隐私与数据边界

当配置的默认模型端点是本地时，提示词、聊天记录、项目数据、技能、智能体元数据、用量记录与凭据都留在你自己的部署内。运营方掌控访问、留存，以及接入了哪些服务。

凭据以 AES-256-GCM 静态加密，身份认证运行在你自己的数据库或你所配置的 OAuth 提供方上，特权动作会写入审计日志。

外部模型、网页搜索、OAuth 提供方与 MCP 服务器，只有当你启用连接并使用它时才会收到数据。一条配置到本地端点的默认聊天路由留在你的部署内，而一项出站功能在你完成配置之前什么都不做。

ChatGPT 订阅 OAuth 是可选的、非官方的，且取决于提供方的策略。NotebookLM 接地使用一枚由你提供的 Google 会话 cookie。

即便在本地模型路由下，提醒也是唯一一条会离开你部署的常规路径，所以值得点名。每个通道在有人打开它之前都是关闭的。

浏览器推送通知用你自己的 VAPID 密钥签名，并通过你浏览器厂商运营的推送服务投递。iOS 通知发往 Apple 的 APNs。运营方提醒还可以额外通过你配置的 SMTP 服务器以邮件发出，或发到你提供的 webhook URL。传出去的是通知本身——一个标题、一行文字，以及一个回到你工作台的链接——而不是它背后的对话。

公开营销站点可能使用 Google Analytics 4 来了解页面访问，以及对 GitHub 与 Live Demo 链接的聚合交互。它不发送提示词、账户标识符或对话内容。

只有当站点部署提供了 GA4 measurement ID 时，分析才会启用。

文件 RPC 通过 realpath 检查限制在连接的文件夹内。菜单显示向服务器发送文件夹名，而不是完整的本地路径。经批准的 shell 命令具有不同边界：macOS 沙箱允许读取一般文件和访问网络，阻止读取指定的机密路径，并将写入限制在连接的文件夹、临时目录、工具缓存和相关 Git 路径。

同一套桥接核心支撑着桌面伴侣和 openmake-code CLI，所以路径作用域、执行禁止清单、你无法绕过的确认，以及操作系统沙箱配置，是一份实现而非三份。