大多数人担心 AI 会做错。更难处理的是它开始做对——用你忘了它手里有的那些数据。
2026 年 10 月 28 日，Chrome 开始读你的 Gmail。不是帮你总结，是从收件箱里抽出航班确认单、订单号、会员号、快递单号、地址、电话、信用卡号，然后在你当前所在的任何网页表单里，作为自动填充的候选值递给你。它是可选的，开关在 Chrome 设置里，Google 说敏感数据已加密。这些都对，但都不是重点。重点是：这个功能之所以成立，是因为模型已经聪明到能从一堆邮件里判断出哪一封夹着你的护照号。
先说清楚这是一篇什么文章：它由做私有 AI 工作台的团队撰写，所以是一篇带着利益立场的论证，请按这个前提打折。为了让它可以被核对——凡涉及 Google、Anthropic 或行业公告的说法都标了能点开的日期与出处；这套做法最薄弱的一环写在正文里，没有藏到最后；核对不了的地方，直接写成核对不了。
01私有 AI 工作台是什么，不是什么
私有 AI 工作台，是让 AI 分身替你干活、而它碰到的材料——你的文件、价格表、客户合同、收件箱——留在你能控制的地方；同时，那些必须由人拍板的动作，是由系统拦住而不是由提示词请求的。它不回答你，它交回一个文件，并且记下它做了什么、拒绝了什么。
三个词经常被混着用，值得分开：本地部署说的是模型跑在哪，私有化部署说的是这套东西能不能装进你自己的环境，而数据主权说的是谁能碰到材料、按谁的规矩碰——只要连接器开得够松，前两样做到了，第三样照样会漏。真正的分界线在于：边界长在基础设施里，不长在你对话框开头那段话里。
顺带说一句，这套论证的反面——把全部赌注压在一家厂商的模型、技能和连接器上——本身就是一种风险敞口。关于单一厂商依赖的风险，以及「主权」这个词到底买到了什么、又没买到什么，我们在另一篇里讲得更细。
02八天内发生的四件事，指向同一个方向
这几件都不是秘密，全部公开宣布，集中在同一周，单独看每一件都像普通的产品新闻。
企业可以开发直接出现在搜索和 Gemini 里的应用，通过云端托管的 MCP 服务器或 Android 的 MCP AppFunctions 接入。已接入 50 多个应用，包括 Adobe、Experian、Peloton、Calm。
同一家公司、同一天、反方向：不是把服务推进助手，而是把你的收件箱拉进表单。
名字、商标、GitHub 组织、域名，整套交给 Linux 基金会下的实体。2025 年 12 月才发布，已被 70 多个平台采用，约 100 万个技能、2.8 亿次安装。
让企业看到每条工作流花了多少钱、产出了什么、在哪里断掉。发布时点紧挨着 IPO——S-1 文件 10 月 26 日递交。
把这些串起来看：能力在被送走，边界在同时变厚。日期为公开事实，归组为作者所做。
把这四件放进同一个框里，形状就很明显了：连接器在变成标准，技能在变成标准，协议层在变成标准，计费层则正在变成你从模型厂商那里买的一项服务，按工作流逐条计价。
换句话说，能力正在变成公共设施。你以前为「最聪明的那个智能体」付的溢价，正被那些最有动机把它做成大路货的组织标准化、捐赠、免费送出去。你的竞争对手会在一两个季度内拥有和你一样的技能、一样的连接器、一样的模型——因为这周所有在发布的人，明确就是想这样。
如果能力不再是护城河，那什么还是？只剩下那些模型变聪明了也不会跟着变好的东西。
每次公告对照三样「本来就属于你」的东西。能力和表面都被动过，边界那一列四次公告里一次都没碰——这正是剩下来的那部分。
03智能提升不了的三件事
一、数据物理上在哪
更聪明的模型够得更远。这就是「提升」的定义——一个能在收件箱里找到护照号的模型，比找不到的更有用；同时，它也正是那个已经碰过你护照号的模型。能力和触及范围是同一个变量。你没法多买前者、少买后者，所以「我们让它更聪明了」和「它现在会读你的邮件了」总是出现在同一条更新日志里。
位置不一样。数据待在哪是部署的属性，模型变强变弱它都不会跟着动。这就是为什么在它上面的一切都变成大宗商品之后，它仍然值得写进采购清单。新的变化是：这个位置现在可以是办公室里的一台机器，甚至就是你手上这台电脑，而不再是一排机柜——这改变了谁买得起。
对中文读者还得加一层。数据在哪这件事，在国内不只是一个技术偏好，它还挂在合规上：数据出境怎么算、等保测评要不要过、行业监管对留存的期限有没有硬要求，这些问题是写进制度里的，不是写进偏好里的。这也意味着「私有」对国内企业的含义往往更硬：不是「我更放心」，而是「我必须」。
| AI 跑在哪 | 能碰到什么 | 今天能买到吗 |
|---|---|---|
| 厂商云 | 你上传或授权的所有内容 | 能 |
| 你自己办公室里的设备 | 本地文件、局域网、你的知识库 | 有整机在售 |
| 你现在这台电脑 | 本地文件、浏览器、已登录的会话 | 已支持（macOS / Windows / Linux / 移动端） |
三种部署不是同一个产品卖三个价，而是三档不同的能力天花板——天花板的高度由「能碰到什么」决定，不由模型好坏决定。
真正该看的是第二列，也就是大多数人会跳过的那一列。云端部署只看得见你上传的东西；你自己那台机器看得见你的文件、你的浏览器、你已登录的会话——而这恰恰是 Chrome 刚刚示范过的、有用数据真正待着的地方。
这里有个不太舒服的推论：让智能体最有用的那个配置，也是给它最多机会做错的配置。能碰到多少和可能错多少，是同一个数字。所以后面两节不是可选项，而是选第三行的代价。
二、谁点了头
2026 年 10 月 8 日，Anthropic 更新了使用政策。这份更新大部分在讲影响力行动和选举内容，但里面有一句该被更多人看到：对于接入物理设备的 AI，必须有一名有资质的操作员能够观察该设备并在需要时将其停止，且设备本身要能保持安全状态。2026 年 11 月 12 日生效。
把它当成一个先行指标来读。「人能看见、人能停住」正在从一项你欣赏的功能，变成一项你被期望满足的条件。接着就是一个不太好回答的问题：你停得住吗？不是「你有没有在指令里禁止它」——是你停不停得住。这就是为什么权限模型里最关键的一档，不是「先问你」，而是「能力根本不存在」。
我们自己的权限模型是三档，且都在系统层执行：直接做（读、算、起草、出成品）、先问（对外发送、发布、改日历、记账——先生成审批卡，你不点它就不跑）、绝不做（花钱、下单、付款、签约、替你承诺）。第三档不是「提示词里禁止」，而是这一层能力在系统里根本不存在。19 位开箱即用的 AI 同事那篇把 19 个分身逐个列出，包括哪一个落在哪一档。
按每个分身公开的「它不做什么」原句归类。原句照抄，四个分类为作者所做，按设计会重叠——同一个分身可以同时拒绝多件事。
这个区别不是文字游戏。模型读到的护栏，是「你这个月在跑的那个模型」的属性，而你一定会换模型——所有人都会，经常换，因为能力层现在正是被大宗商品化的那一层，也就跑得最快。写在权限表里的护栏，是你这次部署的属性，它扛得住换模型。
这也正是 Connected Apps 那则公告悄悄改变的东西。当第三方服务通过一个标准连接器涌进你的助手，你的智能体能碰的东西，就随着你授权的厂商数量一起变多——而那些厂商的权限提示，没有一条是用你关于自己边界的语言写的。问题于是从「这个连接器安全吗」变成「当连接器本身没问题、而智能体用它的方式我没预料到时，会发生什么」。
三、事后能不能说清
这里是 Smart Reports 那则公告用反衬照出来的缺口。一份计费报告回答的是：这条工作流花了多少钱、大致产出了什么。这确实是新的、也确实有用——CFO 们以前只能猜。但还有第二个它回答不了的问题，而恰恰是出事时真正要紧的那个：系统到底做了什么，对什么东西做的，在谁的授权下做的。
这是两本不同的账。一本以钱为单位，一本以动作为单位。一个月合计 4,000 美元，完全不告诉你那个智能体是读了工资表，还是仅仅打开了它。
这里我要说准确，因为「有日志」和「能当证据」是两件事。文档承诺的是「谁、何时、决定了什么」，覆盖的是走出边界的那四类动作：发送、发布、花费、删除；它并没有承诺对每一次读取都做完整还原。如果你是在为受监管的流程做评估，这一句值得要求对方白纸黑字写死范围：哪些动作被记录、记哪些字段、留存多久、能以什么格式导出。这条标准同样适用于我们自己。
04三件事各自不解决什么
列成清单写，因为这类文章最有价值的部分是它在哪里停下。
去掉的是一类敞口：别人的政策变更、宕机、被收购。它完全不解决「智能体很能干地对着一条你写错的规则做事」。
人点审批卡，是人做了决定。如果那张卡读不懂、一天来四十张，你就增加了一道步骤，没有减少任何东西——还生产了一份并不成立的同意记录。
精确知道发生了什么，和那件事当初是不是个好主意，是两回事。记录是给复盘会用的，它不拦事故。
这三件事都不让能力变私有。模型还是别人的，技能刚捐给了基金会，连接器已经是标准。你选的是活儿在哪跑、谁授权，不是你在用谁的智力。谁说不是，谁就在卖错的那一层。
价差来自路由与缓存策略，不来自模型是否更聪明。这条轴的意义在于：选模型省下的钱，抵不过一次做错的事。
穿过这三层之后仍然剩下的风险，具体、而且值得点名：一个描述清楚的任务，被正确地执行，撞上一条你写得太宽的权限规则。这个品类里没有产品修得了它。它是划定范围的问题，它归你。
05一次具体故障，走一遍这三层
抽象风险容易点头，难落地。所以给一个具体的：销售分身被要求给一个 30 人办公室的咖啡订阅报价。价格表绑好了，用量数据以表格形式进来。分身算完，起草了一份带条款的报价单，发给了客户的采购联系人。这条链至少在四个不同的地方会断，而上面那三件事只能修其中一个。
| 哪里断了 | 为什么三层防护兜不住 |
|---|---|
| 价格表是旧的——有人三月改过，分身读到的是二月版。 | 数据是你的、位置是对的、内容错了。拥有数据在这里一点用没有。 |
| 用量数据串了列——第 14 行的人数落进了「人均杯数」那一列。 | 算术对着垃圾数据做得完美无缺。没有任何越权动作发生：读、算、起草，全被允许。 |
| 报价单暗示了承诺——条款和有效期进了一份要发给客户的文档。 | 这是分层模型唯一挣到钱的地方：本该生成审批卡。没生成是你的规则写窄了，不是产品失手——产品给了三档，你只写了两档。 |
| 事后没人还原得出来——两周后客户争「人均杯数」这个数。 | 日志告诉你 14:02 读了表、14:11 起草了报价，但不告诉你第 14 行串了列——偏移在输入里，不在动作里。你需要的是读取那一刻的快照，那是另一种保证。 |
四个失败，三层防护，只兜住一个。这个比例就是 2026 年 10 月这个品类的诚实状态。
06适合谁，具体到场景
一条发丝线 = 一本 playbook。写下来的流程越多，边界越可能已经有人替你想过一遍——但也越需要你自己核一遍它想得对不对。
产出会交给别人的小团队——报价、合同、对账、deck、要发布的稿子。在这类流程里，「这个数字哪来的」是有答案的，而且早晚有人会问。已经有数据留存要求写在制度里的组织，现在是最容易的一类：写在现有硬件上的留存要求，可以直接在你已经有的那台电脑上满足。还有亲眼见过智能体差点碰到贵东西的人——如果你体验过那种具体的不适感，那你买的就是「绝不做」这一档，其余都是次要的。
不适合：探索性思考——你和答案之间隔一道闸门纯属摩擦，聊天更便宜。需要一次就对的人——这里没有。想买一个「装上就安全」的开关的人——这三种部署方式都不卖这个，安全取决于你把边界写到多细。
流程深度分布得并不均匀。这张图顺带说明了上一节那个设计问题：越是流程薄的岗位，越依赖你自己把边界写清楚。
07我认为它还没解决的问题
还有一件事要说，因为一篇只为自己结论辩护的文章不值得你花时间。上面所有论证都依赖一件事：你能把自己的边界说清楚——什么算里面、什么要审批、什么禁止。这是一项真实的能力，而它分布得并不均匀。
大多数人拿到一套三档权限系统，第一次写出来的规则都差不多：类似「凡是面向客户的动作都要审批」。这不是机器能评估的规则。几乎一切都面向客户，于是几乎一切都进队列；而一个你每天都要读的队列，就不再是控制手段，变成了第二份工作。
系统会执行你写下的，执行不了你想表达的，也不会告诉你规则写得太宽。一个质量取决于用户写政策能力的权限模型，是一个带着隐藏前提的权限模型——我们没有解决怎么把这件事浮出来，也没看到这个品类里有谁解决了。这是我们自己最想修的地方，而它不太像一个功能需求，更像整个品类都在回避的设计问题。
08决定之前，建议你逐条问清楚
下面四条没有一条关于跑分，因为跑分正是这周被免费送出去的那部分。我们把它们原样写出来，也包括拿它们来问我们自己——如果我们哪一条答不上来，那也是你该知道的信息。
哪些动作被记录、记哪些字段、留存多久、能导出成什么格式？要一份样本记录，不要一段描述。
哪些权限档是在服务端强制的？要求看执行方式，而不是看设置项——设置页是一句承诺，架构说明才是能被检验的说法。
换掉底层模型，什么会重跑，什么告诉你行为没退化？有一套回归用例的产品和没有的，不在一个类别里——有用例意味着对「正确行为」下过定义。
在你已有的那台机器上，系统拒绝做什么——这个拒绝是系统强制的，还是提示词请求的？「有一个开关」和「这个能力不存在」是两种答案。
09几个真会被问到的问题
「私有 AI」等于「本地 AI」吗？
不等，而这个差别正是有用的部分。本地说的是模型跑在哪；私有说的是谁能碰到材料——它同时取决于模型的位置和你授权的连接器。你可以把模型跑在本地，然后通过一个云端连接器把东西全漏出去；也可以在厂商云里，但连接器清单很窄，暴露反而更少。
那 AI 数据隐私到底该看什么？
看三件能写进合同的东西：数据落在哪个地理位置的哪个存储上；哪些动作会离开这台机器、经过哪些连接器；以及这些动作留下什么记录、留多久、能不能导出。这三条都能被验收，而「我们很重视您的数据安全」不能。
一切都标准化了，不是更省事吗？
它让能力更省事，让边界更麻烦。当技能被捐给基金会、连接器变成协议，你的智能体能碰到的东西会自己变多，而没有人会去更新你的权限清单。标准对能力是好事，对划定范围是中性到偏负面。
今天能靠它满足数据留存要求吗？
三种都可以：厂商云、你自己的整机、以及你现在这台电脑。第三种的意义在于，如果你的留存要求是照着现有硬件写的，那它不需要一张采购单就能满足。
数据留在自己硬件上，AI 就正确了吗？
不会。它去掉的是「受别人决策影响」这一类敞口。它完全不解决智能体对着一条你写错的规则把事情做对的问题。这是两类不同的失败，只有一类能用硬件买到。
审计日志到底干什么用？
用于事后回答「它做了什么、对什么做的、在谁授权下做的」，覆盖发送、发布、花费、删除这类动作。它不是预防机制，也不是计费报告——一个月的花费总额告诉你花了多少，不告诉你碰了什么。
10一句话总结
能力正在公开地被标准化，就在这一周，被那些最有动机把它变成大宗商品的公司。这是好消息，同时它拿走了你的差异化。
剩下的东西一点都不性感：数据在哪，谁必须点这个头，事后你能不能还原出发生了什么。模型变聪明，这三样一样都不会变好；你不去指定它们，三样都会变差。
所以有用的问题不是哪个助手最聪明，而是：当你准备信任的那个智能体做了一件你没预料到的事，这三样里哪一样本来能接住它——你有吗？