隐私与安全
本指南说明 Kaya 当前的数据去向、默认行为与清理边界。它面向使用者，不将代码中的设计目标、测试记录或尚待验证的接入方式当作全面安全保证。
1. 先分清保护范围#
Kaya 自带聊天、终端里的编程 Agent、远程协作是相关但独立的功能。Kaya 自带 AI 的查询工具受能力策略、安全检查和独立子进程约束；外部编程 Agent 仍按自己的权限读写项目和执行任务。模型网关处理请求中的受支持文字，不是 Agent 的文件访问沙箱。
- 默认不开放
~/.kaya/之外的文件正文读取，也不开放环境变量转储。你主动放进可信目录的文件，可通过受支持的读取工具提供给 AI，读取结果仍会处理敏感模式。 - AI 可以按需查询目录 / 系统等元数据，以及终端输出、Agent 状态与活动摘要。目录名、文件名或终端画面也可能含敏感内容。
- 你在终端亲自输入的命令不经过 Kaya 的 AI 工具门禁；“不拦截手工命令”不表示 AI 永远无法通过读取工具看到终端输出。
- AI 代为向受支持 Agent 输入，需要 coding 模式与对应授权。授权与进程、标签页绑定，退出或关闭后失效；这不能替代外部 Agent 自己的审批机制。
网站上的简明说明见 Kaya 产品隐私说明；账户、支付与个人信息权利见 法律隐私政策。
2. 聊天模型与请求去向#
| 模型选择 | 请求接收方 | 需要理解的边界 |
|---|---|---|
| 内置模型 | 经云猴服务，转交内置模型供应方 | 发送的聊天文本与相关工具结果会经云猴服务，由其代为调用所提供的模型，内置模型供应方会处理相应请求；客户端会按服务端限制裁剪过长的上下文。 |
| 自备模型（BYOK） | 你配置的模型端点 | 使用相应 API Key 鉴权；启用应用内代理时，连接先经过指定代理。 |
| 本机 Ollama | 本机推理服务 | 该模型路径不外发聊天 / 工具内容，但登录、心跳、已同意的 Token 上传，以及开启的搜索 / IM / 远程功能仍独立联网。 |
当前聊天输入固定使用 aggressive 保护档；工具输出默认 aggressive，可在通用设置调整。它们与模型网关档位独立。内容保护并不等于请求无内容：模型仍会收到处理后的请求，供应商的日志 / 缓存和保留策略由其管理。
审计中的“AI 评估”也会调用模型。需要仅本机处理时，不能只检查主聊天模型，而忽略评估及其他启用的联网功能。
3. 默认设置与控制入口#
| 功能 | 默认 / 前提 | 控制位置与含义 |
|---|---|---|
| 使用情况心跳 | 默认开启 · 登录后 | 约每 5 分钟向云猴报告应用使用时长、平台、版本与时间等信息。请求用登录凭据关联账号，不含聊天或文件正文；可在账户设置关闭。 |
| 云端 Token 用量 | 默认关闭 | 阅读上传清单并确认后才开启。只上传聚合用量与随机设备标识等必要信息，开启前显示当前可上传范围。 |
| 模型网关 | 默认关闭 · 按 Agent 接入 | 启用本机网关后，还需为指定编程 Agent 接入。网关默认档位 strict，仅自动处理具名 secret，PII 不自动改写。 |
| 远程访问 / 跨机执行 | 默认关闭 | 远程访问需主动开启；跨机执行还需接收端总开关、设备准入与授权。关闭跨机执行不等于关闭同账号状态发现。 |
| 联网搜索 / IM 镜像 | 按功能主动开启 | Tavily 搜索默认关闭；IM 渠道需配置并开启，桌面聊天镜像默认关闭。启用后，相应服务会接收该功能所需内容。 |
| 自动记忆整理 | 默认开启 · 可关闭 | 对话内容可按证据自动提炼为记忆，没有逐条待审队列。可关闭自动整理，并在设置中查看、编辑、回滚或删除记忆。 |
网关新绑定的 Agent 默认选择经网关接入，但总网关未启用时不会因此产生可用网关路径。启用网关总开关不等于所有 Agent 都已接入，应在各 Agent 详情确认。
网关的“拒绝未知路径”是另一项独立设置：默认透传未识别路径并记告警，开启拒绝可能影响 Agent 的辅助请求。不要把“网关已启用”理解成所有路径和数据类型都被完整扫描。
4. 编程 Agent 的独立模型网关#
未接入时，编程 Agent 使用自己的模型配置和请求路径。明确接入后，请求经本机回环网关转发到选定供应商；Kaya 聊天不会改道到该网关。真实凭据由系统钥匙串与运行内存提供，当前托管配置使用本机地址、模型别名与占位凭据。旧配置与接管快照的例外见下文。
默认 strict 不自动改写 PII#
当前网关默认档位名为 strict，只自动处理具名 secret；邮箱、手机号等个人信息（PII）默认不自动改写。已明确保存的用户档位不会因默认值变化被覆盖。提高到 balanced / aggressive 后，动作还取决于字段类型与命中置信度：部分工具载荷、协议标识和高熵内容只告警或保持原值，不能承诺“所有个人信息都被替换”。需要固定保护某个姓名、代号或地址，可在用户令牌表显式维护。
支持的命中片段可被替换为形状保持令牌，响应返回后尝试还原。令牌可能保留部分格式特征，同一内容可能稳定对应同一替身；这不是完全匿名化，也不是端到端加密。模型改写令牌、历史映射不完整等情况可能导致还原失败。
协议与媒体的保留边界#
当前自动检测不覆盖 IP 地址类。经验证的图片 / PDF 二进制、部分签名 / 加密内容和服务端历史引用会按协议保留，不做文本正则扫描。文件头通过验证，不表示其中没有可见秘密。未知 API 路径默认透传，应按需要开启拒绝未知路径。
更多接入与还原说明见 模型网关指南。
5. 搜索、IM、远程与代理#
- **Tavily：**默认关闭，启用后发送搜索所需问题文本到 Tavily，返回网页作为外部不可信内容再进入相应处理流程。
- **IM 渠道与镜像：**需要配置并启用；镜像默认关闭。启用镜像会把桌面聊天消息推送到指定 IM 聊天，IM 平台会接收这些内容。准入名单、镜像开关和操作授权是不同控制项。
- **远程访问：**默认关闭，开启后聊天、Agent 状态与授权内容经云猴 relay 中转到浏览器。中转仅在内存转发，不持久化帧，传输使用 TLS；服务器能够接触转发内容，不能表述为端到端加密或服务器不可见。API Key 不经 relay，模型请求仍由桌面端发起。
- **应用内代理：**启用后，选定范围的应用请求先到你指定的代理。代理方可能看到目标主机、时序及 TLS 之外的网络元数据。选为走代理的范围在代理故障时不会静默改直连；已发出的请求仍可能完成。该设置不更改终端 / 编程 Agent 自己的代理环境。
同账号状态发现与执行准入分开#
远程访问开启后，同账号设备可互相发现并交换 Agent 状态摘要。跨机协同总开关与逐设备白名单控制的是执行准入，不会关闭所有发现 / 状态帧；获准设备还可按 Agent 限定范围。
跨机对话需单独允许，默认关闭。接收端可能用自己的模型读取被圈定的 Agent 状态 / 屏尾并回复，消耗接收端模型额度；受理的请求和回复会进入接收端本地聊天历史。按需读取的屏幕 / 报告结果与模型对话是不同路径，不能把仅界面展示的读取结果和持久化聊天混为一谈。
远程收发与成功的跨机派发 / 执行尚不具备覆盖全部动作的专门审计记录。请勿将“有审计功能”理解为所有渠道都能完整回放。
6. 凭据、会话与本机原文记录#
| 数据 | 保存与使用 | 重要例外 |
|---|---|---|
| 当前 API Key / 登录 / 供应商授权凭据 | 保存在系统钥匙串或 Windows 凭据管理器；鉴权时使用，不作为普通聊天正文。 | 历史 Agent 配置、接管快照、旧迁移文件可能含旧 token 或其他敏感原值，不能概括为“密钥从不落盘”。 |
| 聊天消息 / 模型上下文 / 聊天审计 | 保存在本机，不自动云同步。聊天审计保存处理后的输入、工具结果与回复等正文。 | 隐藏思考内容不等于未保存：模型协议所需的推理内容可能仍在本机会话文件中保留。 |
| 网关隐私保护明细 | 保存在本机 ~/.kaya/gateway/privacy-events.jsonl，默认遮罩，展开可见。 | 包含命中片段原文、替换令牌与恢复记录，不自动进入模型上下文或诊断导出。显式读取 / 打开本机文件仍需自行判断后续去向。 |
| 网关请求审计与 App 诊断 | 请求审计主要记录计数、路由与状态；App 诊断记录相应运行元数据。 | “网关请求审计零内容”不代表隐私明细、聊天审计及所有本机文件都不含正文。 |
| 旧配置、接管快照与迁移备份 | 只保存在本机；部分接管快照在恢复成功后删除，恢复失败时保留以便重试。 | 未恢复原值的备份、模型库迁移留底等可能含旧 token、自定义头与端点，部分没有自动清理期限。 |
系统凭据存储与应用数据目录权限减少意外读取风险，但不能防御所有同机恶意进程、root 权限或系统备份。macOS / Unix 的文件权限与 Windows 的系统权限机制不同，不承诺跨平台完全相同的文件隔离。
7. 记忆会自动生效，也会进入模型上下文#
当前记忆采用按证据自动裁决，没有逐条待审队列。它可以新增、强化、归纳、归档或取代条目；助手单方面推断不会直接进入活跃记忆。你可在设置 → 记忆查看最近自动变更，编辑、回滚、丢弃或彻底删除。
记忆文件保存在本机，但使用记忆有明确外发面：核心规则 / 事实及记忆索引会按上下文规则随回合提供给当前模型；按需检索结果也会送到模型。自动巩固使用当前聊天模型处理增量会话：内置模型经云猴服务、BYOK 使用你的供应商、Ollama 本地处理。自动整理默认开启，可在记忆设置关闭；首次启用不回溯提炼此前旧会话。
**“丢弃”不等于擦除原文。**丢弃是逻辑删除，条目退出检索与注入，但内容可能留在本机版本记录中。“彻底删除”会抹除条目和历史版本正文，保留必要的 ID / 版本骨架。删除本地记忆不能撤回此前已经发送到供应商或 IM 平台的内容，也不承诺磁盘取证级擦除。
更多使用方法见 记忆机制。
8. 图片和原文配置有单独边界#
图片不走文本脱敏#
聊天粘贴图片会重编码以剥除 EXIF / GPS 等元数据，并按需要缩小；每条消息最多 4 张、每张不超过 5 MB，支持 PNG / JPEG / WebP / GIF。只有所选 BYOK 模型支持图片输入时才发送；内置模型当前拒绝带图请求。图片中的可见文字和秘密不经过文本 guard / scrub，发送前请先检查。
聊天临时图片只用于当前会话，可供“发送给 Agent”交接本机文件路径；新建会话会清理该会话临时图片，重启时清扫临时目录。把路径交给 Agent 后，Agent 是否读取 / 上传图片由其能力与权限决定。
规范与任务快照并非都做通用脱敏#
你写入 ~/.kaya/methodology.md 的规范在符合注入条件时可能原样发给模型，不经过输出脱敏。定时任务 prompt 以原文保存在本机，实际触发对话前会过聊天输入保护；但任务清单、ToDoList 与定时任务快照提供给模型时，不保证经过同一通用脱敏层。不要将凭据、生产秘密或不愿发送的资料放入这些字段。
9. 心跳与云端 Token 上传是两件事#
**使用情况心跳默认开启。**登录后约每 5 分钟向云猴发送应用存活时长、平台、版本、本地日期与事件时间等统计，请求通过登录凭据关联账号。它不含对话 / 文件正文，但不应称为“匿名统计”或“零个人信息”。可在账户设置关闭。
**云端 Token 用量默认关闭。**确认当前上传清单后才开启，当前同意版本为 kaya-usage-upload-v2；同意版本变化、识别到换号或状态无法证明授权时，需要重新确认。上传的是按 UTC 聚合的来源、Agent、归一化供应商键、模型 ID、Token 与请求计数；设备注册另含随机设备 ID、OS 家族、应用版本与同意版本。不上传对话、工具或文件正文、文件路径 / 仓库信息、主机名、硬件指纹、API Key / OAuth token，也不上传逐请求原始事件。
开启与历史回填需看当前范围#
- 没有旧上传状态的首次同意，可能回填符合条件的最近 30 天；受实际本机记录、保留期与授权窗口限制，不保证总能回填满 30 天。
- 旧状态、历史身份不明或识别到换账号时，普通重新同意默认仅新用量；相关历史需另行确认。历史本机事件没有完整账号归属证据，确认前应阅读预览范围。
- 可信同账号普通关闭后再开启，可能补传关闭期间用量；“关闭”不能理解为该段历史将永久不上传。
- 撤销设备后重新同意会生成新设备标识，撤销前以及撤销后尚未重新授权的区间不会补传。撤销只作用于选中的设备标识，不自动撤销后来换号产生的新标识。
- 国内版与国际版的新事件及上传状态分开；历史旧记录有不同兼容规则，不能将新版本隔离扩展成所有历史记录都能准确追认归属。
关闭上传只停止本机后续同步，不删除已经上传的云端数据。当前网站不提供一键清空所有历史设备的操作。删除用量、设备撤销与历史设备行清理是不同服务端动作；需要处理已上传数据时，请按法律隐私政策的联系方式申请。
10. 保留期限与清理方式#
| 类别 | 保留 / 查询规则 | 清理含义 |
|---|---|---|
| 会话、聊天审计与配置 | 本机保存，各功能有自己的历史 / 容量规则。 | 在对应设置或文件位置清理；关闭显示、关闭功能或登出不等于抹除全部历史文件。 |
| 记忆 | 通常长期保留，自动归档不是物理删除。 | 丢弃为逻辑删除；彻底删除抹除正文与旧版本，保留必要骨架。 |
| 网关隐私明细 | 90 天查询窗口；改写记录最多 5,000 条，告警记录另最多 500 条。 | 90 天不是定时擦除期限；过期原文在淘汰压实或主动清空时物理清理。 |
| 网关请求事件 | 30 天查询窗口，最多 20,000 条，仅结构化计数与状态。 | 选择性清空只删匹配明细；真正全量清空另清请求事件，部分失败时应按实际结果处理。 |
| 本机 Token 用量事件 | 保留 180 天，只记计数和相关标识。 | 不等同供应商账单；关闭云上传不删除本机统计或既有云数据。 |
| 临时图片 / 标签页滚动日志 | 临时图片随新建会话 / 重启清扫；标签页滚动日志有容量轮转。 | 关闭标签页会清理该标签滚动日志；Shell 命令历史可能合并回全局历史，不能混为一类。 |
| 历史配置与迁移 / 未恢复备份 | 部分无自动保留期。 | 检查是否仍需恢复后再手动删除；系统或外部备份另有自己的生命周期。 |
云端用量和备份按服务端保留规则与法律隐私政策处理。产品的查询窗口、上传回填窗口和“已删除”确认，不能当作所有副本即时消失的证明。
11. 已知限制与使用建议#
- **脱敏不保证识别所有秘密：**模式匹配会漏判或误判；多层嵌套编码、超过覆盖范围的载体、视觉内容与私有格式不应假设已被识别。
- **还原不保证总能成功：**模型可能改写令牌，部分服务端历史 / 本机映射可能不完整；“可逆”描述的是支持的处理方式，不是每次都无损。
- **工具隔离不等于完整系统沙箱：**Kaya 的受限查询在独立子进程运行；你的手工终端命令与外部 Agent 的行为仍由你及其自身权限控制。
- **仅本机保存不等于从不外发：**记忆、终端摘要、任务快照与模型请求会在相应使用场景发送；本地删除无法撤回已发出的内容。
- **不等于全面审计或安全认证：**各渠道审计覆盖不同；不以内部测试数量、静态规则或代码审计记录代替第三方认证或完整生产验证。
涉及高敏操作时，避免让 AI 读取相应终端或文件；分享图片、任务标题与规范前先检查。第三方服务收到内容后的日志与保留政策，需要同时阅读对应服务说明。
12. 查看与管理你的隐私#
产品隐私说明 提供简明数据路径；法律隐私政策 说明账户、订单、云端数据和个人信息权利。具体功能还可阅读 模型网关、Token 用量与云端同步、记忆机制 与 文件读取。
需要处理账户或已上传数据，可联系 kaya@yunhouai.com。不要在支持邮件中附上 API Key、完整隐私明细原文或不必要的业务内容。