主题
数据安全与隐私
您的素材、产出、会话记录都在您自己的电脑上；少数需要联网的动作（AI 对话、搜索、生图、专利查新）逐项列清——本页把「数据到底在哪、哪里出网」一次说明白。
先给结论
| 类别 | 在哪 | 出网吗 |
|---|---|---|
| 您的文件（素材、产出、台账、索引） | 您电脑的项目文件夹（ai-fde/） | 否 |
| 会话记录 | 您电脑的本地数据库 | 否 |
| CAD 图纸解析、软著材料生成 | 您电脑本地完成 | 否 |
| AI 对话（模型调用） | 发往您配置的模型服务商 | 是（必然） |
| 联网搜索、网页读取 | 发往搜索 / 目标网页 | 是（您主动要求时） |
| AI 生图 | 发往爻枢生图服务 | 是（做图时） |
| 专利查新 | 检索式发往官方专利库 | 是（查新时） |
原则一句话：文件与产出全在本机；出网的只有「让 AI 干活」所必需的那几条通道，且都是您发起任务时才知道会发生的。
文件：您的电脑是唯一的家
- 素材拖进来、专家产出文件——全部落在您电脑的项目文件夹里（见项目资产目录）
- 不上传云端解析：CAD 图纸在本机解析、软著源码材料全程本机生成（源码不出您的电脑）
- 备份、删除、迁移都由您亲手操作——拷走文件夹就是全部，删掉文件夹就是真删了
AI 对话：发给谁，您说了算
AI 干活的本质是把对话内容发给您自己配置的模型服务商（在设置里填的 API Key 与服务地址）：
- 发给谁、用什么模型，完全由您的配置决定——您可以选任何一家服务商
- 官方专家的「方法论」（提示词）是保密资产，经加密通道下发到您的产品里、不在本地落明文——它保护的是专家能力本身，与您的数据无关
- 想确认出网内容，看每次任务的审批卡（下节）——动什么文件、执行什么命令，先给您看
权限与审批：正常干活零弹窗，弹了请看清
FDE 模式的权限策略是「正常干活不打扰」——写文档、出表格、画图这些日常动作不会弹审批。真正弹出的审批卡，说明这次动作超出了常规范围：
| 审批卡上有什么 | 看什么 |
|---|---|
| 在做什么 / 为什么 | 跟您交代的任务对得上吗 |
| 风险 | 有没有动不该动的地方 |
| 建议 | 它推荐的放行方式 |
拿不准就选「拒绝」或问一句——宁可多问，不盲放。
导入第三方智能体：先看后用
从别处拿到别人分享的智能体文件，导入时：
- 先看全文：导入前完整预览这份定义的原文——所见即所审，写的是什么您亲眼过目
- 默认最小权限：导入的智能体默认没有执行命令的能力，只能读写文件
- 机械开关兜底：它有什么能力（能不能联网、能不能执行命令）是明写的开关，您逐项可控
诚实边界：产品做的是「明文可审 + 权限可控」的机械防线，不做「自动识别这份定义是否恶意」的语义审查——所以导入前请自己看完那页预览。
出网动作逐项说明
| 动作 | 发出去什么 | 什么时候发生 |
|---|---|---|
| 模型对话 | 您的对话内容与所涉素材 | 每次任务（AI 干活的原理如此） |
| 联网搜索 / 读网页 | 搜索词 / 目标网址 | 您要求「查一下××」时 |
| AI 生图 | 图片描述词（生图用量会话内可见） | 您要求配图 / 生图时 |
| 专利查新 | 检索式（技术关键词，不含源码） | 专利查新步骤时 |
给敏感项目的三条建议
- 先分级：特别敏感的素材（客户核心数据、未公开财务），先想清楚能不能进对话——AI 引用它就要发给模型服务商
- 脱敏先行：合同审查前抹掉真实金额与账号、方案里用化名——说「先脱敏再处理」，专家照做
- 离线验证：纯本机的能力（CAD 解析、Office 读写、文件整理）不依赖网络——断网也能干这类活
常见问题
| 问题 | 答案 |
|---|---|
| 「你们能看到我的数据吗？」 | 不能——文件与会话都在您本机；AI 处理走您自己配置的模型服务商，厂商能否留存看该服务商的条款 |
| 「删掉的对话真的删了吗？」 | 会话删除即本地数据删除；已产出的文件独立存在（在 ai-fde/），由您管理 |
| 「换模型服务商数据要迁移吗？」 | 不用——换个 Key 就行，文件与历史会话原地不动 |
| 「断网能用吗？」 | 文件读写、已下载能力的本机部分可用；AI 对话、搜索、生图需要网络 |
| 「官方专家会偷学我的业务吗？」 | 专家定义是产品内置的静态资产，不存在「上传学习」；您项目的数据不会进任何官方专家 |