气隙规则
有些网络根本没有互联网连接——不是政策规定，而是物理设计使然。
SCIF（敏感分隔信息设施）是法拉第屏蔽室，无线信号无法进出。ITAR（国际武器贩运条例）禁止将受控技术内容发送给未经批准的接收方，而云服务提供商均未获得ITAR许可。对这些机构而言，「云端SaaS」根本不是需要权衡的风险选项。
对于这些场所，云端工具根本行不通，没有例外。
需要实时网络连接的工具无法在此运行，连接许可证服务器的工具会被直接屏蔽，向云端API发送文件进行检测的工具在SCIF内根本无法运作。这些不是边缘情况，而是国防团队每天面对的现实约束。
ITAR场景
一位国防企业的数据科学家持有ITAR受控的人员档案，需要在共享文件前移除姓名和身份标识，而她所在的网络处于气隙隔离状态。
没有云端解决方案可用，唯一的路径是在本地设备上运行的工具，该工具必须在本地存储模型，并在不发起任何外部请求的情况下生成脱敏输出。
anonym.plus——我们专为此场景打造的姊妹产品——正是如此：一次性授权，检测模型内置于设备中，任何时候都不发生网络请求。anonym.legal自有的桌面应用程序并不适合真正的物理隔离网络——它将文件保留在本地，但个人信息检测仍需调用anonym.legal的服务器，因此需要这个SCIF所不具备的实时连接。
为何可逆性至关重要
涉密工作往往需要可逆假名化：团队用代码替换真实姓名，保持数据的可用性，同时保护真实身份信息。
GDPR第4条第5款将假名化定义为正式的隐私保护措施，可降低合规风险。假名化记录承担的法律义务更少——前提是查找令牌与数据集分开存储。
IAPP 2024年研究发现，仅23%的工具支持真正意义上的可逆处理，大多数工具只提供单向掩码或完全替换，一旦记录被覆写便无法还原。
部分政府团队按照安全隔离区划分工作：一组团队获得假名化文件并进行分析，另一组团队持有查找令牌，仅在法律要求时才进行重新识别。这种分离设计是多团队涉密工作流中唯一安全的处理方式。
零知识模型则更进一步：查找令牌在客户端设备上生成，从不对外传输。即便供应商收到传票，也无法交出令牌——因为他们从未持有过。这一机制满足了许多涉密环境中的证据监管链要求。
EDPB令牌分离要求
EDPB 05/2022号指南规定，假名化令牌必须与假名化记录分离存储，不得由同一方同时持有；或须设置技术控制措施，防止该方同时访问记录和令牌。
以下三项措施组合可同时满足这一要求和气隙约束：
- 令牌在客户端设备上生成，从不对外传输
- 所有处理均在本地完成，任何内容不离开气隙环境
- 输出文件和令牌分开导出，通过两条独立路径分发
这一设计在满足EDPB要求的同时，也完全符合气隙约束。
如需全面了解，请参阅我们的安全概览，了解本地处理如何斩断第三方数据链；参阅我们的合规指南，了解GDPR数据传输规则；以及常见问题，获取配置帮助。
对于允许一条可信外部连接的受控（但非完全隔离）网络：anonym.legal桌面应用程序同样在本地安装运行，但检测本身在anonym.legal的服务器上完成——该应用不内置检测模型，需要互联网连接。它支持Windows、macOS和Linux，其白名单将连接仅限定至anonym.legal，数据不会流向其他任何地方。
内容更新至2026年