MCP Pii Guard Au

mcp-pii后卫au

模型上下文协议 （MCP）是一个开放标准，允许人工智能助手——Claude、Cursor、Copilot、自定义代理——通过标准化的接口调用外部工具。此服务器将PII检测和净化作为MCP工具公开。任何兼容MCP的客户端都可以在没有自定义集成代码的情况下调用它们。

专为澳大利亚受监管行业（金融服务、政府、医疗保健）的团队而设计，他们需要证明在数据离开信任边界之前，个人身份信息已被清除。符合澳大利亚隐私法（APP）、GDPR、HIPAA、SOX和PCI-DSS。

______________________________________________________________________

14种其他地方不存在的AU/NZ实体类型。 TFN、Medicare、ABN、ACN、BSB、银行账户、驾照、护照、Centrelink CRN、澳大利亚地址、澳大利亚电话号码、新西兰IRD、新西兰NHI和新西兰驾照识别器——在存在算法的地方进行真正的校验和验证，并在整个过程中增强上下文单词。GitHub上没有其他Presidio包装器或PII工具可以处理这些问题。如果你正在为澳大利亚/新西兰的企业、政府或卫生部门构建人工智能工具，这就是差距。

合规官可以实际使用的审计日志。 每次扫描都会将结构化JSON写入仅可追加的日志文件。它记录 *发现了哪些类型的PII*, *多少*, *叫什么工具*，以及 *使用了什么置信阈值*它从不记录原始文本。它从不记录检测到的值。这就是审计追踪和责任之间的区别，也是GDPR第30条、《澳大利亚隐私法》和SOX控制的实际要求。

五个工具，故意。 大多数MCP服务器都附带了十几个工具，并让模型来解决这个问题。代理必须评估上下文窗口令牌成本的每个工具都会增加路由错误，并使系统更难审计。该服务器公开了五个具有明确契约的工具：检测、净化文本、净化文档、去标记化和列出实体。表面小。可预测的行为。在代理工作流中易于推理。

______________________________________________________________________

何时使用此

• AI代理正在汇总客户支持工单，您需要在文本进入LLM上下文窗口之前删除姓名、电子邮件和税务文件号
• 您正在澳大利亚政府案件文件上建立RAG管道，需要在索引到矢量存储之前编辑PII
• 合规团队需要证明PII已得到处理的证据——不仅仅是一份政策文件，还有带有扫描ID和实体计数的机器可读审计日志
• 您正在处理澳大利亚客户数据（CRM导出、表单提交、通话记录），需要TFN/Medicare/ABN检测，以实际验证校验和，而不是匹配任何9位数字
• 工资单或发票数据包含BSB号码、银行账号和地址，在进入人工智能系统之前必须将其剥离
• 在个人信息进入人工智能系统之前，您需要满足澳大利亚隐私原则11（APP 11）的要求，以保护个人信息的安全
• 政府或社会服务数据包含决不能到达LLM上下文窗口的Centrelink CRN

运作原理

┌─────────────┐     stdio      ┌──────────────────┐   Presidio    ┌─────────┐
│  MCP Client │◄──────────────►│mcp-pii-guard-au  │──────────────►│  spaCy  │
│  (Claude,   │  JSON-RPC      │                  │ NLP detection │en_core_ │
│   Cursor,   │                │  5 tools         │ + 14 custom   │web_lg   │
│   agent)    │                │  audit log       │AU/NZ recognsrs│         │
└─────────────┘                └────────┬─────────┘               └─────────┘
                                        │
                                        ▼
                                 logs/pii_guard_audit.jsonl
                                 (metadata only, never PII values)

服务器作为 本地子流程 MCP客户端的通信 标准 （标准输入/输出）。没有HTTP服务器，没有网络端口，没有身份验证界面。客户端启动进程，通过stdin发送JSON-RPC消息，并从stdout读取响应。当客户端断开连接时，进程退出。

对于受监管的环境，这是经过深思熟虑的：PII永远不会通过网络连接离开机器。服务器与客户端在相同的信任边界中运行。

安装

先决条件： Python 3.11+，约500MB磁盘用于spaCy语言模型。

# From PyPI
uv pip install mcp-pii-guard-au
python -m spacy download en_core_web_lg

# From source
git clone https://github.com/mattwagstaff/mcp-pii-guard-au.git
cd mcp-pii-guard-au
uv pip install -e .
python -m spacy download en_core_web_lg

验证安装：

python -c "import spacy; spacy.load('en_core_web_lg'); print('ready')"

运行服务器

使用克劳德桌面

添加 ~/Library/Application Support/Claude/claude_desktop_config.json （macOS）或 %APPDATA%\Claude\claude_desktop_config.json （Windows）：

{
  "mcpServers": {
    "pii-guard-au": {
      "command": "mcp-pii-guard-au",
      "env": {
        "PII_GUARD_AUDIT_LOG": "/absolute/path/to/logs/pii_guard_audit.jsonl"
      }
    }
  }
}

重新启动克劳德桌面。PII防护工具将自动出现在Claude的工具列表中。

使用克劳德代码

// .mcp.json in your project root
{
  "mcpServers": {
    "pii-guard-au": {
      "command": "mcp-pii-guard-au"
    }
  }
}

使用任何MCP客户端

任何实现 MCP规范 可以使用此服务器。传输方式是stdio——客户端启动进程并通过stdin/stdout进行通信。有关如何注册MCP服务器，请参阅客户的文档。

开发和测试

使用MCP检查器在没有完整客户端的情况下交互式测试工具：

mcp dev mcp_pii_guard_au/server.py

或者直接运行以验证启动（将等待stdin并在您关闭它时退出）：

mcp-pii-guard-au

工具

此服务器恰好公开了五个工具。MCP客户端（如Claude）在连接时自动发现它们。

detect_pii

扫描文本并返回检测到的PII实体，而无需修改任何内容。当你需要在决定做什么之前检查那里有什么时，可以使用这个。

// Input
{"text": "Contact Jane Smith at jane@acme.com. TFN: 123 456 782. BSB: 062-000 Acct: 1234 5678", "min_confidence": 0.7}

// Output
{
  "entity_count": 5,
  "entities": [
    {"type": "PERSON", "text": "Jane Smith", "start": 8, "end": 18, "confidence": 0.92},
    {"type": "EMAIL_ADDRESS", "text": "jane@acme.com", "start": 22, "end": 35, "confidence": 0.95},
    {"type": "AU_TFN", "text": "123 456 782", "start": 42, "end": 53, "confidence": 0.85},
    {"type": "AU_BSB", "text": "062-000", "start": 60, "end": 67, "confidence": 0.80},
    {"type": "AU_BANK_ACCOUNT", "text": "1234 5678", "start": 74, "end": 83, "confidence": 0.75}
  ],
  "has_pii": true,
  "scan_id": "a1b2c3d4-..."
}

sanitize_text

在一次通话中检测并清除PII。主力工具——当您需要LLM、数据库或响应的干净文本安全时，可以调用此工具。

// Input
{"text": "Invoice for Jane Smith (jane@acme.com). TFN: 123 456 782. Pay to BSB 062-000 Acct 1234 5678", "mode": "redact"}

// Output
{
  "sanitized_text": "Invoice for [REDACTED:PERSON] ([REDACTED:EMAIL]). TFN: [REDACTED:AU_TFN]. Pay to BSB [REDACTED:AU_BSB] Acct [REDACTED:AU_BANK_ACCOUNT]",
  "entities_removed": 5,
  "entity_types_found": ["AU_BANK_ACCOUNT", "AU_BSB", "AU_TFN", "EMAIL_ADDRESS", "PERSON"],
  "mode": "redact",
  "scan_id": "e5f6g7h8-...",
  "audit_logged": true
}

三种模式：

• redact （默认）-- [REDACTED:TYPE] 标签。不可逆。最安全。
• replace --通过Presidio的造假者运营商实现真实的虚假价值。保留文本形状以供下游处理。
• tokenize --稳定的代币，如 {{EMAIL_ADDRESS_1}}。当您需要在整个工作流中引用同一实体而不公开值时非常有用。使用 detokenize_text 与返回 scan_id 在同一会话内反向标记化。

所有工具都接受可选 entity_thresholds 参数——每个实体类型的置信度覆盖的字典（例如。 {"AU_ADDRESS": 0.9, "PERSON": 0.5}).未列出的实体类型可追溯到 min_confidence.

sanitize_document

递归地清理JSON文档中的所有字符串字段。对于CRM记录、客户对象、表单提交——任何结构化的东西。

// Input
{
  "document": {
    "id": "cust-001",
    "name": "Jane Smith",
    "email": "jane@acme.com",
    "address": "123 Pitt Street, Sydney NSW 2000",
    "tfn": "123 456 782",
    "bank": {"bsb": "062-000", "account": "1234 5678"}
  },
  "skip_fields": ["id"],
  "mode": "redact"
}

// Output
{
  "sanitized_document": {
    "id": "cust-001",
    "name": "[REDACTED:PERSON]",
    "email": "[REDACTED:EMAIL]",
    "address": "[REDACTED:AU_ADDRESS]",
    "tfn": "[REDACTED:AU_TFN]",
    "bank": {"bsb": "[REDACTED:AU_BSB]", "account": "[REDACTED:AU_BANK_ACCOUNT]"}
  },
  "fields_processed": 6,
  "fields_sanitised": 6,
  "total_entities_removed": 6,
  "entity_summary": {"PERSON": 1, "EMAIL_ADDRESS": 1, "AU_ADDRESS": 1, "AU_TFN": 1, "AU_BSB": 1, "AU_BANK_ACCOUNT": 1},
  "scan_id": "i9j0k1l2-..."
}

detokenize_text

通过将代币替换为其原始值来实现反向代币化。通过 scan_id 从前 sanitize_text 打电话给 mode="tokenize".

// Input
{"text": "Invoice for {{PERSON_1}} ({{EMAIL_ADDRESS_1}})", "scan_id": "e5f6g7h8-..."}

// Output
{
  "original_text": "Invoice for Jane Smith (jane@acme.com)",
  "tokens_reversed": 2,
  "scan_id": "e5f6g7h8-..."
}

令牌映射为 会话范围 --它们仅在服务器进程运行时存在，从不写入磁盘。如果服务器重新启动，所有映射都将丢失。这是故意的：原始PII值永远不会持久化到存储中。

list_supported_entities

返回此服务器可以检测到的每个实体类型，包括描述、合规性框架映射和示例。没有争论。如果你需要构建一个 entity_types 过滤器。

支持的实体类型

澳大利亚实体（11家海关认可机构）

这些是其他PII工具中不存在的实体类型。每种方法都使用政府发布的官方验证算法，在整个过程中增强上下文单词，并进行结构化模式匹配。

新西兰实体（3个自定义识别器）

标准实体（13个通过Presidio）

审计日志

每次工具调用都会向以下对象写入一个结构化的JSON条目 ./logs/pii_guard_audit.jsonl （用覆盖 PII_GUARD_AUDIT_LOG env变量）。仅附加JSONL格式。每个工具都有一个 audit 参数（默认值 true)以控制每次呼叫。

{
  "timestamp": "2026-03-26T10:42:00Z",
  "scan_id": "a1b2c3d4-e5f6-7890-abcd-ef1234567890",
  "tool": "sanitize_text",
  "entity_types_detected": ["PERSON", "EMAIL_ADDRESS", "AU_TFN", "AU_BSB"],
  "entity_count": 4,
  "mode": "redact",
  "text_length": 240,
  "min_confidence": 0.7,
  "language": "en"
}

记录的内容： 扫描ID、工具名称、找到的实体类型、实体计数、模式、文本长度、置信阈值、语言。

从未记录的内容： 原始文本、检测到的PII值、经过净化的输出。审计追踪证明 *那* PII已处理。它不会创建PII的第二个副本。

对于生产使用，请将JSONL文件转发到您的SIEM或日志聚合器（Splunk、Datadog、ELK）。每一行都是一个自包含的JSON对象——除了换行符拆分外，不需要解析。

部署

本地（推荐用于大多数用例）

服务器作为MCP客户端的子进程运行。没有单独的部署步骤——配置客户端以启动服务器进程，它将在同一台机器上运行。这是最简单、最安全的选择：PII永远不会跨越网络边界。

Your machine
├── Claude Desktop / Claude Code / your agent
│   └── spawns: mcp-pii-guard-au (stdio)
│       └── writes: logs/pii_guard_audit.jsonl

码头工人

对于标准化环境或CI管道：

FROM python:3.11-slim
WORKDIR /app
COPY . .
RUN pip install . && python -m spacy download en_core_web_lg
# No EXPOSE — stdio transport, no network port
CMD ["mcp-pii-guard-au"]

容器通过stdio（连接的stdin/stdout）而不是HTTP进行通信。您的MCP客户端必须能够启动并连接到容器进程。Claude Desktop原生支持此功能：

{
  "mcpServers": {
    "pii-guard-au": {
      "command": "docker",
      "args": ["run", "-i", "--rm", "mcp-pii-guard-au"],
      "env": {
        "PII_GUARD_AUDIT_LOG": "/app/logs/pii_guard_audit.jsonl"
      }
    }
  }
}

为什么是stdio，而不是HTTP

此服务器故意不公开HTTP端点。在合规背景下：

• 无网络攻击面。 无需扫描端口，无需错误配置TLS，无需泄漏身份验证令牌。
• 没有正在传输的个人身份信息。 数据在同一台机器上的两个进程之间通过Unix管道移动，而不是通过网络套接字。
• 更简单的审计故事。 “PII从未离开过机器”比“PII在传输过程中被加密，TLS证书有效，身份验证令牌未被泄露”更容易证明

如果你需要远程访问，在它前面放一个MCP代理——但要明白，你正在改变信任边界。

配置

工具级别默认值（在中配置 mcp_pii_guard_au/config.py):

每次调用都可以通过工具参数覆盖所有默认值。

常见问题解答

TFN检测是如何工作的？这只是正则表达式吗？

不是。TFN识别器使用两阶段过程：正则表达式模式匹配格式类似于TFN的8位或9位序列(\d{3}\s?\d{3}\s?\d{2,3})，然后使用ATO的加权校验和算法（权重 [1, 4, 3, 7, 5, 8, 6, 9, 10]，总和可被11整除）。只报告通过校验和的数字。匹配附近的上下文单词，如“TFN”、“税务档案号”和“ATO”，将置信度提高到默认阈值以上。

医疗保险号码检测是如何工作的？

医疗保险识别器匹配10位数字，其中第一位数字为2-6，然后使用加权校验和（权重 [1, 3, 7, 9, 1, 3, 7, 9] 在前8位数字之间，第9位数字作为校验位）。“医疗保险”、“医疗保险卡”和“澳大利亚服务”等上下文单词可以增强信心。

ABN验证是如何工作的？

ABN识别器匹配11位数字，并使用官方ABN算法进行验证：从第一位数字中减去1，将每个数字乘以其权重([10, 1, 3, 5, 7, 9, 11, 13, 15, 17, 19])，求和乘积，并用89检验可分性。“ABN”、“商业编号”和“GST”等上下文单词可以增强信心。

ACN验证是如何工作的？

ACN识别器匹配9位数字，并使用ASIC模块-10算法进行验证：将数字1-8乘以权重 [8, 7, 6, 5, 4, 3, 2, 1]，求和乘积，并验证校验位是否等于 (10 - (sum % 10)) % 10诸如“ACN”、“ASIC”和“Pty Ltd”之类的上下文词汇增强了信心。

BSB检测是如何工作的？

BSB识别器匹配6位代码（格式为XXX-XXX或XXXXXX），然后根据已知的澳大利亚金融机构前缀表（01=ANZ，03=Westpac，06=CBA，08=NAB等）验证前两位数字。“BSB”、“银行详细信息”和“直接存款”等上下文单词可以增强信心。

Centrelink CRN检测是如何工作的？

CRN识别器匹配9位数字+字母序列，并使用加权校验和进行验证：将每个数字乘以权重 [1, 2, 3, 4, 5, 6, 7, 8, 9]，求和乘积，并验证尾部字母是否与除以26的余数匹配（0=A，1=B，…，25=Z）。“CRN”、“Centrelink”和“Services Australia”等上下文单词可以增强信心。

澳大利亚地址检测是如何工作的？

地址识别器使用三种模式：完整的街道地址（数字+街道名称+街道类型+可选的郊区/州/邮政编码）、邮政信箱/GPO信箱地址和州缩写+4位邮政编码片段。街道类型包括澳大利亚标准缩写（St、Rd、Ave、Dr、Cres、Pl、Ct、Ln、Tce、Hwy、Bvd、Cl、Pde、Cct等）。澳大利亚所有州和地区都得到承认（新南威尔士州、维多利亚州、昆士兰州、南澳大利亚州、西澳大利亚州、塔斯马尼亚州、北领地、澳大利亚首都直辖区）。

驾照检测是如何工作的？

许可证格式因州而异（新南威尔士州：2个字母+6位数字，昆士兰州：8位数字，华盛顿州：7位数字等）。由于这些格式与其他数字类型严重重叠，识别器故意使用较低的基础分数，并依赖“执照”、“司机”、“RMS”、“VicRoads”或“新南威尔士州服务局”等上下文单词来增强信心。如果没有附近的上下文，匹配将不会达到默认的0.7阈值。

这适用于Claude Desktop吗？

对。将服务器添加到Claude Desktop配置文件并重新启动。Claude将自动发现四个PII工具，并可以在对话中调用它们。看 Claude桌面配置 上面的部分。

这适用于Claude Code吗？

对。将服务器添加到 .mcp.json 项目根目录中的文件。Claude Code将在启动时发现这些工具。看 Claude代码配置 上面的部分。

它能检测澳大利亚的电话号码吗？

对。海关 AU_PHONE_NUMBER 识别器检测移动（04XX）、固定电话（02/03/07/08）和国际（+61）格式。根据已知的运营商前缀范围（Telstra 0400–0419/0470–0489、Optus 0430–0449/0490–0499、沃达丰0420–0429/0450–0469）验证手机号码。Presidio的内置 PHONE_NUMBER type还将国际格式作为后备方案。

审核日志是否包含原始PII？

不，这是一个深思熟虑的设计决定。审计日志仅记录元数据：找到了哪些实体类型、有多少个、调用了哪个工具、文本长度和置信度阈值。它从不记录原始文本、检测到的值或经过净化的输出。审计跟踪证明，在处理PII时没有创建PII本身的第二个副本。

这支持哪些合规框架？

实体类型映射到： 澳大利亚隐私法 （APP） 税收管理法 （TAA） GDPR 数据保护, 健康保险流通与责任法案, 萨班斯法案, PCI-DSS, 自动列车运行, 专用集成电路, 外交贸易部，以及 《社会保障法》 合规要求。这 list_supported_entities 该工具返回每种实体类型的完整框架映射。

我可以在没有MCP的情况下使用它吗？作为Python库？

核心检测和消毒逻辑位于 mcp_pii_guard_au/core/detector.py 和 mcp_pii_guard_au/core/sanitizer.py。您可以直接导入和调用这些，而无需运行MCP服务器。MCP层 mcp_pii_guard_au/server.py 是一个薄包装。

它能检测到新西兰的个人身份信息吗？

对。支持三种新西兰实体类型：IRD号码（带mod-11校验和验证）、NHI号码（带校验位验证）和驾照号码。“IRD”、“NHI”、“NZTA”和“Waka Kotahi”等上下文单词可以增强信心。

我可以为每个实体类型设置不同的置信阈值吗？

对。所有检测和消毒工具都接受可选 entity_thresholds 参数——将实体类型映射到置信阈值的字典。例如， {"AU_ADDRESS": 0.9, "PERSON": 0.5} 对地址需要高置信度，但对人名接受较低置信度。未列出的实体类型可追溯到 min_confidence 参数。

去标记化是如何工作的？

当你打电话的时候 sanitize_text 和 mode="tokenize"，服务器存储每个令牌的映射（如 {{EMAIL_ADDRESS_1}})恢复到其原始值，由 scan_id。然后你可以打电话 detokenize_text 带有标记的文本和 scan_id 将令牌反转回原始值。映射是会话范围的——它们仅在服务器运行时存在于内存中，从不写入磁盘。

为什么只有五个工具？

LLM代理可以访问的每个工具都必须在系统提示中描述，并使用上下文窗口令牌。每增加一个工具都会增加模型选择错误工具的机会。五个具有明确、不重叠目的的工具（检测、净化文本、净化文档、去标记化、列出实体）为代理提供了足够的能力来处理任何PII工作流程，而不会像大型工具表面那样模糊不清。这是一种刻意的约束，而不是限制。

路线图

• 第3版：部分屏蔽模式（例如。 TFN: ***-***-782 显示最后几个字符）
• 第3版：每个实体类型的可配置上下文单词列表
• 第3版：其他新西兰实体类型（新西兰护照、新西兰银行账户）

许可证

麻省理工学院