371个抽屉。”于是管理员立刻知道了你的目标。而PIR的思路则完全不同。它不会直接告诉管理员“371”这个数字，而是构造一个特殊的查询请求。管理员根据这个请求进行计算，然后返回一个结果。最终，你能够从结果中恢复出第371个抽屉里的资料，而管理员却无法判断你真正关心的是哪个抽屉。
从某种意义上说，PIR做到的事情有点像这样：你走进一座图书馆，向管理员提出一个特殊请求。管理员帮你完成了借阅流程，你成功拿到了目标书籍，但直到整个过程结束，管理员都不知道你借走的是哪一本书。这也是PIR最反直觉、也最迷人的地方。它挑战了我们对于“查询”这件事的传统认知。
图1 传统查询模式 vs. PIR（私有信息检索）模式概念对比
从技术路线来看，PIR主要分为两大类。第一类是信息论PIR（Information-Theoretic PIR）。这类方案通常依赖多个互不串通的服务器。用户将查询拆分后分别发送给不同服务器，每个服务器只能看到查询的一部分信息，因此无法推断出真实目标。第二类是计算型PIR（Computational PIR）。它只需要一个服务器，但安全性建立在某些数学难题之上，例如格密码、同态加密等现代密码学工具。
近年来，随着同态加密技术的发展，计算型PIR的研究和应用也越来越活跃。
如果你看过我们之前介绍的OPRF（Oblivious Pseudo-Random Function），可能会觉得两者有些相似。事实上，它们解决的是两个不同的问题。
OPRF关注的是：服务器不知道你的输入是什么。例如，你拥有一个密码，希望服务器帮助完成某种计算，但服务器在整个过程中都不知道密码内容。
而PIR关注的是：服务器不知道你获取的是哪条数据。
换句话说：
•OPRF保护的是输入；
•PIR保护的是查询目标。
事实上，OPRF与PIR并非竞争对手，而是隐私保护领域的黄金搭档。在现代系统中，它们常采取分步协同的策略：先利用OPRF进行“盲化验证”，确保用户拥有访问权限且身份脱敏；再利用PIR进行“隐匿提取”，让检索动作本身不留痕迹。这种多层防御，构成了守护用户数字足迹的屏障。
随着隐私合规要求的升级，这种技术组合正从实验室走向落地，最典型的应用场景主要有以下五个：
图2 OPRF+PIR联合构建的AI协同隐私安全架构体系
1.AI知识库查询。这是当前最值得关注的方向之一。未来的大模型很可能不再只是聊天工具，而是连接医疗知识库、法律知识库、企业知识库、搜索引擎以及个人数字档案的统一入口。在这种情况下，用户提出的问题往往比答案更加敏感。PIR可以帮助用户获得所需信息，同时降低查询内容泄露的风险。
2.医疗系统。查询疾病信息本身就可能暴露健康状况。对于医疗平台而言，用户究竟查看过哪些疾病资料，本身就是极其敏感的数据。PIR可以帮助隐藏具体查询目标，从而更好地保护用户隐私。
3.金融系统。金融机构经常需要查询各种风险数据库、贷款信息数据库、黑名单数据库以及征信信息。如果查询行为被暴露，也可能泄露用户状态或机构策略。因此，PIR同样具有重要价值。
4.区块链与Web3。虽然区块链数据天然公开，但用户查询哪些地址、哪些交易记录，同样可能暴露行为模式。因此，PIR也逐渐成为隐私区块链领域的重要研究方向。
5.AI Agent时代。如果说今天的大模型主要负责回答问题，那么不久将来的AI Agent则可能进一步代替我们处理各种事务。它会帮我们查询信息、安排行程、管理财务、处理工作，甚至辅助医疗决策。这意味着，未来AI知道的可能不只是你问过什么，而是你正在思考什么。当Agent成为每个人的数字助手时，提问记录本身将成为最重要的隐私资产之一。而PIR，正是保护这种隐私的重要方向。
互联网的发展，一直在追求更高效的信息获取。搜索引擎如此，推荐算法如此，AI大模型也是如此。但当信息获取越来越容易时，另一个问题也开始变得重要：当我们获取信息时，是否一定要暴露自己？今天，我们已经习惯了向AI提问。明天，我们或许会把更多决定交给AI Agent。而在这个过程中，提问的内容，正在成为最珍贵也最敏感的数据。PIR所做的，不是让信息变得更多，而是让隐私失去被迫交换的必要。它试图告诉我们：获得答案，并不一定要暴露提问的内容。或许未来某一天，当我们向AI询问最私密的困惑时，答案会如期而至。而提问内容，只属于自己。
//关于我们//
杭州量安科技有限公司是由浙江大学和之江实验室联合孵化，核心创始团队汇聚中国工程院院士、国家特聘专家、国家重点研发计划首席科学家等多位顶尖人才。公司专注于人工智能赋能量子安全的研发，聚焦抗量子密码、高性能国密改造及智能安全三大核心领域，为电力、能源、政务、金融、军工、医疗等关键行业，提供新一代密码及安全产品与服务。公司发展势头强劲，已完成 B 轮融资，2024年入选杭州市准独角兽企业，2025年跻身浙江省未来独角兽企业 TOP 100，2026年入选中国未来独角兽企业。技术研发成果显著，牵头主持国家重点研发计划1项，获批浙江省领军型创新创业团队，深度参与国家重点研发计划、国家自然科学基金重点项目、浙江省尖兵领雁研发攻关计划等项目6项；核心知识产权成果丰硕，授权发明专利17项，受理发明专利42项，登记软件著作权40项；资质认证完备，获批国家高新技术企业、浙江省企业研究院、浙江省专精特新中小企业、浙江省科技型中小企业，担任华东江苏大数据交易中心理事长单位。公司产品竞争力突出，斩获多项重要荣誉：2025 年日内瓦国际发明展金奖、2025 中国科技产业化促进会科技创新一等奖、2022 年首届全球数字贸易博览会先锋奖年度最高奖、第三届中国数字经济科技大会年度最具竞争力产品创新奖及数据安全金盾奖等。相关产品已通过国家密码管理局商用密码产品认证、工信部信通院专业评测，具备成熟的市场化应用基础。
