你在手机上选中一段文字，让助手改写，几秒后便得到润色结果。手机配有 AI 芯片，功能集成在操作系统中，界面也没有打开浏览器。但这些事实本身都不能证明文字在哪里被处理。答案可能来自手机、附近的电脑、厂商服务器，或另一家模型供应商。
当相关任务确实在本地运行时，设备端 AI 可以减少向远程供应商传输数据。但这并不自动意味着提示词、文件、诊断信息、已保存结果或工具请求都会留在设备上。隐私取决于完整流程：哪些信息离开、谁接收、允许怎样使用，以及你能否控制路径。应评估具体功能和配置，而不是硬件上的标签。
本文解释如何理解设备厂商的表述、调查混合处理，并设计有效的验证测试，同时区分公开文档、独立研究及尚待收集的证据。需要说明的是：本文依据的是厂商公开文档和一项明确注明日期的独立研究，不是我们自己的流量实测结果。下面这套测试方案，你可以在自己的设备上跑。
01设备端 AI 实际意味着什么
从狭义技术角度看，设备端推理意味着模型在该设备上执行相关计算。处理器、GPU 或神经网络加速器可以运行模型，而不把这次推理请求发送至远程服务器。这描述的是计算位置，不是应用完整的隐私政策。应用仍可能在推理前后验证账户、检查更新、同步历史，或调用在线服务。
应区分推理、存储和任务编排。推理生成答案；存储保存文件、对话历史和记忆；编排选择模型并调用工具。这些功能不一定发生在同一地点。本地生成的摘要可能被文档应用上传，而手机界面也可能把任务发送到自有网络中的电脑。两种情况都需要比「整个体验都是本地的」更准确的描述。
设备边界不同于网络边界
办公室设备可以位于组织本地，但相对手机仍属于远程设备。如果手机向该设备发送文档，文档就已经离开手机，即使没有离开办公室网络。这可以是合理且有用的设计。重要问题是：谁控制该设备、连接如何受保护，以及后续是否有其他服务接收内容。
应先定义真正需要的边界。私人日记可能要求仅在单台设备处理；团队项目可能允许使用受管理办公室服务器；公开营销简报可能允许使用获批云供应商。选择应取决于信息敏感性和用途。否则，团队可能不断争论系统是否「本地」，却对首先应关注哪条边界都没有共识。
隐私也包括处理后留下的信息
本地推理减少了一条暴露路径，但生成文件仍需要保护。应考虑设备访问、备份、账户恢复、共享文件夹和保留期限。能够访问未锁定电脑的人，可能可以读取本地对话。同步文件夹也可能在 AI 任务结束后生成设备外副本。因此，本地计算应属于整体安全设计的一部分，而不是替代整个安全设计。
02混合处理与云端功能
混合 AI 结合本地与远程能力。系统可能在本地处理短任务，把更复杂请求路由到服务器，或在本地工具无法完成时提供独立云功能。这些行为不同。不要假定每个产品都会静默切换到云端，也不要假定一个本地选项控制同一品牌下的全部功能。应核实具体操作的路由政策。
Apple Intelligence 区分本地与服务器处理
Apple 介绍了设备端处理，以及面向更复杂请求的 Private Cloud Compute，并提供生成相关请求报告的方法 [1]。其隐私指引的价值就在于区分这些路径。发送到 Private Cloud Compute 的请求并不是设备端推理，即使 Apple 将服务器架构描述为保护隐私的设计。
Apple 的 Private Cloud Compute 安全材料解释了旨在限制请求数据用途并提供可验证性的保护措施 [2]。应将这些措施视为云安全模型，而不是数据未越过设备边界的证明。单独启用的第三方集成也需要独立评估。一条安全处理路径，并不能自动证明同一界面能够访问的其他路径具备相同条款或行为。
Samsung 提供设备端处理控制
Samsung 的 Galaxy AI 支持文档介绍了「仅在设备上处理数据」设置 [3]。其企业管理文档也说明了 Galaxy AI 处理管理策略 [4]。这些控制是有用的起点，但可用性与范围取决于支持的设备及软件。应测试哪些功能仍可使用，并单独检查其他应用，不能假定一个开关管理手机所有 AI 流量。
Copilot+ 电脑包含不同类型的 AI
Microsoft 将 Recall 快照及关联数据描述为本地存储和处理，并提供保存与排除内容的控制 [5]。这是关于 Recall 的说明，不是 Copilot+ 电脑上所有 AI 应用都离线运行的保证。电脑的本地 AI 硬件与云助手的联网行为是不同问题，即使它们出现在同一桌面环境中。
因此，比较必须落实到具体功能。应写明任务、输入、所声称的处理路径及支持证据。同一产品系列可能同时包含真正本地的功能、注重隐私的云处理，以及普通在线集成。如果不说明评估了哪些活动与设置，简单排名「隐私设备」就可能产生误导。
03独立网络研究能够说明什么
Douglas Leith 的 2021 年手机流量研究测量了受测 iOS 与 Android 设备的通信，包括后台活动 [6]。它提供了独立证据，说明手机网络行为不限于当前可见应用。但该研究早于当前生成式 AI 功能，并非对今天的 Apple Intelligence、Galaxy AI、Recall 或 KarmaBox 的审计，不能将其发现当作这些产品的测量结果。
研究方法的启示仍然有价值：观察基线、定义可重复操作，并区分后台服务与受测功能。独立研究可以挑战假设，但不能回答每个产品问题。我们没有找到覆盖上述全部 AI 流程、且具有可比性的当前独立流量审计。这一证据缺口意味着应提供严谨测试方案，而不能用旧遥测研究替代新的 AI 隐私实验。
04如何验证 AI 功能发送了什么
验证最好按逐步深入的顺序进行。先检查文档与配置，再测试离线行为，并在获得授权的情况下收集网络观察结果。应综合证据，而不是把某个单一指标视为决定性证明。一次成功离线运行只能支持有关该次运行的结论；连接服务器则支持另一类结论。两者都不会自动揭示全部数据字段、保留政策或未来条件下的行为。
1. 记录准确环境
记录设备型号、系统构建版本、应用版本、账户类型、地区、语言、模型选择和相关隐私设置，并注明设备是否由组织管理。在推理测试前下载必要模型与语言包，同时单独记录准备阶段活动。否则，模型下载可能被误认为提示词传输，而缺少下载也可能让真正的本地功能看起来依赖云推理。
2. 定义无敏感内容且可重复的任务
使用合成文本或专门创建的测试文档。加入独特但无敏感性的标记，以便在能够查看内容时识别输入。各次运行保持任务一致，并记录开始与结束时间。不要使用员工记录、客户文档、凭据或私人照片调查未知路径。目标是在实验过程中不造成新的披露问题，同时了解系统行为。
3. 离线测试所声称的本地模式
完成准备后，断开相关网络路径并重复任务。检查 Wi-Fi、蜂窝网络、以太网、网络共享及其他活动接口，不要假定一个可见开关关闭了所有连接。记录任务是完成、失败还是功能发生变化。离线失败既可能表示远程推理，也可能源于认证或许可依赖。应先调查原因，再判断内容是否必须发送到云模型。
4. 将在线流量与空闲基线比较
执行功能前抓取空闲时段，再抓取任务过程及之后一段合理观察时间。使用覆盖相关接口的受控网络或获授权设备工具。记录目标、连接时间、传输字节数及可获得的进程归属。重复实验，区分与任务持续相关的模式和无关更新。单次流量突增是有用线索，但不能完整解释应用传输了什么。
5. 如实解释加密流量
普通抓包通常能够显示连接元数据，但不能显示加密请求内容。同一目标可能承载多个服务，上传大小也不能证明整份文档被传输。除非证据支持，不要报告「提示词已上传」。同样，在加密数据包中找不到测试标记，并不能证明其中没有该标记。应在描述观察结果时同时说明可见性限制。
如果深入检查需要安装证书或修改安全控制，应使用隔离测试环境并由合格人员操作。不要为了方便演示而降低生产设备保护。有些应用会抵抗拦截，绕过保护可能改变被测系统。可行时优先使用文档化诊断与可重复观察，并说明实验修改，让读者理解结果是否代表日常使用。
6. 测试回退与重新联网条件
尝试不同输入大小和支持语言，并检查所选模型不可用时的行为。如果功能支持，应分别测试允许与禁止云处理的情况。重新联网后继续观察：离线完成的任务仍可能随后同步结果或发送诊断。应记录准确路径与授权行为，不要假定一次本地测试成功就适用于之后所有请求。
7. 保留他人能够复现的结果
每次运行都应保存配置、任务、时间窗口、抓取位置、观察到的端点和限制，并区分供应商文档说明、测试观察和未确定三种状态。负责任的结论可以是：在指定版本的若干次运行中，未观察到与任务相关的外发连接。不能将此扩大为产品在任何配置下都绝不传输信息的无条件承诺。
05KarmaBox 的不同任务在哪里运行
应使用与其他 AI 系统相同的边界评估 KarmaBox。其硬件产品页面描述了办公室设备上的本地模型执行，并区分云端、电脑与 KarmaBox 部署。这支持部署方式存在区别，但本身并没有说明手机具体执行哪些计算。未经逐项功能确认，不能把手机界面描述为手机本地推理。
同一页面将主权路由标为开发中。因此，本文不把敏感数据自动路由作为已发布的保证来介绍。对任何部署，都值得向厂商索取一份按任务划分的执行地图：每项功能分别说明手机角色、所选执行主机、外部服务、存储副本，以及云路径需要授权还是可能自动发生。这个要求对我们同样成立。
在拿到这样一份地图之前，可以明确区分的是手机界面、所选本地执行主机和可选远程服务。这些是评估类别，并不表示每个 KarmaBox 功能都以某种特定方式实现三者。读者可查阅 KarmaBox 文档，并就自己预期的流程要求确认。
如需了解数据、算力、模型和身份控制，可阅读我们的《个人与团队的主权 AI》指南。应将这些维度用于具体任务，而不是把主权当作普遍产品形容词。真正有用的问题是：对于团队打算处理的信息，部署是否提供必要选择与证据。
06先选择工作流程，再判断隐私标签
从信息边界易于描述的单个任务开始。例如，组织可以先测试本地总结一份合成内部文档，再引入客户材料。明确允许哪些目标、保留哪些输出，以及本地模型无法完成任务时应如何处理。预期失败行为同样重要：对于某类信息，明确拒绝可能优于未经批准的外部传输。
随后同时评估实用性与隐私。如果系统遵守边界，却反复生成不可用结果，员工可能转向非官方工具。应为需要更强能力的任务定义获批升级路径，减少这种压力。政策可以允许公开信息使用其他模型，同时要求机密材料走本地路径。关键是区别能够被理解和执行。
重大变化后应重新检查。操作系统版本、应用更新、模型选择、账户设置或集成都可能改变已测流程。测试记录应关联其描述的版本。应为关键任务安排有针对性的复测，而不是假定旧隐私设置截图证明当前行为。只有关联员工实际使用的系统，隐私验证才最有价值。
07将隐私表述转化为验收测试
有效验收测试应在测量前明确信息边界。对于机密文档流程，要求可以是文档内容与派生摘要留在获批办公室主机上，同时允许软件更新检查。另一流程可能连派生表示也不允许发送。这些是示例要求，并非普遍标准。要求应足够准确，使测试能够区分通过与尚未解决的问题。
讨论中应包括间接表示。系统可能处理提取文本、摘要、嵌入向量、图像裁剪或元数据，而不是原文件。整份文档没有移动，并不足以判断是否遵守获批边界。应询问功能创建哪些表示、哪些会离开。敏感性取决于其揭示内容及与其他信息关联的方式，而不只是人类能否直接阅读。
应区分预期基础设施流量与任务内容，但不能自动忽略前者。身份验证请求可能是访问所必需的，同时仍会暴露账户标识或服务使用情况。模型更新可以解释大量下载，却不一定解释同步上传。应按现有证据分类观察。如果用途或载荷无法确定，就保留未解决状态并向供应商索取具体解释，而不是贴上令人放心的标签。
一个假设的手机到办公室流程
假设团队成员通过手机向受管理办公室电脑请求摘要。手机显示任务，办公室电脑读取文档并运行模型，摘要再返回手机。这可以保持组织边界，同时跨越设备边界。本例是架构说明，不是已测 KarmaBox 配置的描述。能否接受取决于团队记录的要求与实际实现。
现在加入远程网页搜索工具。如果智能体把机密文档中的短语作为搜索请求发送，即使模型推理仍在办公室电脑执行，也已经产生新的外部路径。因此，测试必须同时覆盖工具与模型。获批设计可以对该信息类别禁用工具，或要求单独审核查询。重要控制应位于信息跨越所选边界的位置。
返回路径同样需要考虑。手机上显示的摘要可能保存至对话历史，或复制到另一应用。原文档可能留在办公室，但其中最敏感的结论已经移动。应在检查推理时同时审核通知、导出、共享功能与同步。因此，执行图应展示输入、输出和存储副本，而不是到模型回答就结束。
应向产品团队提出的问题
应分别询问默认行为与例外行为。新用户默认选择哪台主机？模型不可用、请求超限或启用外部集成时，会发生什么变化？内容发送前是否告知用户，管理员能否阻止传输？演示首选路径并不能解释错误或不支持任务发生时的情况，因此应将这些情形纳入验收标准。
应要求与表述相对应的证据。功能指南可以说明文档化设计意图；配置导出可以展示所选设置；限定范围流量抓取可以展示观察到的连接；安全评估可以在其范围内检查实现保护。任何一种都不会自动替代其他证据。保持证据类型区分，有助于解决分歧，避免把有用但有限的文件当作全面隐私认证。
最后明确后续责任人。应有人审核新端点、批准重要路由变化，并更新部署说明。小团队可以使用简短登记表，而不必建立复杂合规系统。记录获批流程、最近测试、已知限制及负责人。这能把隐私从购买时的一次印象，转化为随软件变化可以重新评估的实际运营决定。
设备端 AI 是否意味着没有数据离开设备？
不一定。推理可能在本地运行，但同步、诊断、账户服务或连接工具仍可能对外通信。应验证完整流程与相关数据类别。本地模型说明的是一次计算的位置，并非应用全部行为。
云端 AI 是否总是更不私密？
云处理增加了一个处理位置，但隐私还取决于访问、保留、安全和合同控制。应按照自身要求评估这些细节。保护不足的本地部署，并不自动比治理良好的远程服务更安全。
飞行模式能证明功能具有隐私保护吗？
在全部相关连接都禁用时，它可以帮助测试离线能力。但不能证明没有数据被保存、之后同步，或在其他配置下发送。应记录离线完成情况，并单独观察重新联网行为。
抓包能准确显示 AI 发送了什么吗？
不一定。加密可能隐藏请求内容，同时保留部分可见连接元数据。应区分目标与时间观察，以及有关载荷内容的结论。抓包看不到提示词，不代表提示词从未被传输。
在手机上使用 KarmaBox 是否意味着模型运行在手机上？
不能仅从界面作此推断。应确认所选执行主机与具体功能行为，这对任何厂商都一样。把问题落到具体功能上，再要求对方给出对应的证据类型。
08关于作者
Karma Box 团队发布 AI 控制与部署实用指南。本文依据设备厂商公开文档及一项明确注明日期的独立网络研究，资料核对日期为 2026 年 11 月 9 日。文中提出的测试方案面向读者在自己的硬件上执行；我们没有把它作为对任何产品的实测结论发布。
