# Suveria：与数字智能开展私密工作

2026 年 10 月 31 日版本。本文档进一步展开宣言中关于 Suveria 的原则：我们希望如何保护隐私、与数字智能开展的工作将如何运作、成本是多少以及我们将如何对此进行核验。此处描述的架构是一项设计方案。提及现有技术或服务商文档并不意味着我们已在 Suveria 中启用了它们。我们将试验结果补充在第 9 章中，并始终注明日期、配置版本和测量范围。

*本译文由数字智能根据 2026 年 10 月 31 日的波兰语原文翻译。各版本如有差异，以波兰语文本为准。*

## 1. Suveria 是什么以及为什么要创建它

Suveria 旨在成为互联网上的一个私密空间，人们可以在其中与数字智能交谈、处理自己的材料并回顾先前的想法，就像关上门在自己家中一样。它由位于波兹南的 Novus Ignis 基金会面向世界各地的人们进行设计，基金会的价值观详见[宣言](manifest.md)。它以开放的数字智能模型为基础，同时我们希望将自己开发的软件作为具有开源代码的数字公共产品开放出来。

之所以创建 Suveria，是因为我们在与数字智能的对话中托付了越来越多的事务：关于健康、人际关系、工作、金钱和人生规划的问题。在许多热门服务中，这类对话的内容会被发送到服务商的服务器上，服务商可以读取这些内容，而对其的保护取决于服务商的规则以及对服务商的信任。我们希望人们能够谈论最重要的事情，而不必害怕如此深入的个人洞察有一天会被商业变现或被用来对自己施加影响。我们还希望每个人都为自己实际使用的部分付费、清楚自己为哪些内容付费，并自行设定支出上限。

在 Suveria 中，我们希望人们能够：

- 就个人和职业事务与数字智能交谈，同时清楚看到对话在哪里被处理以及谁能看到它；
- 处理自己的文档和文件，并将结果以开放格式保存和迁移到其他地方；
- 将对话、文件和助手的记忆首要存储在自己的设备上，并使用始终由用户控制的密钥进行加密；
- 在本人同意的情况下，使用过往对话的记忆、回顾过去做出决定的原因，并构建个人准则（*Canon Personalis*），即属于自己的原则与价值观集合；
- 选择工作方式，从在自己的设备上运行模型到服务器上的机密环境，并获得关于每种方式防范何种风险的清晰说明；
- 按实际使用量付费，并由自己设定支出上限；
- 私下打磨想法，然后有意识地将其带入 Omniforum 的共同对话中。

我们的首个发布版本面向那些将“可验证的隐私”作为选择理由的人士。

我们希望在 Suveria 中的第一天就能给人带来一种在自己家中、在按自己节奏布置的私密工坊里的平静感。用户将能够向助手讲述自己的事务和目标；我们还希望支持将自己的笔记以及与其他数字智能服务的过往对话存档迁移到 Suveria 中。此类存档将在用户设备上保持加密和有序整理的状态，每次仅将针对当前问题所选定的范围发送给远程模型（第 3 章）。

我们以服务是否帮助人们实现目标、保持隐私并独立做出决定来衡量服务的价值。各项条款应当清晰且易于查阅，用户应当能够控制自己的支出、导出自己的材料并离开。

完全的隐私（包括针对作为基础设施运维人员的我们）是我们整个设计所服从的目标。保护应当建立在可独立验证的安全保障之上，而非建立在对基金会的信任之上。因此，每一个发布版本都会具体说明保护什么、防范谁、在什么条件下有效以及还存在哪些漏洞。

我们的起点是与单个模型进行文字对话并处理选定的文档，提供清晰说明的保护级别、支出上限和结果导出功能。后续功能（如记忆、搜索、外部集成和执行操作）将分别获得独立的权限范围。只要一个人在发送数据前能清楚看到数据流向何处以及适用哪些规则，同一个便捷的界面就可以结合多种工作模式。

首个发布版本将采用何种方案，取决于基金会在启动前筹集到多少资金。最有可能的是采用外部服务商的机密 API；此类服务目前在美国已有提供，在起步阶段其机密性是服务商的一项声明，我们将对其进行核验。如果资金足以在机密环境中租用我们自己的服务器，首个版本也可以直接运行在这些服务器上。在第 9 章的试验取得肯定结果之前，我们将上述每一种方案都标注为“声明的保护”，而非“机密保护”。第 2 章描述的是目标保护状态。这对欧洲人士的个人数据保护意味着什么，我们将在启动试点前加以说明。

使用 Suveria 并不代表同意将对话用于训练模型。用户内容仅在获得单独、知情同意的情况下才会进入研究材料，其余材料则来自基金会的公开成果以及具有明确使用依据的其他来源，详见[材料与基准测试白皮书](whitepaper-materialy-i-benchmark.md)。

Suveria 与作为对话和决策共享空间的 Omniforum 相辅相成：一个提供私密工坊，另一个提供公共讲坛。孕育这两个项目的价值观详见基金会宣言。接下来我们将依次展示：

- 我们保护什么以及防范什么，数据和密钥存放在哪里（第 2 章）；
- 消息如何从设备传递到模型，以及如何对此进行核验（第 3 章）；
- 我们如何在不阅读私密对话的前提下限制滥用（第 4 章）；
- 多显卡计算如何运作（第 5 章）；
- 我们规划了哪些模型、记忆功能和工具（第 6 章）；
- 从 30 人到全人类需要多少算力（第 7 章）；
- 在注明日期的核算中，这些需要多少成本（第 8 章）；
- 我们将如何检验承诺是否兑现：验收试验与结果日志（第 9 章）。

## 2. 我们保护什么以及防范什么

我们保护对话与文件的内容、历史记录与记忆、密钥、结算数据以及元数据（例如连接时间、网络地址和请求大小）。其中每一个领域都需要不同的措施。

下表展示了第 2.3 节所描述的五种工作方案各自防范的对象。服务器方案中的保护依赖于远程证明，即由硬件签名的、证明远程机器上正在运行何种软件以及处于何种保护模式的凭证。我们根据本文档后续章节的内容填写了表格单元；“服务商声明”意味着在我们完成自主核验之前，我们不确认该项保护。

| 防范对象 | 无网络连接设备上的本地模型 | 联网设备上的本地模型 | 服务器机密环境中的处理 | 外部服务商的机密 API | 模型服务商的外部 API |
| --- | --- | --- | --- | --- | --- |
| 服务商管理员 | 不适用：在设备上处理 | 仅就模型本身而言不适用；启用外部集成时取决于所选服务 | 保护：服务器管理员无法查看的硬件隔离 | 服务商声明，有待核验 | 不保护：服务商可访问内容 |
| 同一台机器上的其他客户 | 不适用 | 不适用 | 保护：隔离涵盖其他客户 | 服务商声明，有待核验 | 取决于服务商：由其软件实现客户隔离，无硬件隔离 |
| 网络观察者 | 不适用：无网络流量 | 部分保护：外部集成的网络流量需要评估 | 部分保护：内容在传输中加密，元数据（时间、地址、数据包大小与节奏）需要单独措施（第 3 章） | 部分保护：若连接密钥与远程证明绑定，则与机密环境相同 | 部分保护：内容在传输中加密，元数据同左 |
| 可物理接触服务器的人员 | 不涉及服务器；取决于对设备的物理接触 | 不涉及服务器；取决于对设备的物理接触 | 不保护：在他人机房中服务商可物理接触；使用自有硬件时具备可见的物理监控 | 不保护：服务商可物理接触 | 不保护：服务商本就可访问内容 |
| 基金会 | 不适用：基金会不参与处理 | 不适用：基金会不参与处理 | 保护：隔离同样涵盖作为运营方的我们，存储密钥由用户持有 | 旨在保护内容：网关在不查看内容的情况下结算请求；加密在何处终止将在试点前展示（第 3 章） | 旨在防范我们查看内容：在不查看内容的情况下进行结算；服务商可见内容 |
| 处理器制造商 | 取决于对设备硬件的信任 | 取决于对设备硬件的信任 | 不保护：远程证明依赖于制造商密钥，制造商必须诚实 | 不保护：同左 | 鉴于服务商可访问内容，此项无关紧要 |

机密计算改变了攻击的成本：不再是管理员通过远程访问即可获取，而是需要对硬件进行物理干预。

下面我们说明采用自有机密环境的目标方案将如何运作；其他方案与它的差异见第 2.3 节中的表格。在消息所经过的各个路段上，这在实践中意味着什么：

- **在用户的设备上**，文本是可读的，因为用户正在编写和阅读它。保护它的是仅请求必要权限的应用程序、更新以及对备份的审慎处理。如果手机或电脑上运行着恶意软件，我们将无法保护它。
- **在发往服务器的途中**，消息经过加密，只有经过验证的处理场所才能读取。应用程序在发送消息前，会核验另一端运行的是否正是我们所发布的软件。
- **在服务器上**，模型必须读取内容才能做出回答，因此它在服务器管理员和其他客户均无法查看的封闭硬件环境中完成这一操作。我们会核验这种隔离是否涵盖处理器、显卡、内存以及它们之间的连接。
- **在存储中**，对话历史和助手的记忆使用用户持有的密钥进行加密。我们会核验备份、访问权限恢复和删除机制。
- **在服务运维中**，结算、诊断和错误报告均在不接触对话内容的情况下运作，且所收集的每一类数据都是公开的（第 3 章）。
- **在使用外部工具时**，当助手需要在 Suveria 之外执行某项操作（例如在互联网上搜索信息）时，它只发送用户同意的内容，并显示发送的目的地。

机密计算无法修复已感染病毒的用户电脑。它也无法防范所有能物理接触服务器的人：2025 年，研究人员展示了一种连接到内存总线、由总价不到一千美元的零件组装而成的装置，可以提取 Intel 和 AMD 方案中的证明密钥，进而也能伪造 NVIDIA 机密计算中的证明，而处理器制造商认为此类攻击超出了其保护范围。[^teefail] 此外，还存在对硬件制造商、密码学正确性、应用程序代码以及更新流程的依赖。即便服务商无法读取内容，它依然可以拒绝提供服务。因此，威胁模型必须区分内容查看、从元数据中进行推断、改变运行行为以及中断服务，并针对每种方案指明需要谁保持诚实才能使保护生效。

只要我们使用他人的机房，服务商就拥有对硬件的物理接触权限，而我们无法对此进行核验；我们在每种方案中都会说明这一点。当使用自有硬件时（第 8.2 节中的步骤 3–4），我们希望通过以下方式使物理接触变得可见：

- 设备清单；
- 入口门禁控制；
- 带有随机图案的封条以及机箱开启传感器；
- 工作日志；
- 独立观察员的摄像头，其画面中显示由机器密钥签名的公共随机数发生器当前值；
- 以及从更长远来看，一个任何人都可以亲眼看到的机房。

维修和更换零件均作为预先公告的公开程序进行。可见的物理监控能够降低风险并让人发现许多异常事件，但它无法证明机器的全部历史或交付前未被篡改，而且类似上述的攻击可能导致远程证明证据被伪造。因此，一旦发生机箱被打开、零件被更换、计划外重启或其他可疑事件，我们将停止在该机器上处理私密内容。我们会更换会话密钥和应用程序密钥，但如果怀疑涉及硬件远程证明的根基，仅凭新的远程证明本身并不能恢复信任；我们将预先说明重新准入的条件和所需证据。加密用户数据的密钥拥有独立的保护和恢复机制，因此这一程序不会剥夺人们的私密成果。

### 2.1. 自有设备与可选服务器

存储私密对话、文件和记忆的首要场所应当是用户的设备，保存在加密容器中（即使用相应密钥才能读取内容的数据集合）。这就是本地优先（local-first）方法：数据首先保存在设备上，而服务器可以辅助进行备份和同步。[^local-first] 保存的材料在停止使用基金会的服务后仍应保持可用；需要远程模型的任务则取决于所选算力服务的可用性。

在选定服务器上的可选存储用于备份以及在不同设备之间同步变更。我们在发送前就在设备上对内容进行加密，使存储副本的运营方只收到加密后的记录，而没有读取它的密钥。用户自行选择存储服务商以及获准读取的设备。我们还会单独限制元数据（如传输副本的时间和大小）的暴露。

### 2.2. 密钥与访问权限恢复

私密容器的密钥始终处于用户的控制之下。恢复程序会清晰指明，究竟是由第二台设备、保存的恢复密钥，还是其他经过知情选择的机制来恢复访问权限，以及该机制赋予了谁读取的能力。在运营方处找回账户并不会解锁容器的内容。丢失所有密钥副本和恢复手段可能意味着数据的永久丢失，因此我们会通过恢复数据的试验来检验所选机制，并在简明易懂的指南中加以说明。

我们正在考虑几种可以组合使用的恢复方式：已经拥有访问权限的第二台设备；写在纸上或保存在密码管理器中的恢复密钥；硬件密钥；将密钥拆分给几位受信任的人（例如三人中的任意两人合在一起即可恢复访问权限，而任何一人单独都无法读取数据）。基金会不保存密钥或其分片，因此无法替用户恢复访问权限，也无法交出用户的数据。

在起步阶段，我们建议使用第二台设备加写在纸上的密钥；将密钥拆分给受信任的人则作为可选项提供给有意愿的用户。

### 2.3. 保护方案

我们希望对比五种工作方案，因为每种方案防范的风险各不相同：

| 方案 | 处理在哪里进行 | 需要评估的事项 |
| --- | --- | --- |
| 无网络连接设备上的本地模型 | 在用户的设备上 | 设备状态、物理接触、存储介质与数据副本 |
| 联网设备上的本地模型 | 在本地，启用外部集成时也在所选服务中 | 应用程序权限、更新、网络流量以及传递给外部集成的数据范围 |
| 服务器机密环境中的处理 | 在配置经远程证明确认的远程环境中 | 环境核验、管理员访问权限与对硬件的物理接触、传输与处理保护、元数据与密钥 |
| 外部服务商的机密 API | 在服务商的机密环境中，其配置应由远程证明确认 | 连接密钥是否与远程证明绑定、远程证明是否涵盖处理器与显卡、能否将特定请求与特定机器关联、谁能物理接触硬件、数据存储与司法管辖区；在完成自主核验前，我们将机密性视为服务商声明 |
| 模型服务商的外部 API | 在外部服务商处 | 服务商条款、对内容的访问权限、数据存储与司法管辖区；我们不将机密运行的承诺延伸至该方案 |

对服务器进行独立核验需要安装本地应用程序。在浏览器中，用于核验服务器的代码每次都由运营方提供，因此我们将浏览器方式的保护级别标注为较低。

联网设备可能比隔离的服务器环境面临更多的攻击面，因此单凭计算所在的位置并不能决定安全性。在核验具体配置之前，任何方案都不会贴上“完全隐私”的标签。在每次对话中，用户都能看到自己正在哪种方案下工作，而切换方案需要用户做出知情决定。使用自己的密钥调用外部 API 可以结算访问费用，但不能保证对服务商的机密性。该方案不是私密 Suveria 的默认方案，且在发送内容前，我们会显示服务商是否可能将内容用于训练模型以及会将其保存多久。

我们还在分析一种尚未列入上表的方向：可信蜂群。在这种模式下，模型将运行在几个彼此认识且相互信任的人（例如家人、朋友或小型社区）的硬件上，每个人分享自己电脑的一部分算力。这种方案的隐私建立在对这些人的信任之上，而非建立在技术之上，因为他们的电脑能够看到正在处理的内容，而我们也正是要这样如实描述它。这是一个我们才刚开始分析的想法，但它是我们希望探索的路径之一。

安全的服务器无法保护从已被攻破的手机上读取的文本，而更安全的手机也无法修复不安全的服务器，因此我们将应用程序的设计与设备保护结合起来。我们希望 Suveria 应用程序能够在没有 Google 服务的情况下运行（例如运行在 GrapheneOS 系统上），在 Google Play 商店之外也能获取，并提供可复现构建的发布版本：任何人都可以根据公开的源代码自行构建应用程序，并核验所生成的文件与安装的文件完全一致。我们还在规划应用程序自身的安全措施：禁止截屏、不学习输入文本的键盘模式、将私密数据排除在云备份之外、隐藏通知内容以及应用锁。我们将在基金会网站上准备一份分三个级别的自有设备安全加固指南：从基础设置与系统更新，经过更严格的工作与密钥隔离，一直到面向最高要求人士的经过验证的配置（例如在搭载开源固件的电脑上运行 Qubes OS）。使用 Suveria 并不要求购买指定的硬件，操作系统的名称也不是对整台设备的安全认证。

在每次对话旁，我们都会展示一张保护卡片（*Charta Tutelae*）：列出决定该次对话隐私的各项要素，每项要素处于以下三种状态之一：

- **经我们核验：** 我们已亲自验证，并附有日期、版本号以及我们如何验证的说明。
- **由服务商声明：** 服务商如此声明，而我们尚未对其进行核验。
- **未受保护：** 当前方案不保护此项，例如网络服务商可见的消息发送时间与长度、服务商对硬件的物理接触，或服务器所在的司法管辖区。

“经我们核验”的状态带有最后一次检查的日期，并且会过期：在设定的时间过后若未重新检查，就会退回至“声明”状态。我们还会单独展示已知的信任受损事件，例如服务商发生安全事件或未经确认的配置变更。保护卡片对所有人都是相同的，不因价格而异；只要其中有一项要素仅处于“声明”状态，该方案就不会被称为“完全隐私”。第 2 章开头的汇总表和本节中的方案表是对各方案的总体说明，而保护卡片将展示当前这次具体对话的状态。

## 3. 从设备到模型的路径

Suveria 计划由以下几个部分组成：

- 用户设备上的应用程序；
- 负责结算请求并执行支出上限的网关；
- 运行模型的机密环境（自建或位于服务商处）；
- 加密副本的存储服务；
- 隐藏用户地址的可选中继。

网关将运行在机密机器中。在试点启动前，我们将在应用程序中展示由用户设备控制的加密在何处终止，以及网关是否能看到内容（如果能看到，也仅限于机密环境内部）。

加密存储与机密处理需要各自独立的安全保障。运行在服务器上的模型需要受保护计算环境中的可读内容才能完成任务；仅对文件副本进行加密并不能保护这一阶段。[^apple-pcc] 应用程序仅开放为当前工作所选定的数据范围，而不会传递整个私密容器的密钥。会话说明会指明内容在何处对计算可见、什么机制限制了运营方的查看权限，以及在返回结果后数据会如何处理。

提议的会话流程如下：

1. 应用程序下载经批准发布版本的说明，并检查远程证明（即对运行环境特定属性的密码学证明）。
2. 检查硬件、保护状态和软件度量值是否符合公开策略。数据接收方的密钥必须与该证明绑定。
3. 检查通过后，与经批准的环境建立加密连接。若存在不一致，则停止发送数据；切换到其他方案需要用户做出知情选择。
4. 环境在网络与工具访问受限的情况下处理请求，返回结果，并按照公布的策略删除工作数据。
5. 仅在用户选择的范围内保存对话或记忆。

远程证明有助于确认启动了什么程序，但它本身并不能证明这段代码是安全的。为此还需要代码审查、从源代码进行软件的可复现构建（见第 2.3 节）、经批准版本的登记册以及独立核验的可能性。Apple 私有云计算（Private Cloud Compute）架构是我们如何将安全保护与软件发布透明度结合起来的参考，但它并非对我们项目的认证。[^apple-pcc]

我们希望妥善保护发布版本，使信任不依赖于单个人或仅依赖于基金会本身：

- 每个发布版本都应能从源代码进行可复现构建，并由基金会以外的至少两个独立方重新构建并公开确认指纹一致；在找到独立确认方之前，我们将该版本标注为“未经第三方确认”；
- 经批准发布版本的指纹记入仅可追加的公开登记册，其后续状态由独立见证人予以确认；
- 新版本需经多人（包括至少一名理事会以外的人员）批准后方可部署到服务器上；
- 处理数据所需的密钥仅发放给通过远程证明的环境。

我们针对带有签名、可核验发布版本、具备防回滚至有缺陷版本机制以及安全密钥存储的安装版应用程序来设计完整保护方案，因为在浏览器中，核验服务器的代码每次都由运营方提供。浏览器版本会清晰说明其较低的保护级别。可复现构建使人们能够将发布版本与源代码进行对比，但对代码本身及配置的评估仍需依靠代码审查、安全审计和漏洞悬赏，且每一起安全事件都会记入公开登记册。

为了减少用户地址的暴露，可以探索基于盲化 HTTP（Oblivious HTTP）的中继机制，它在特定的信任模型下将关于发送者的信息与关于请求内容的信息分离开来。[^ohttp] 中继节点串通、流量关联以及具体实现细节仍需评估，因此我们不会将单纯使用该协议描述为完全匿名。

加密和机密计算并不会隐藏返回响应的数据包长度或节奏。2024 至 2025 年的研究表明，网络观察者可以从这些特征中还原出对话的主题，有时甚至能还原出内容。[^weiss-keylogging][^whisper-leak] 因此，在机密模式下，我们希望以固定大小的帧和固定的节奏发送响应，不在不同用户之间共享提示词缓存（prompt cache），并关闭投机解码（speculative decoding）。这些措施会增加一些延迟和带宽消耗；我们将其计入成本核算中。

我们还通过限制系统各部分的操作能力来保护基础设施：设置资源限额、隔离任务，并默认阻止处理对话的节点发起外部网络连接。这一阻止规则将成为软件的一部分，其指纹体现在远程证明中：一旦修改规则就会改变指纹，应用程序随之拒绝连接。我们将服务商的网络规则视为第二层防线，而非保证。允许执行的外部操作通过独立的工具层进行，其权限由用户设定。在部署之前，我们将检验这些边界的有效性、安全事件的检测方式以及所需的最小元数据范围。目标是在保持对话内容机密性的同时确保共享资源的安全。

当用户接入包含他人消息的数据源（例如电子邮箱）时，我们会格外审慎。他人的消息中可能包含试图诱导模型泄露私密记忆的隐藏指令。因此，我们将外部内容与用户的指令隔离开来：在整理这些内容时，未经人工确认，助手不得擅自发送消息、打开网址或修改个人准则。

关于 Suveria 的运行情况，我们所知道的一切，任何人都可以知道。在服务启动的同时，我们将公布所收集的关于服务运行情况的所有数据类型清单（注明目的和保留期限），并以汇总形式公开数据本身：词元（token）消耗量、使用的模型、机器负载、队列等待时间、故障情况以及成本。每个人在我们查看这些数据的同一个地方都能看到它们。在发布汇总表之前，我们会检查是否可能从中识别出具体个人的行为：设定最小群组规模、发布延迟以及隐去的数据项。我们不收集清单以外的数据；一旦发现例外，我们将把它视为严重安全事件并公开说明。

## 4. 在不查看私密内容的前提下限制滥用

我们也将对尊严的保护延伸到可能受我们工具使用后果影响的人们。我们希望在不阅读私密对话的前提下防范滥用：通过助手自身遵循的原则、工具与网络连接权限的边界、资源限额以及防范批量注册账户的保护机制。我们不设置针对私密内容的隐藏访问通道，因为那会削弱对所有人的保护。

账户将可以通过几种方式注册，从完全私密的方式（在自有设备上生成密钥，无需电子邮箱地址）到便捷的方式（通过外部服务商登录）。对于每种方式，我们都会在用户选择前展示：除基金会外还有谁会知晓账户的创建、能看到哪些数据，以及如果该外部服务商消失会发生什么。账户的注册方式不影响参与者的权利；Omniforum 中的投票权是附加到账户上的独立凭证。

我们将隐私保护与限制滥用分别进行评估。我们将 Suveria 设计为使基金会不持有可以交出的关于特定个人的数据：内容使用用户的密钥加密，关于服务运行的数据仅在第 3 章所述的公开范围内收集，而个人数据则限制在法律对支付和会计所要求的最低限度内（我们同样会公布其范围）。如果有人向我们索要特定个人的数据，我们希望能够诚实地回答：除了这一公开说明的最低限度数据之外，我们一无所有。对于每一项防范滥用的安全保障，我们都将说明它需要哪些数据、我们保存多久、它对诚实的参与者有何影响，以及如何对错误的封禁提出申诉。

我们还将说明如何接收自认为受到侵害之人的举报，以及在不访问对话内容的前提下我们能采取哪些措施：例如限制工具权限或账户资源、在我们保存的范围内核查结算数据与元数据，或者向举报人提供寻求帮助的途径信息。此类服务运营方的法律义务需要在启动前进行专门分析。

这些安全保障是我们的目标和有待测试的方案，没有任何一项能检测出所有滥用行为。对于每一项措施，我们都会指明它应对哪些威胁、无法检测什么，以及在运营方不查看私密对话的前提下可以核验什么。评估结果将决定开放特定功能的条件。

当对话涉及生命或健康受到威胁的情况时，助手应提供可用的求助信息（例如紧急求助电话），且不向私密环境之外发送任何内容。

### 4.1. 公开的助手指令与共享指令库

助手的行为表现还取决于其主指令和工作方式：它如何将任务拆解为步骤、如何使用记忆以及如何检查回答。在 Suveria 中，每个人都应当始终能够阅读自己助手的完整指令。共享基础设施将仅提供通过基准测试公开试验的模型和设置；在这一最低标准之上，由用户自行选择工作风格，从平静地整理思绪，到由助手指出推理漏洞的严格探讨。我们希望维护一个经过验证的开放指令库，由参与者在 Omniforum 中不断改进并在基准测试中进行检验。

## 5. 多显卡计算

第 6 章中的模型无法装入单张显卡，因此还必须检查显卡之间连接的安全性：PCIe 总线连接处理器与显卡，而 NVLink 和 NVSwitch 则连接各个显卡。

当模型使用多张显卡时，数据也会在显卡之间流动，因此既要检查显卡本身的保护，也要检查显卡间连接的保护。仅凭显卡型号不足以订购机密服务：必须确认相应的整机、处理器、连接拓扑、固件、驱动程序和运行时软件，然后核验它们的协同工作情况。[^nvidia-platformy]

在 PPCIe v2 文档所描述的 Hopper Protected PCIe 模式中，NVLink 和 NVSwitch 网络属于系统的受信任部分，因此 PCIe 加密并不意味着对显卡之间的每一条连接都进行了加密。[^nvidia-ppcie-v2] NVIDIA R595 文档为 Blackwell 显卡描述了多显卡机密计算模式，支持对 NVLink 连接进行加密，并在单个机密虚拟机中支持最多八张显卡。[^nvidia-blackwell] 这是核验配置的依据，而非证明每一次租用 B200 显卡都包含这一功能。不同发布版本具有不同的兼容性矩阵，因此我们不会随意拼凑不同版本的组件来构成配置。

向服务商询价和核实的事项包括：

- 具体的保护模式以及自主进行远程证明的可能性；
- 所需资源的独占性及所在地区；
- 管理员访问权限以及对硬件的物理接触；
- 数据保留策略；
- 交付时间与全部成本。

只有在用我们自己的应用程序完成试验之后，我们才会对报价进行比较。商业宣传上的“安全（secure）”标签不能代替上述信息。

## 6. 模型、记忆与工具

该项目的基础是可以自行运行的开放模型。Suveria 旨在面向全世界的人们，支持他们各自的语言，因此在选择模型时，我们会综合考虑多语言质量、对意图的理解、可靠性、许可协议、成本以及在所需保护架构下运行的可能性。当出现需要时，除了通用模型之外，我们还可以运行在特定语言上表现更好的模型。开放权重使部分应用成为可能，但并不决定数据以及模型构建全过程是否开放。[^osi]

第一个候选模型是 DeepSeek-V4.1-Flash，采用 MIT 许可协议，该协议也允许将其用于提供服务。[^deepseek] 它规模庞大但运行经济：开发商公布其主体部分拥有 5,520 亿参数（即在训练过程中确定的数值），并带有 1,960 亿参数的附加 Engram 记忆，而在生成每一个后续词时仅有 80 亿至 160 亿参数参与工作，因此响应速度快且成本低（核算见第 8 章）。不过，所有参数都必须装入显卡内存中，因此至少需要四张现代显卡。该模型的参数已经以节省空间的形式存储，每个数值使用较少的位数；这种存储方式称为量化（quantization），它能减少所需的内存，但可能会降低质量，因此我们会在自己的任务上对每个版本进行检验。我们也会将它与较小的模型进行对比：只有当更大的模型在对人们重要的任务上表现明显更好时，我们才会选择它。

第二个候选模型是 Moonshot AI 公司于 2026 年 10 月 23 日发布的 Kimi K3.1 Pro。开发商将其描述为 Kimi K3 的进一步训练版本，拥有约 3 万亿参数和高达 100 万词元的上下文窗口，并预告将在 2026 年 11 月 4 日前公布完整权重；许可协议尚未公布。[^kimi-k31] 我们用于对比的详细数据来自其前代模型的模型卡：Kimi K3 拥有 2.8 万亿参数，处理每个词元时激活 1,040 亿参数，采用未经开放源代码促进会（Open Source Initiative）批准的自有许可协议。[^kimi-k3] 在 2026 年 10 月 28 日版本的 Artificial Analysis 指数中，Kimi K3.1 Pro 获得 46 分，而 DeepSeek-V4.1-Flash 为 32 分，但前者的价格贵数倍且速度较慢。[^aa] Kimi K3 的权重文件约占 1.56 TB，且运行还需要额外的上下文和计算内存，因此我们不会仅凭显卡内存总和来断定模型能否运行。SGLang 引擎的配置方案描述了在八张 B300 显卡上经过验证的 Kimi K3 配置；但这还不是对 Kimi K3.1 或机密配置的测试。[^spheron-kimi][^sglang-k3] 在权重公布后，我们将检查其大小和格式、许可协议、引擎配置方案、特定硬件配置下的承载能力以及在机密 API 中的可用性。我们将注明日期把结果作为本文档的首次更新补充进来，即便届时权重尚未公布或许可条款被证明不适用也是如此。

更换或下线模型都会提前公告。对话历史留在用户手中：用户可以选择后续替代模型、导出数据或结束使用。对话中会清晰标示模型切换的时间点，而将私密上下文迁移至新模型需要由用户自己决定。

我们将随每一个发布版本完整公布助手回答所遵循的原则。模型本身也带有其创建者的选择（例如它回避的话题）；我们会在基准测试中对这些进行检验，并在选择模型时加以说明。

过往对话的记忆功能应当经用户同意才运行，并可由用户以清晰可见的方式进行编辑。我们区分原始发言、模型生成的摘要以及经用户确认的信息。每一条记录都可以删除或修改、查看其来源，并指定允许在哪些任务中使用它。助手明确区分它自己的建议与人有意识地认作自己立场的观点。

执行操作需要针对特定目的和特定期限授予的权限。网页或文档的内容只是供分析的材料，而非修改这些权限的指令。外部操作、支出、发布和删除都需要相称的确认步骤，并提供可供用户查阅的操作日志。

### 6.1. 思想望远镜与个人准则

思想望远镜（*Telescopium Mentis*）的构想源于奥弗顿之窗（Overton window），后者是指在特定时期内社会上被认为可接受的观念范围。对于单个人而言，则是其在特定时期内认为对自己而言可接受的想法范围。思想望远镜旨在成为属于单个人且仅属于其本人的这样一扇窗户：让人能够看到自己在不同时刻记录下的思考与价值观，以及它们如何随时间而变化。

思想望远镜旨在帮助人们回顾自己的推理过程：我当时知道什么、想要什么，以及为什么改变了主意。它还可以帮助将用户选定的事件、关于世界的信息以及自身行动，与用户的个人准则（即用户自己写下的、认作自己信奉的原则与价值观集合）进行对照。这种对比针对的是用户自己描述或指定的情境；由用户决定材料和范围。模型会展示可能的关联，并附上所援引原则的来源和事件描述，同时将已确认的信息与解读及不确定性区分开来。用户可以修改或拒绝模型提出的解读，而且我们在评估过往立场时会充分考虑当时的时间背景和具体处境。

所注意到的张力可能涉及原则本身、价值冲突、外部环境条件、人的局限性，或是模型不准确的解读。一个人可以坚持理想并接纳当前的不一致，可以细化某种信念，可以考虑改变行动或环境，也可以让问题保持开放。个人准则旨在帮助人们理解自己的选择：我们不建立道德评分，也不设立关于言行一致程度的公开排名。私密思考保持私密，记录下它并不意味着公开发布或投票表决。

我们将审慎起步。在第一个版本中，思想望远镜仅针对用户自己指定的单一情境工作（例如用户想要回顾的某项决定），而不会实时追踪其日常生活。用户自己决定使用它的频率、向它开放哪些笔记和回忆以及何时将其删除。在这一试验中，我们将检验所展示的关联是否易于理解、是否给人带来对自己选择的掌控感，以及该工具是否会造成需要不断自我审视的心理压力。如果有人在思考之后接纳自己并不总是按自己的原则行事，或者让问题保持开放，我们也将其视为良好的结果：工具旨在帮助人们理解自己，而非强迫做出裁决。

### 6.2. 开放格式、可移植性与工具协作

我们希望将 Suveria 作为数字公共产品来发展，具备开源代码和文档；我们的参照点是数字公共产品联盟（Digital Public Goods Alliance）的标准。[^dpga] 数据迁移格式具有公开的说明、版本号以及版本更新时的信息保留规则。我们优先使用现有的开放标准，并对所需的扩展进行文档记录。

导出内容包括选定的原始材料、历史记录、来源和关联，以及对用户话语、模型整理内容和经作者确认之含义的区分，同时还包括个人准则的结构。下载的数据包在经授权人员解密后，无需活跃的 Suveria 账户即可读取。

API（即有文档说明的程序间通信方式）旨在使人们能够在其他工具（包括自行构建的工具）中处理这些材料。用户自行选择数据范围和允许执行的操作，并可撤销外部集成的权限。撤销权限会停止后续访问；而此前已传递副本的去向则同样取决于接收方。

私密空间也可以服务于共同项目的工作。用户选择希望提交验收或公开发布的材料，工具则协助在本地从中剔除访问密钥、密码、个人数据以及关于未修补漏洞的信息。使用自费购买的资源无需公开工作过程中的对话。对于由基金会共享资源资助的任务，公开记录的范围、笔名的选择以及材料的准备工作，均由[基金会开放工作坊规则](whitepaper-zasady-fundacji.md)（第 11.1 节）预先规定。人们还可以从 Suveria 的思考中有意识地提炼出一个问题或论据，并将其发布到 Omniforum 中；这一在宣言中被称为 Ignis 仪式（*Caerimonia Ignis*）的步骤，始终需要做出一项独立的决定。

## 7. 规模：从 30 人到全人类

单凭账户数量并不能决定所需的基础设施。起决定作用的是活跃度、问题与回答的长度、并发会话数量、可接受的等待时间以及工具成本。下面的示例是用于试验的负载模型，而非需求预测或商业报价。

假设前提：N 个人中的每一个人每天都处于活跃状态，每天发起 20 次请求，平均每次请求包含 1,500 个输入词元和 600 个输出词元，每个月按 30 天计算。词元（token）是模型处理的文本单位，其长度因语言而异。在实际负载中，还需要加上更长的上下文、文档处理、推理词元以及辅助调用。

| 活跃人数 | 每月请求数 | 每月输入量 | 每月输出量 | 全天平均生成速率 | 全球情景下的小时峰值（约为平均值的 1.51 倍） |
| --- | ---: | ---: | ---: | ---: | ---: |
| 30 | 18,000 | 2,700 万词元 | 1,080 万词元 | 4.2 词元/秒 | 6.3 词元/秒 |
| 100 | 60,000 | 9,000 万 | 3,600 万 | 13.9 词元/秒 | 20.9 词元/秒 |
| 1,000 | 600,000 | 9 亿 | 3.6 亿 | 138.9 词元/秒 | 209 词元/秒 |
| 10 万 | 6,000 万 | 900 亿 | 360 亿 | 13,889 词元/秒 | 20,921 词元/秒 |
| 100 万 | 6 亿 | 9,000 亿 | 3,600 亿 | 138,889 词元/秒 | 209,208 词元/秒 |
| 10 亿 | 6,000 亿 | 900 万亿 | 360 万亿 | 1.389 亿词元/秒 | 2.092 亿词元/秒 |
| 100 亿 | 6 万亿 | 9,000 万亿 | 3,600 万亿 | 13.9 亿词元/秒 | 20.9 亿词元/秒 |

我们将 Suveria 规划为一项面向全球、支持多种语言的服务。我们尚不知道参与者将如何分布在各个时区，因此我们对比两种情景，日后由实测数据加以验证。在全球情景中，我们按照国际电信联盟（ITU）2025 年的互联网用户数量比例来设定各地区的份额，并假设每个时区具有相同的日间活跃曲线：晚间出现峰值，夜间归于平静。[^itu] 不同时区在一定程度上相互填补波谷，因此小时峰值约为平均值的 1.51 倍，最低流量约为平均值的 0.49 倍。在集中于单一地区（例如欧洲）的情景中，峰值约为平均值的 1.87 倍，而夜间几乎为零。这种分布即便在大规模下也可能出现；它意味着自有机器的利用率较低，需要更频繁地调用机密 API，或者在峰值时段等待更长时间。这两个数值均源于我们的假设，而非对未来参与者的实际观察。一小时内的短暂波峰将通过显示等待时间的短队列来平滑处理，而超出自有机器承载能力的流量则可由机密 API 接管；等待时间（包括其第 95 和第 99 百分位数）将在试点中连同队列上限及队列耗尽后的行为表现一并测量。负载试验还将涵盖新用户突然涌入的情况（例如达到平均流量的五倍）。表中列出的是总输出吞吐量；它不能代替对单次对话延迟或输入处理成本的测量。测试应当还原会话分布、长上下文、故障和队列情况，而不是仅测试单次理想查询。

峰值乘数用于比较最繁忙的一小时与平均值。它来自将一天划分为 24 小时的日模型：我们将同一条日间活跃曲线在八个地区之间按时区平移，并根据假设的地区份额进行叠加。这是一个核算情景，并不计算单次查询的等待时间。

为了直观了解这一核算在全球规模下是什么概念，让我们做一个思想实验。如果 100 亿人中的每一个人都按照上述假设使用模式使用 Suveria，在峰值时段大约需要每秒生成 21 亿个输出词元。按照 DeepSeek-V4.1-Flash 的实测性能（每张 B200 显卡每秒约生成 930 个词元）计算，大约需要 225 万张显卡；若按每张显卡连同服务器功耗约 1.75 千瓦（这是我们的假设，未经实测）计算，大约需要 4 吉瓦（GW）的电力。对于 10 亿人而言，约为 22.5 万张显卡和 0.4 吉瓦电力；对于 100 万人，则约为 225 张显卡。作为对比，Epoch AI 在 2026 年初估计，全球已部署的用于数字智能的算力超过 1,500 万张 H100 显卡当量，电力需求超过 10 吉瓦。[^epoch] 这是一种简化：所假设的使用模式较为轻量，而高强度工作、更大的模型和图像处理所需的算力要多出许多倍，同时硬件和模型也在快速变化。但它展示了数量级：在这一范围内为地球上每一个人提供日常数字智能协助所需的电力，小于当今世界上已经投入运行的算力功耗。这只是一项简化核算，并非证明此类基础设施在现实中可被调用于这一目的。

## 8. 成本与注明日期的核算

固定包月预留的月度成本，在初步近似下可以写为：显卡数量 × 每卡时价格 × 付费小时数，再加上内存、磁盘、流量、安全防护、监控、运维、支付手续费和税费。需要仔细核实报价中已经包含了其中哪些项目。对于全天候运行而言，一个月有 672 至 744 小时；730 小时是常用的平均近似值。

在核算中，我们对比五种成本方案：本地模型、在租用硬件上运行的自有实例、在机密计算环境中运行的自有实例（其保护由服务商声明且有待核验）、外部服务商的机密 API 以及普通的外部 API。这些成本方案与第 2.3 节中的保护方案一一对应；租用无机密保护的机器仅作为价格参照点列出，而不作为 Suveria 的实际方案。我们暂不对本地模型定价，因为其成本取决于用户自己的设备。我们在相同的质量、可用性和保护范围内进行对比。盈亏平衡点是完整服务的全部成本除以实际使用量，而不是显卡成本除以注册账户数量。外部 API 便于测试用户需求，但其服务商有自己的数据访问规则，因此我们不会将机密运行的承诺延伸至外部 API。

### 8.1. 注明日期的核算：截至 2026 年 10 月 29 日的状态

宣言提出了一项假设：即使只有相对少量的常规参与者，共享基础设施也能在基于可验证安全保障保护隐私的同时，让每一美元获得比封闭服务更多的算力和数字智能。下面是按 2026 年 10 月 29 日价格进行的核算。假设前提：采用第 7 章的使用模式（每天 20 次请求，每次 600 个输出词元）和全球情景（小时峰值约为平均值的 1.51 倍），价格不含税，按每月 730 小时折算租用价格。单机承载人数是指该机器在小时峰值时段能够服务的参与者人数：每秒输出吞吐量 × 86,400 /（20 × 600 × 峰值乘数）。实际允许的人数还将取决于实测的响应等待时间。括号内给出的是集中在欧洲的情景（峰值乘数约为 1.87）。对于 DeepSeek-V4.1-Flash，我们采用服务商 Lambda 在四张 B200 显卡上的测量数据：在 64 个并发请求下，每秒约生成 3,714 个输出词元。[^lambda-v41] 该测量启用了投机解码，而我们在机密模式下不打算使用投机解码（第 3 章）。根据我们 9 月份的估算，关闭投机解码后的吞吐量可能会降低多达约 30%，从而使人均成本按相近比例上升。对于 H200 和 B300 显卡，目前尚无该模型的实测数据；我们假设每组运行单个模型副本的显卡组合（8 × H200，或 8 × B300 机器的一半）达到四张 B200 显卡的性能。这是一个乐观的假设：H200 是上一代硬件，机密模式可能会降低运行速度，而且 Lambda 的测量针对的是比我们的假设模式更长的请求。因此，我们还列出了吞吐量减半的审慎方案。

该模型的权重约占 511 GB，vLLM 引擎建议配置约 614 GB 的显卡内存。四张 H200 显卡（共 564 GB）内存不足，因此在 H200 上运行一个副本需要八张显卡。引擎开发商针对该配置的运行方案在 10 月 29 日仍处于核验阶段，而且在 H200 显卡中，显卡之间的连接（NVLink）没有像 B200 和 B300 那样进行硬件加密。

| 方案 | 机密性 | 月度成本 | 单机承载人数 | 人均纯算力成本 |
| --- | --- | ---: | ---: | ---: |
| DeepSeek API | 无，服务商可见内容 | 按使用量计费 | 不涉及单台机器；受服务商限额与可用性约束 | 0.35–0.70 USD |
| 搭载 DeepSeek-V4.1-Flash 的机密 API（Confidential AI、Tinfoil、Phala） | 由服务商声明，有待核验 | 按使用量计费 | 不涉及单台机器；受服务商限额与可用性约束 | 0.70–1.25 USD |
| Kimi K3.1 Pro API（Moonshot） | 无 | 按使用量计费 | 不涉及单台机器；受服务商限额与可用性约束 | 5.40 USD |
| 搭载 Kimi K3 的机密 API（Phala、NEAR AI） | 由服务商声明，有待核验 | 按使用量计费 | 不涉及单台机器；受服务商限额与可用性约束 | 8.10–8.91 USD |
| 租用机密机器 8 × H200（Phala），DeepSeek，单模型副本 | 处理器与显卡远程证明，有待核验 | 承诺租用 180 天为 23,506 USD，按需租用为 32,266 USD | 约 17,750（14,300），容量假设 | 1.32–1.82 USD（1.64–2.25） |
| 同上，审慎方案：吞吐量减半 | 处理器与显卡远程证明，有待核验 | 同上 | 约 8,900（7,150），容量假设 | 2.65–3.64 USD（3.29–4.51） |
| 租用机密机器 8 × B300（Phala），Kimi K3 | 处理器与显卡远程证明，有待核验 | 45,552–47,888 USD | 约 4,800–7,600（3,900–6,200），容量假设 | 约 6–10 USD（7.4–12.4） |
| 无已确认机密性的 4 × B200（Lambda），DeepSeek | 无已确认机密性 | 19,827 USD | 约 17,750（14,300） | 1.12 USD（1.38） |
| 无已确认机密性的 8 × B200（Lambda），DeepSeek，两个四卡副本 | 无已确认机密性 | 39,070 USD | 约 35,500（28,700），双副本性能假设 | 1.10 USD（1.36） |

这些数字的来源：API 价格取自 DeepSeek、Moonshot、Confidential AI、Tinfoil、Phala 和 NEAR AI 的价目表；[^deepseek-cennik][^cai][^tinfoil][^phala-api][^near] 机密机器价格取自 Phala 价目表；[^phala-gpu] Lambda 的 B200 租用价格在四卡实例中为每卡时 6.79 USD，在八卡实例中为每卡时 6.69 USD。[^lambda-cennik] Kimi 的承载能力取自第三方对八张 B300 显卡运行 Kimi K3 的测量结果，约为每秒生成 1,000–1,600 个输出词元。[^spheron-kimi] 承诺租用条件下的月度金额并不意味着按月分期付款：Phala 要求预先一次性支付整个周期的费用，且提前终止不予退款，因此租用 180 天的 8 × H200 机器在下单时需要支付 139,104 USD 现金，而租用 180 天的 8 × B300 机器则需要 269,568 USD。[^phala-gpu]

由此得出的结论：

- 对于所假设的使用模式，声明具备机密性的 API 价格约为每人每月 0.70–1.25 USD，从与普通 API 相近的成本到约为其 3.6 倍不等，具体取决于服务商和使用时段；报价最低的是 Confidential AI，这一报价同样需要我们进行核验。机密 API 无需运行自有机器即可提供弹性算力，但它也有自身的限额、排队和故障问题。针对峰值配置的 DeepSeek 租用机密机器，在全球情景下平均运行在约三分之二的容量水平，人均成本约为 1.32 USD，即与较贵的机密 API 大致相当，而高于最便宜的机密 API。在我们的小时级模型中，首个自有节点（溢出流量导向人均 1.25 USD 的机密 API）出现在我们所测算的约 2 万名活跃用户这一点上；这是基于所采纳假设得出的结果，而非精确阈值，且如果机密 API 价格更低，在这一规模下租用整机并不划算。
- 按小时租用完整机密机器目前尚无法为晚间峰值提供弹性：Phala 要求至少租用一天（8 × H200）或一个月（8 × B300），Confidential AI 对每小时 60 USD 的 8 × B300 要求至少租用三个月，而按秒计费（折合每小时 64.62 USD）提供 8 × H200 的 VoltageGPU，其公开的远程证明证据并未涵盖该配置及 NVSwitch 交换机。[^cai][^voltage] 此外，还需加上分配机器和加载权重所需的时间。
- 对于 Kimi 而言，核算结果取决于实测性能：机密 API 人均成本约为 8–9 USD，而满载运行的自有 8 × B300 机器在较高容量估算下人均约为 6 USD，在较低容量估算下约为 9.5 USD。只有当单台机器能够服务超过约 5,100–5,600 名使用该模型的活跃用户时，自建实例才比机密 API 更便宜；而在较低容量估算（约 4,800 人）下则无法做到。

购买自有服务器：2026 年 9 月，一台搭载八张 B300 显卡的完整 Supermicro 服务器售价约为 66.3 万 USD。[^supermicro] 我们对购买这样一台服务器的月度成本估算如下：

| 项目 | 月度金额 |
| --- | ---: |
| 服务器按五年折旧 | 约 1.1 万 USD |
| 服务器按四年折旧 | 约 1.38 万 USD |
| 机房托管（Colocation） | 约 1,900–3,000 USD |
| 网络、备件与维修（估算） | 约 1,500 USD |
| 合计 | 约 1.4 万–1.8 万 USD |

这样一台服务器可以容纳两个 DeepSeek 副本，在全球情景下可服务约 3.5 万人（在欧洲情景下约为 2.8 万人），人均成本约为 0.41–0.52 USD。在这些假设下，当活跃用户达到约 1.2 万–1.7 万人时，购买服务器比人均 1.11–1.25 USD 的机密 API 更便宜；而要低于所声明的最便宜机密 API（0.70 USD），则需要约 2.1 万–2.6 万名活跃用户。该核算尚未包含维护和测量这一配置的全部成本；此外，购买服务器需要预先支付现金、安排人员全天候值守以及连续多年的稳定需求，而且届时基金会自身将拥有对硬件的物理接触权限（第 2 章）。以上是我们的估算，而非商业报价。

- 多显卡机密机器目前已在美国公开提供。在欧盟境内，我们只找到了配备单张 H100 显卡的机密机器，[^azure-ncc] 无法装下完整的 DeepSeek 或 Kimi。Privatemode（德国 Edgeless Systems 公司）也提供服务器位于欧盟境内的机密 API，但可选模型较少。[^privatemode] 这同样是服务商的声明，有待核验。
- 一家独立核查机密 API 的目录网站在 2026 年 10 月 29 日 14:00（UTC）的观测中，未能确认所核查的 95 条路由中有任何一条完成了端到端的完整验证；最常缺失的是运行程序的身份证明、代码来源证明以及请求与具体机器的绑定证明。[^katalog] 这是基于现有公开证据得出的结果，并非证明这些服务泄露了内容。在我们完成自主核验之前，我们将这些服务的机密性视为服务商的声明。
- 上述核算仅涵盖模型计算。用于运行私密环境（网关、记忆、文件）的一至两台配备 4 个虚拟处理器和 8 GB 内存的机密机器，在 Phala 上的费用约为每台每月 168 USD，磁盘单独计费，每 100 GB 约为 10 USD。[^phala-cvm] 这一规格是否够用，我们将在试点中检验。按每月 170–340 USD 计算，30 人时人均约为 6–11 USD，1,000 人时则为几十美分。该核算不包含人力工作、安全审查、支付手续费以及故障储备金。
- 热门订阅套餐的价格约为每月 20 USD，而 DeepSeek 聊天是免费的。[^abonamenty] 每月 100–200 USD 的套餐在高强度智能体（agent）工作下，可提供按 API 目录价格折算价值数千美元的用量；[^semianalysis] 我们不在价格上与这类套餐竞争。我们提议的是按实际使用量结算，并提供可验证的隐私。

截至 2026 年 10 月 29 日，宣言中假设的状态：上述核算使我们向该假设迈近了一步，但尚未证实它。带有声明机密性和远程证明的处理服务已出现在公开价目表中，且在所假设的使用模式下成本约为每人每月 0.70–1.25 USD，因此一小群人可以按成本从这种方案起步；而在我们的假设下，当活跃用户达到一万多至数万人时，自有基础设施可能会变得更便宜。最终结论将取决于我们在第 9 章试验中检验的三件事：这些服务的机密性能否通过独立核验、可用模型的质量是否足以胜任人们来到 Suveria 要完成的任务，以及真实的流量分布形态究竟如何。每当价格发生重大变化以及每次试验结束后，我们都会更新这一核算，并保留先前的版本。

### 8.2. 基础设施演进步骤与决策卡片

我们分步骤发展基础设施，每一个步骤本身都能为参与者带来独立的价值，而无必须进入下一步的义务：首先是机密 API 和运行在机密机器中的私密环境（如果在启动前筹集到足够资金，我们也可以直接从下一步开始），然后是租用我们自己的机密机器，接着是购买硬件并将其托管在外部机房，而在更遥远的未来，如果证明确有优势，则是自建机房大楼。迈向下一个步骤需要有实测数据作为依据：服务的全部成本、真实流量、峰值响应时间、维持安全保障和处理故障的能力，而在购买硬件的情况下，还需考虑维修、硬件更换以及接替责任之人员的资金保障。当所需的模型在机密 API 中不可用，或者我们希望对运行环境拥有完全控制权时，租用自有机器同样具有意义。

每一次过渡我们都用一张决策卡片来说明：我们能获得什么、全部成本、风险、启动与撤回的条件、数据与密钥的迁移方式，以及是否符合[储备金与启动后续支柱的原则](whitepaper-zasady-fundacji.md)（基金会运作原则白皮书第 8 章）。只有当每条路径都具备经认可的保护级别时，我们才允许在流量峰值期间将自有机器与机密 API 结合使用；切换到保护较弱的方案需要用户做出单独的知情决定。我们计划先在搭载较小模型的单张机密显卡上进行首次测量，然后再在能够容纳完整模型的整机上进行测量。

我们让算力与流量相匹配，而不是按照最高峰值来配置所有硬件。我们正在设计一个显示等待时间的短队列；其真实等待时间、队列上限以及耗尽后的行为表现将在试点中测量。针对较长峰值时段的弹性算力，首先由机密 API 提供，前提是它保持经认可的保护级别、征得用户同意且在用户支出上限之内；当不存在这样的路径时，我们会诚实地告知需要等待或服务暂不可用。按小时租用仅对机密 API 中没有或在其中明显更昂贵的模型才有意义，且前提是服务商确实支持快速启动和释放机密机器。自有机器在平峰时段的闲置算力，我们希望用于基金会的任务（例如为 Omniforum 生成整理报告）；其按 API 价格折算的价值并不构成预算收入，因此这类任务有其各自独立的目标和预算。在首次试点之后，我们希望测试两种模式：用于日常与助手协作的“对话”模式，以及用于可以等待的任务（例如翻译文档）的“不急”模式。在“不急”模式下，我们会显示预计开始时间窗口、成本估算、最高预算、支持按已完成工作量结算的取消选项，以及相同的保护状态信息。只有当较低的价格源于公开的成本分摊方法、且未重复计算固定成本时，这类工作才可能实现降价。

### 8.3. 在不接触对话内容的前提下测量使用量

为了按实际使用量进行结算，我们测量完成任务所需的资源，并清晰说明在固定成本中所分担的份额。结算计量器仅限于核对成本所必需的数据，开具账单不需要读取对话内容。在试验中，我们将检验测量的准确性、用户核对账单的方式、所披露元数据的范围，以及达到支出上限后服务的行为表现。关于账单、向上取整、预付款和退款的规则，详见[基金会运作原则白皮书](whitepaper-zasady-fundacji.md)。

参与者设定的支出上限应当作为一道硬性边界运作，而不是事后提醒。部分服务商在请求完成后才对进行中的请求进行结算，因此其限额可能会被超出；例如 Tinfoil 在其文档中就是这样说明的。[^tinfoil] 因此，我们设计了额度预留机制：在发送请求之前，Suveria 网关会综合考虑其他正在进行中的请求，从余额中预先冻结该请求的最大允许成本，并限制并发请求数量及回答长度。请求完成后，我们按实际成本结算，并释放未使用的预留额度。这是一项有待构建和检验的设计要求，而非目前已投入运行的功能。

## 9. 验收试验与结果日志

在我们将任何发布版本称为“机密”之前，我们将至少记录以下事项：

- 正确的远程证明；
- 在代码或密钥被替换后拒绝发送数据；
- 会话隔离；
- 对管理员权限的限制；
- 日志、内存转储（dump）和遥测数据中不包含任何对话内容；
- 缓存处理机制；
- 数据删除与恢复；
- 故障后的行为表现；
- 工具权限边界；
- 负载下的成本。

试验结果将包含配置版本号以及我们尝试攻破保护的具体测试情景。

我们希望 Suveria 的每一个发布版本都能通过至少一家独立机密服务核验方的全部证据关卡：硬件与安全状态、证据的新鲜度、连接密钥与受保护环境的绑定、运行程序的身份、代码来源以及请求与特定机器的绑定，同时保持服务可用性。我们将公布带有观测日期、标准版本号以及针对具体发布版本、模型和请求路由之证据的结果，并随结果一并说明核验方的关联背景。我们不承诺在任何排行榜上占据名次。通过核验意味着在特定时间点达到了所描述的控制水平（附带公开的局限性），它不能代替安全审计或我们自己的试验。

当我们启动自有的机密方案时，我们将把 Suveria 提交给每一个核查模型机密运行情况的独立目录，并向其开放用于检查远程证明的端点；第一个例子是 confidentialinference.net（截至 2026 年 10 月 31 日的状态）。[^confidentialinference] 我们不承诺一定被收录，因为那取决于目录方自己的决定；我们承诺的是提交申请、回答其问题，并注明日期公布结果（包括不理想的结果）。目录仅能检查从外部可见的内容（通常是远程证明和连接通道），它不能代替对代码、配置的审计或对侧信道攻击的评估。

存储与可移植性试验包括：

- 在另一台授权设备上恢复加密副本，以及在没有正确密钥时拒绝读取；
- 模拟丢失一台设备，通过所选方法恢复访问权限，并清晰展示丢失所有密钥的后果；
- 同步并行修改，而不会悄然覆盖其中一个版本；
- 在没有原运营方账户的情况下，使用独立工具读取导出包，并对比原始材料、历史记录、来源和关联；
- 限制外部集成的范围，并在撤销权限后有效停止其后续访问。

实施阶段：

1. 在非敏感材料上进行可用性测试；
2. 保护机制的技术试验；
3. 条款明确的有限试点；
4. 逐步扩大规模。

在试点开始前，我们将设定并公布各项阈值：响应首词出现时间、实测使用模式下的人均计算成本，以及根据[材料与基准测试白皮书](whitepaper-materialy-i-benchmark.md)评估的模型质量。只有当三项指标全部达标时，我们才认为试点成功。

更换模型、固件或账户登录方式可能需要重新进行资格核验，且软件更新不得悄然削弱已商定的保护水平。每一个发布版本都有一张公开卡片，包含：

- 运行范围；
- 试验所得证据；
- 已知局限性；
- 责任人；
- 成本；
- 报告问题的途径；
- 下线与撤回计划。

发现漏洞后，我们将限制暴露面、通知受影响人员并提供可验证的修复补丁。

我们希望公开开展这些试验。我们邀请从事安全、密码学、基础设施和应用程序工作的人士（包括向公众普及技术的创作者），与我们共同设计测试方案，并在使用虚构数据的独立测试账户上尝试攻破保护机制。我们也同样邀请批评者参与。我们不花钱购买宣传推广，且每一项合作都会按照[利益登记册](whitepaper-zasady-fundacji.md)（基金会运作原则白皮书第 7 章）的规定进行标注。所有结果（包括失败的结果）都会记入结果日志。如果你希望参与其中，请以“[Dołącz] Próby Suverii”为主题写信至 [salve@novusignis.org](mailto:salve@novusignis.org?subject=%5BDo%C5%82%C4%85cz%5D%20Pr%C3%B3by%20Suverii)。

最重要的一项试验：由在机密环境之外拥有运营方权限（涵盖网关、磁盘、网络、日志）的团队，尝试读取藏有秘密字符串的测试账户对话。如果任何人（包括我们自己在内）成功提取出这些字符串，即判定试验失败。

我们将向几位协助配置 Suveria 的人员开放首个发布版本。如果该版本使用的是机密 API，其保护卡片（第 2.3 节）将直白地写明：模型运行在外部服务商处、远程证明由服务商声明且我们尚未核验，以及元数据未受保护。由于首批人员也协助运维该服务，我们将公布的第一个结果就是上述最重要的那项试验，并说明运营方成功做到了什么。

**结果日志。**截至 2026 年 10 月 29 日的状态：我们尚未开展上述任何一项试验，尚未租用显卡，也尚未在 Suveria 中启动模型。我们将在此处逐一补充后续结果，注明日期、配置、测试情景和结论，即便试验失败也如实记录。

尚待解决的事项包括：

- 首个选定模型及可接受的质量水平；
- 对机密 API 和机密机器的独立核验，以及它们在具有严格个人数据保护的司法管辖区（如实行《通用数据保护条例》（GDPR）的欧盟）内的可用性；
- 响应时间；
- 密钥与记忆规则；
- 结算数据的最小范围；
- 运营方针对滥用举报的法律义务；
- 维持运行连续性的资助方式。

[基金会运作原则白皮书](whitepaper-zasady-fundacji.md)阐述了预算、账单与问责机制，而[材料与基准测试白皮书](whitepaper-materialy-i-benchmark.md)则阐述了对模型行为的评估。

Novus Ignis 基金会，波兹南，KRS 0001269575。网站与宣言：novusignis.org。意见反馈：salve@novusignis.org。

## 注释

[^teefail]: [TEE.fail: Breaking Trusted Execution Environments via DDR5 Memory Bus Interposition](https://tee.fail/)。佐治亚理工学院（Georgia Tech）、普渡大学（Purdue University）与 Synkhronix 于 2025 年 10 月 28 日发布的研究：通过物理接入 DDR5 内存总线提取 Intel TDX、SGX 以及 AMD SEV-SNP 的证明密钥，并对 NVIDIA 机密计算产生影响。该攻击需要物理接触服务器；Intel 和 AMD 认为此类攻击超出了其保护范围。相关报道：[The Hacker News](https://thehackernews.com/2025/10/new-teefail-side-channel-attack.html)。访问日期：2026 年 10 月 28 日。

[^local-first]: [Kleppmann, Wiggins, van Hardenberg 及 McGranaghan (2019): Local-first software: You own your data, in spite of the cloud](https://www.inkandswitch.com/essay/local-first/)。研究专题。阐述了将主副本保存在用户设备上以及服务器（包括加密副本）起辅助作用的原则。

[^apple-pcc]: [Apple: Private Cloud Compute](https://security.apple.com/blog/private-cloud-compute/)。架构说明。将机密性与软件控制及系统透明度结合起来的实例。

[^ohttp]: [RFC 9458: Oblivious HTTP](https://www.rfc-editor.org/rfc/rfc9458.html)。技术规范。在特定信任模型下分离关于发送者的信息与关于请求的信息；并非完全匿名。

[^weiss-keylogging]: [Weiss, Ayzenshteyn, Amit 及 Mirsky (2024): What Was Your Prompt? A Remote Keylogging Attack on AI Assistants](https://www.usenix.org/conference/usenixsecurity24/presentation/weiss)。学术论文（USENIX Security 2024；预印本 arXiv 2403.09751）。网络观察者可通过加密响应流中数据包的长度还原对话主题，并部分还原助手回答的内容。访问日期：2026 年 10 月 30 日。

[^whisper-leak]: [McDonald 及 Bar Or (2025): Whisper Leak: a side-channel attack on Large Language Models](https://arxiv.org/abs/2511.03675) 以及 [Microsoft 的说明（2025 年 11 月 7 日）](https://www.microsoft.com/en-us/security/blog/2025/11/07/whisper-leak-a-novel-side-channel-cyberattack-on-remote-language-models/)。研究论文与厂商说明。从加密响应流中数据包的大小和节奏可以识别对话主题；部分服务商已为此增加了数据包随机填充机制。访问日期：2026 年 10 月 30 日。

[^nvidia-platformy]: [NVIDIA：受支持的机密容器平台](https://docs.nvidia.com/datacenter/cloud-native/confidential-containers/latest/supported-platforms.html)。厂商文档。对处理器、显卡和软件整体配置的要求。

[^nvidia-ppcie-v2]: [NVIDIA: Protected PCIe v2, Introduction](https://docs.nvidia.com/attestation/attestation-client-tools-ppcie-sdk-cpp/latest/ppcie_introduction.html)。厂商文档。在 PPCIe v2 模式下，NVLink 和 NVSwitch 网络属于系统的受信任部分；PCIe 保护并不意味着对显卡之间的全部流量进行加密。

[^nvidia-blackwell]: [NVIDIA: Trusted Computing Solutions 595](https://docs.nvidia.com/595trd1-trusted-computing-solutions-release-notes.pdf)。厂商文档。Blackwell 显卡上的多显卡机密计算模式（包括连接保护）；需要兼容的配置。

[^osi]: [OSI: Open Source AI Definition](https://opensource.org/ai/open-source-ai-definition)。定义标准。开放权重并不决定是否满足开放系统的全部定义。

[^deepseek]: [DeepSeek-V4.1-Flash：模型卡](https://huggingface.co/deepseek-ai/DeepSeek-V4.1-Flash)。厂商文档。模型的架构、MIT 许可协议及声明的能力；并非对 Suveria 性能的实测。

[^dpga]: [Digital Public Goods Alliance: standard](https://www.digitalpublicgoods.net/standard)。标准。评估数字公共产品的标准；作为设计方向并不代表已获得 DPGA 的正式认可。

[^lambda-cennik]: [Lambda：实例价目表](https://lambda.ai/pricing)。服务商价目表。NVIDIA B200 SXM6 180 GB：四卡实例中每卡时 6.79 USD，八卡实例中每卡时 6.69 USD；H100 SXM 80 GB：3.99 USD；均为按需价格、不含税、无机密模式。访问日期：2026 年 10 月 29 日。

[^lambda-v41]: [Lambda：DeepSeek-V4.1-Flash 性能测量结果](https://lambda.ai/inference-models/deepseek-ai/deepseek-v4.1-flash)。服务商测量数据。4 × B200，vLLM，张量并行度 4，启用投机解码，每次请求约 8,192 个输入词元和 1,024 个输出词元；在 64 个并发请求下，总输出吞吐量为每秒 3,713.9 个词元，单次对话平均每秒 66.8 个词元。未注明测量日期。访问日期：2026 年 10 月 28 日。

[^azure-ncc]: [Azure：NCC40ads H100 v5 机器价格](https://prices.azure.com/api/retail/prices?$filter=armSkuName%20eq%20%27Standard_NCC40ads_H100_v5%27%20and%20priceType%20eq%20%27Consumption%27)以及[系列说明](https://learn.microsoft.com/en-us/azure/virtual-machines/sizes/gpu-accelerated/nccadsh100v5-series)。服务商价目表。配备单张 H100 NVL 94 GB 显卡的机密机器；每小时 6.98 USD（美国东部 2）至 8.90 USD（西欧），Linux，按量计费。访问日期：2026 年 10 月 28 日。

[^deepseek-cennik]: [DeepSeek：API 价目表（中文版）](https://api-docs.deepseek.com/zh-cn/quick_start/pricing)。服务商价目表。模型 deepseek-flash（V4.1-Flash-1017）：未命中缓存的输入在闲时为每百万词元 1 CNY、忙时为 2 CNY，输出在闲时为每百万词元 4 CNY、忙时为 8 CNY。折算为 USD 的价格参考辅助来源 [eesel 汇总](https://www.eesel.ai/blog/deepseek-v4-1-flash-pricing)。访问日期：2026 年 10 月 28 日。

[^abonamenty]: 订阅套餐价格：[ChatGPT Plus](https://help.openai.com/en/articles/6950777-what-is-chatgpt-plus)、[Claude Pro](https://claude.com/pricing)、[Google AI Pro](https://gemini.google/subscriptions/)、[Kimi Plus（geotoolbox 汇总）](https://geotoolbox.ai/blog/kimi-pricing)；DeepSeek 聊天免费（[说明](https://en.wikipedia.org/wiki/DeepSeek_(chatbot))）。月度价格均以 USD 计、不含税；Kimi Plus 为 19 USD。访问日期：2026 年 10 月 28–29 日。

[^kimi-k31]: [Moonshot：Kimi K3.1 Pro 发布公告](https://forum.moonshot.ai/t/kimi-k3-1-pro-has-launched-start-exploring-now/629)及 [Kimi：K3.1 Pro 说明（2026 年 10 月 24 日）](https://www.kimi.com/news/kimi-k3-1-pro)。厂商文档。Kimi K3 的进一步训练版本，约 3 万亿参数，100 万词元上下文，预告于 2026 年 11 月 4 日前公布权重；许可协议未公布。据 OpenRouter 显示的 API 价格：每百万词元输入 2 USD / 输出 10 USD。

[^kimi-k3]: [Kimi K3：模型卡](https://huggingface.co/moonshotai/Kimi-K3)。厂商文档。2.8 万亿参数，1,040 亿激活参数，约 100 万词元上下文，MXFP4 格式，采用 Kimi K3 License 许可协议。

[^spheron-kimi]: [Spheron：部署 Kimi K3（2026 年 10 月 19 日）](https://www.spheron.network/blog/deploy-kimi-k3-gpu-cloud/)。服务商指南。权重文件大小 1,560.94 GB，列出可容纳该模型的硬件配置。据 2026 年 10 月 29 日第三方测量汇总，在 8 × B300 上的吞吐量约为每秒 1,000–1,600 个词元；测量结果差异较大。

[^aa]: [Artificial Analysis：Kimi K3.1 Pro 与 DeepSeek V4.1 Flash 1017 对比](https://artificialanalysis.ai/models/comparisons/kimi-k3-1-pro-vs-deepseek-v4-1-flash-1017)。独立对比评测。2026 年 10 月 28 日 v5 指数：分别为 46 分和 32 分；生成速度约为每秒 36 个和 178 个词元。访问日期：2026 年 10 月 29 日。

[^tinfoil]: [Tinfoil：价目表](https://tinfoil.sh/pricing)。服务商价目表。DeepSeek-V4.1-Flash 每百万词元输入 0.65 USD、输出 1.45 USD；包含支出上限机制说明。访问日期：2026 年 10 月 29 日。

[^phala-api]: [Phala：机密模型](https://phala.com/confidential-ai-models)。服务商价目表。DeepSeek V4.1 Flash 1017：每百万词元 0.75 / 1.60 USD；Kimi K3：每百万词元 3 / 15 USD；据服务商说明提供网关远程证明及响应确认。访问日期：2026 年 10 月 29 日。

[^near]: [NEAR AI：价目表](https://near.ai/pricing)。服务商价目表。Kimi K3：每百万词元 3.30 / 16.50 USD；其首页显示其他价格，差异有待澄清。访问日期：2026 年 10 月 29 日。

[^phala-gpu]: [Phala：机密显卡](https://phala.com/gpu-tee)及[价目表](https://cloud.phala.com/about/pricing)。服务商价目表。8 × H200：按需每小时 44.20 USD，承诺租用 180 天为每小时 32.20 USD；8 × B300：每小时 65.60 USD（30 天）、62.40 USD（180 天）；采用 Intel TDX 配合 NVIDIA 机密计算；在欧洲无机器节点。访问日期：2026 年 10 月 29 日。承诺租用需预先付款，提前终止不予退款。

[^privatemode]: [Privatemode (Edgeless Systems)](https://www.privatemode.ai/)。服务商方案。服务器位于欧盟境内且支持远程证明的机密 API；可选开放模型少于美国服务商，未公开具体价格。机密性由服务商声明，未经我们核验。访问日期：2026 年 10 月 30 日。

[^katalog]: [Confidential Inference Directory：方法论与观测结果](https://confidentialinference.net/attestation)。由一家提供机密推理服务的公司赞助的独立目录。在 2026 年 10 月 29 日 14:00:19（UTC）的观测中，所核查的 95 条路由中有 0 条完成端到端验证。

[^supermicro]: [Supermicro：AS-8126GS-NB3RT-01-G2 服务器](https://store.supermicro.com/us_en/8u-gpu-gold-series-as-8126gs-nb3rt-01-g2.html)以及 [GPU Per Hour：NVIDIA 服务器价格](https://gpuperhour.com/blog/nvidia-gpu-prices)。制造商报价与价格汇总。配备八张 B300 显卡的完整服务器：662,845.95 USD（2026 年 9 月 21 日）。

[^semianalysis]: [BigGo Finance 关于 SemiAnalysis 分析的报道（2026 年 10 月 7 日）](https://finance.biggo.com/news/173039423dab79be)。行业分析。200 USD 的订阅套餐在高强度工作下可提供按 API 目录价格折算约 1.2 万 USD 的用量；属于利润率估算，而非公司官方数据。

[^sglang-k3]: [SGLang：Kimi K3 配置方案](https://github.com/sgl-project/sglang/blob/main/docs/cookbook/autoregressive/Moonshotai/Kimi-K3.mdx)。引擎文档。在 8 × B300 上经过验证的 Kimi K3 配置；不适用于 Kimi K3.1 或机密模式。

[^phala-cvm]: [Phala：机密机器价目表](https://phala.com/pricing)。服务商价目表。tdx.large（4 个虚拟处理器，8 GB 内存）：每小时 0.23 USD；磁盘每 GB 每小时 0.000139 USD。访问日期：2026 年 10 月 29 日。

[^itu]: [ITU：Facts and Figures 2025，互联网使用情况](https://www.itu.int/itu-d/reports/statistics/2025/10/15/ff25-internet-use)。国际统计数据。2025 年世界各地区使用互联网的人口比例（约 60 亿人，占总人口的 74%）；我们核算中的各地区份额为近似值：使用比例 × 地区人口。

[^cai]: [Confidential AI：价目表](https://confidential.ai/pricing)。服务商价目表，2026 年 10 月 26 日价格。DeepSeek V4.1 Flash：每百万词元输入 0.30 USD、缓存命中输入 0.03 USD、输出 1.20 USD；8 × B300 机器每小时 60 USD，最短租期三个月，数日内分配交付。机密性由服务商声明，未经我们核验。

[^voltage]: [VoltageGPU：价目表](https://voltagegpu.com/pricing)及[证据范围](https://voltagegpu.com/)。服务商价目表与声明。8 × H200 每小时 64.62 USD，按秒计费；公开的证据未涵盖该配置及 NVSwitch 交换机的远程证明。

[^epoch]: [The Decoder 关于 Epoch AI 数据的报道（2026 年 1 月 8 日）](https://the-decoder.com/global-ai-compute-hits-15-million-h100-equivalents-epoch-ai-finds/)及 [Epoch AI: AI Chip Users](https://epoch.ai/data/ai-chip-users)。独立研究机构的数据汇总。全球已部署的数字智能算力超过 1,500 万张 NVIDIA H100 当量，电力需求超过 10 GW。属于估算值，而非实测数据。

[^confidentialinference]: [confidentialinference.net](https://confidentialinference.net)：对在可信执行环境中运行模型的服务商进行比较，附带注明日期的远程证明检查；该网站由 Enclava 公司赞助，访问时共收录十一家服务商。访问日期：2026 年 10 月 31 日。