PII-Shield 🛡️

Sidecar di sanitizzazione dei log senza codice per Kubernetes. Previene le fughe di dati (GDPR/SOC2) oscurando le PII dai log prima che lascino il pod.

PII-Shield viene eseguito in-process — CLI, sidecar o WASM. Non esiste alcuna API ospitata né alcun server a cui vengono inviati i tuoi dati.

Stesso nome, progetti diversi. Questo non è il proxy per la privacy PII Shield del blog della developer community di Microsoft (maggio 2026, vikasgautam18/pii-shield), non è i prodotti di prompt-redaction piishield.ai o piishield.com, e non è il pacchetto pii-shield su PyPI di Intellirim. I nostri pacchetti sono pii-shield-wasi su PyPI e @aragossa/pii-shield-wasi su npm; nel testo chiamiamo questo progetto il sidecar PII-Shield.

"Non lasciare che le PII avvelenino i tuoi modelli di AI." PII-Shield garantisce che i dati sensibili non raggiungano mai il tuo dataset di addestramento, risparmiandoti il riaddestramento forzato dei modelli a causa del GDPR.

[!WARNING] Passaggio alla v2.0.0? Abbiamo spostato la distribuzione per gli utenti finali su installazioni basate su Helm e Native Sidecar Distroless. Kustomize non è più un percorso di installazione supportato per gli utenti di produzione, sebbene il repository dell'operator mantenga ancora lo scaffolding Kustomize per lo sviluppo locale e la generazione dei manifest. L'accesso a /bin/sh all'interno del sidecar PII-Shield non è più supportato. Leggi la Guida alla Migrazione.

Due Modelli di Deployment

PII-Shield offre due modi distinti per integrarsi nel tuo stack:

1. Kubernetes Operator (Zero-code): Il nostro modello di deployment di punta. Un Operator K8s completamente automatizzato che inietta un Sidecar Distroless altamente sicuro nei tuoi pod per intercettare e sanificare i log al volo.
2. WASM In-Process (Per integrazioni core): Per prestazioni estreme, il motore core può essere incorporato direttamente tramite WASM, offrendo una latenza <1ms senza hop di rete.

Stato del Progetto e Roadmap

PII-Shield è uno strumento di sicurezza open-source in fase di sviluppo attivo, in una fase di hardening per la produzione. La linea di rilascio v2.x distribuisce artefatti utilizzabili di CLI, container, Helm/operator e WASM SDK. I percorsi core di redaction sono pronti per deployment controllati, mentre alcune modalità di deployment Kubernetes e garanzie sulla supply-chain sono ancora in fase di stabilizzazione.

Componente	Stato
Scanner core	Rilasciato / deployment controllati
CLI sidecar	Rilasciato / deployment controllati
Kubernetes operator	Fase di stabilizzazione
WASM SDK	Beta rilasciata
Integrazione gateway Proxy-Wasm	R&D pianificata
UI Control Plane	R&D pianificata
Intercettazione eBPF	R&D sperimentale

Consulta KNOWN_LIMITATIONS.md per i limiti attuali dell'hardening per la produzione.

Perché PII-Shield?

Gli sviluppatori spesso dimenticano di mascherare i dati sensibili. I filtri regex tradizionali in Fluentd/Logstash sono lenti, difficili da mantenere e consumano CPU costosa sugli aggregatori di log.

PII-Shield si trova proprio accanto al tuo container applicativo:

• Motore Core in hardening per la produzione: Ottimizzato per i sidecar Kubernetes con basse allocazioni di memoria sui percorsi critici e matching regex deterministico.
• Analisi dell'Entropia Context-Aware: Rileva segreti ad alta entropia anche senza chiavi (es. Error: ... 44saCk9...) analizzando le parole chiave di contesto.
• Regole Regex Personalizzate: Redaction deterministica per dati strutturati (UUID, ID) che sovrascrive i controlli di entropia per pattern noti.
• Firme di Segreti Integrate: Credenziali con prefisso dell'emittente — chiavi API AWS e Google, token GitHub, Slack e Stripe, JWT, credenziali Bearer e blocchi di chiavi private PEM — vengono oscurate in base al loro formato, così una chiave valida viene catturata anche quando il suo corpo è a bassa entropia o la soglia è stata alzata.
• Numeri di Telefono per Forma: I numeri internazionali con un +, le forme nordamericane (555) 234-5678 e le cifre sotto una chiave dal nome telefonico (phone, mobile, wa_id, ...) vengono nascosti anche se le sole cifre non raggiungono mai la soglia di segreto.
• Numeri d'Identità per Chiave: Le cifre sotto una chiave che nomina un documento d'identità (idNumber, national_id, ssn, passport_number, tax_id, ...) vengono nascoste; un id di record come user_id o order_id no.
• Copertura Regressione e Fuzz: Testato contro casi di stress inclusi garbage binario, annidamento JSON e log multilingua.
• Hashing Deterministico: Sostituisce i segreti con hash univoci (es. [HIDDEN:a1b2c]), consentendo al QA di correlare gli errori senza vedere i dati grezzi.
• Drop-in: Nessuna modifica al codice richiesta. Funziona con qualsiasi linguaggio (Node, Python, Java, Go).
• Supporto Whitelist: Consenti esplicitamente pattern sicuri (es. hash git, ID di sistema) usando PII_SAFE_REGEX_LIST per prevenire falsi positivi.

Gestisci PII-Shield su decine di cluster?

Stiamo costruendo un Control Plane ospitato con gestione centralizzata delle regole, alerting su Slack e analisi delle redaction.

Integrazioni

La build WASM in-process di PII-Shield è inclusa in GuardSpine Code, una GitHub Action open-source per la governance del codice AI, che include il binario e lo accredita nel suo NOTICE.

Considerazioni sulle Prestazioni

Sebbene PII-Shield sia altamente ottimizzato, l'ispezione approfondita di log complessi richiede una particolare attenzione alla configurazione.

• Log di Testo: Estremamente veloce (>100k righe/s).
• Log JSON: Parsing a zero allocazioni (nessun overhead di encoding/json). Lo scanner analizza manualmente le strutture JSON per garantire un throughput elevato (~7MB/s) senza picchi di memoria.
• Raccomandazione: L'uso è sicuro per throughput elevati. Utilizziamo protezioni di ricorsione per prevenire stack overflow su JSON profondamente annidati.

Installazione

Helm Chart (Kubernetes Operator)

Il modo ufficiale e raccomandato per distribuire PII-Shield in Kubernetes è tramite il nostro Operator completamente automatizzato:

helm repo add pii-shield https://pii-shield.github.io/pii-shield/
helm repo update
helm install pii-shield-operator pii-shield/pii-shield-operator -n operator-system --create-namespace

Questo distribuisce l'Operator PII-Shield che inietta automaticamente sidecar distroless altamente sicuri nei tuoi Pod senza richiedere alcuna modifica al codice o al Dockerfile.