Suveria 的隐私与安全
本页面向希望在将对话交给 Suveria 之前了解其隐私保护方式的人。它进一步展开 Suveria 是什么，并在每部分附上白皮书链接。
一条原则贯穿始终：隐私不能建立在对基金会或服务器管理员善意的信任之上，而应建立在可独立核验其运行机制的安全保障之上。宣言的表述是：“每一项安全承诺都必须在代码和硅片中有据可查，而不仅仅停留在我们的言辞中。”对话应主要保存在你自己的设备上，我们不为私密内容设置隐藏访问途径。
目前 Suveria 处于设计方案阶段。以下均描述拟如何运作；用于确认这些机制的试验，我们尚未进行任何一项。
更多：宣言，第 2.2 节及第 3.1 节。
拟防范谁，以及无法防范谁#
我们保护对话和文件内容、历史及助手记忆、密钥（即打开加密数据的秘密字符串）、结算数据及元数据，即连接本身的信息：时间、网络地址及请求大小。
机密环境是服务器中通过硬件隔离、连管理员也无法查看的部分。是否确实如此，应由远程证明确认，即硬件签名的证明，说明服务器运行什么软件及采用哪种保护模式。机密 API 是外部服务商提供、由我们的应用连接的此类环境（API 是程序之间的连接途径）。下表描述期望实现、尚未经试验验证的运作方式：
| 拟防范谁 | 自有设备上的模型 | 服务器上的机密环境 | 外部服务商的机密 API |
|---|---|---|---|
| 服务商管理员 | 不适用：在设备上处理 | 拟提供保护：硬件隔离 | 服务商声明，有待核验 |
| 网络观察者 | 无网络时不适用；集成服务流量须评估 | 部分保护：内容加密，元数据需要另行措施 | 若连接密钥与远程证明绑定，可提供部分保护 |
| 可实际接触服务器的人 | 不适用；关键是设备接触权限 | 不提供保护：他人机房由服务商接触；自有硬件须有可见的物理监管 | 不提供保护：服务商可接触 |
| 基金会 | 不适用：基金会不参与处理 | 拟提供保护：隔离也覆盖我们，保存数据的密钥在你手中 | 拟保护内容：网关，即我们负责请求结算的部分，不查看内容；加密在哪里终止，我们会在试点前展示 |
说明：“拟提供保护”表示预期保护；“部分保护”保护内容，但并非其周边的一切；“不提供保护”明确指出边界；“服务商声明，有待核验”表示在我们自行核验之前，我们不确认保护。服务商管理员管理模型运行的服务器；网络观察者可见设备与服务器之间的流量，但传输中的内容已加密；可实际接触服务器的人能够打开机箱；基金会指作为服务运营方的我们。
有三项边界应先了解。机密计算无法修复受感染的手机或电脑。它无法防范所有能实际接触服务器的人：2025 年，研究者以不到一千美元制作出一种装置，在能实际接触服务器时可伪造硬件证明。服务器保护还依赖处理器制造商的密钥，因此需要制造商诚实。
消息如何经过系统#
Suveria 拟由设备上的应用、网关（我们负责请求结算及支出限额的部分）、运行模型的机密环境、加密副本存储，以及可选的隐藏地址的中介组成。
在最终方案中，一条消息应经过以下路径：
- 应用获取获准版本的说明，核验服务器远程证明。
- 将证明与公开策略比较；加密消息的密钥必须与证明绑定。
- 核验通过后才建立加密连接。不符时停止发送数据；转向其他方案需要你作出知情选择。
- 环境在受限的网络及工具访问条件下处理请求、返回结果，并依照公开策略删除工作数据。
- 仅在你选择的范围内保存对话或记忆。
远程证明帮助判断运行了什么，但本身不能证明代码安全；还需代码审查和独立核验的可能。在试点前，我们会在应用中展示由设备控制的加密在哪里终止，以及网关是否能看见内容。
连接包含他人消息的来源，例如邮箱时，我们尤其谨慎。他人消息可能藏有指令，试图诱使模型泄露私密记忆。因此，未经人的确认，助手不得自行发送消息、打开网络地址或修改个人准则（你的原则与价值观集合）。
服务启动时，我们会公布收集的全部服务运行数据类型、用途及保存时间。不收集清单之外的数据。
你的密钥#
私密容器，即加密数据集合的密钥，由你控制。基金会不保存密钥或其任何部分，因此无法替你恢复访问，也无法交出你的数据。在运营方处恢复账户不会解锁内容。
失去所有密钥副本可能意味着永久失去数据。因此，我们正考虑可组合使用的恢复方式：另一台有访问权限的设备、纸上或密码管理器中的密钥、硬件密钥，或将密钥拆分给若干可信的人，其中任何一人都无法独自读取数据。起步时，我们建议第二台设备及纸上密钥。每项机制都通过数据恢复试验核验。
看不见内容，仍会泄露信息：传输节奏#
回答以数据包，即数据片段的形式传给你。加密隐藏内容，却不隐藏长度或节奏。这是一种侧信道：信息并非从内容，而是从传输方式泄露。2024–2025 年的研究表明，网络观察者可以据此还原主题，有时甚至还原对话内容。因此，在机密模式下，我们希望按固定大小、固定节奏发送回答；这会带来一些延迟与带宽成本。
可核验的版本#
对软件的信任不应依赖某一个人或基金会本身。任何人都可以从公开代码自行构建应用，核验结果是否与安装的版本相同。应至少由基金会之外的两个独立方复现版本，并公开确认一致；在找到他们之前，版本会被标为未经第三方确认。
我们为可安装应用设计完整保护。在浏览器中，核验服务器的代码每次都由运营方提供，因此浏览器版本将清楚说明其较低的保护等级。
多张显卡#
我们希望运行的模型无法装入一张显卡，因此数据也会在显卡之间流动。保护既要在显卡上核验，也要在显卡间连接上核验；商业标识“secure”不能替代这种检验。我们只在用自己的应用完成试验后，才比较服务商的方案。
如何检验它是否有效#
最重要的试验：一个拥有机密环境之外运营权限（网关、磁盘、网络、日志）的团队，尝试读取测试账户中藏有秘密字符串的对话。只要有任何人，包括我们自己，提取出这些字符串，试验就算失败。
将任何版本称为机密版本之前，我们会记录正确的远程证明、代码或密钥被替换后拒绝发送数据、日志无内容，以及删除和恢复等情况。结果，包括失败结果，都进入结果日志。截至 2026 年 10 月 29 日，我们尚未进行任何所述试验。
我们希望公开进行试验。如果你从事安全、密码学、基础设施或应用工作，或愿意以批判眼光审视设计，请写信至 salve@novusignis.org，主题为“[加入] Suveria 试验”。
阅读后，告诉我们你的想法#
完整方案与威胁比较、应用安全保障及待解决问题清单，见 Suveria 白皮书。如有疑问或觉得某处有误，请选中文档中的相应段落，使用“我有意见”按钮，或写信至 salve@novusignis.org。