AI 隐私(AI Privacy)
约 1925 字大约 6 分钟
2026-05-12
AI Privacy 关注的是:用户数据、钱包身份、链上行为、私有记忆、API key 和模型上下文之间,哪些可以共享,哪些必须隔离,哪些只应该在本地处理。
为什么要学这个
Web3 数据公开,不代表用户没有隐私。地址关联、交易历史、持仓、治理投票、Agent 偏好、私有任务和聊天内容组合在一起,会形成非常具体的用户画像。
AI 系统又会扩大数据面:它会读取更多上下文、保留记忆、调用第三方模型、写日志、上传文件、调用工具。隐私设计必须从一开始进入架构。
AI x Web3 的隐私问题,不是单点数据泄漏,而是链上公开身份和 AI 私有上下文被拼接。
第一性原理
模型只应该看到完成任务所需的最小数据。
不要因为模型“可能有帮助”就把钱包历史、私聊、API key、完整文档和用户偏好全部塞进上下文。上下文越多,泄漏面越大,误用风险越高。
- 数据边界要显式:哪些进模型,哪些只进工具,哪些只在本地。
- 记忆要可管理:用户要能查看、删除、导出或关闭记忆。
- 链上身份要谨慎关联:不要默认把多个地址和真实身份合并展示。
知识节点
Data Boundary
难度:初级。 Data Boundary 定义数据在用户设备、应用后端、模型服务、链上和第三方工具之间如何流动。
每个数据字段都要问:是否必要,是否可脱敏,是否可本地处理,是否会进入日志,是否会给第三方模型。
Data Boundary 最好画成数据流图,而不是写成隐私政策长文。用户输入在哪里,钱包地址在哪里,交易历史从哪里来,模型服务是谁,日志保存多久,都要清楚。
对 Agent 来说,边界还要按工具划分。浏览器工具、钱包工具、模型工具、索引工具看到的数据不应该默认互通。
Local AI
难度:中级。 Local AI 把部分推理放在用户设备或私有环境中,减少敏感数据外发。
它适合处理私有文档、钱包历史摘要、草稿生成、敏感分类等任务。但本地模型也有成本:模型能力、设备性能、更新、隐私保护和安全沙箱都要处理。
Local AI 的一个好用原则是:先在本地做筛选和脱敏,再把必要摘要发给强模型。例如本地先从钱包历史中提取“与本任务有关的 3 笔交易”,而不是上传全部历史。
本地不等于绝对安全。本地 Agent 仍可能被恶意文件、插件或网页攻击,所以本地运行也需要 sandbox 和权限控制。
Private Memory
难度:中级。 Private Memory 是 Agent 为用户保存的长期偏好、历史任务和私有上下文。
它不能变成不可见黑箱。用户应该知道记了什么、为什么记、如何删除、是否用于模型训练、是否会跨设备同步。
Private Memory 可以分层:短期任务记忆、长期偏好、敏感身份信息、钱包相关记录。不同层有不同保留时间和访问权限。
一个常见风险是“为了更智能而永久保存一切”。这会让 Agent 越用越像私人数据库,一旦泄漏伤害很大。默认应该最小化、可查看、可删除。
Secret Management
难度:高级。 Secret Management 处理私钥、API key、session token、JWT、wallet credentials 和加密密钥。
这些秘密不应该进入 prompt、模型输出、普通日志或 analytics。Agent 要调用服务时,应该通过受控工具使用 secret,而不是让模型直接读取 secret。
Secret Management 还要处理轮换和撤销。API key 泄漏后能否快速换掉?session token 是否短期有效?生产 key 和测试 key 是否隔离?
在 Web3 场景里,助记词和私钥不应该出现在任何 Agent prompt。即使用户主动粘贴,系统也应该识别并拒绝处理。
Minimal Disclosure
难度:初级。 Minimal Disclosure 是只暴露完成任务所需的最少信息。
例如证明“余额足够支付 10 USDC”,不一定要暴露全部持仓;证明“用户有权限”,不一定要公开真实身份;总结交易风险,不一定要上传完整钱包历史。
Minimal Disclosure 可以用技术和产品共同实现:只传必要字段、使用零知识证明、使用一次性地址、按应用隔离身份、用 summary 替代原文。
对 AI 产品来说,最常见的最小披露是“摘要代替原始数据”。模型不一定需要全部聊天记录,只需要和当前任务相关的几条结构化事实。
Encrypted Data
难度:中级。 Encrypted Data 可以保护存储和传输中的隐私,但不能自动解决模型使用时的泄漏。
数据进入模型推理时通常需要被解密或在可信环境中处理。加密要和访问控制、密钥管理、TEE、最小化上下文结合起来。
Encrypted Data 还要考虑谁持有密钥。平台持钥、用户持钥、多方分片、硬件持钥,信任模型完全不同。
如果数据只是“服务器加密保存”,但每次推理都由服务器解密并发送给模型,那么它解决的是存储安全,不是模型使用隐私。
User Consent
难度:初级。 User Consent 要让用户明确知道数据会被怎样使用。
同意连接钱包,不等于同意分析全部历史;同意使用 Agent,不等于同意把数据发给所有第三方模型;同意保存记忆,也不等于同意永久保存。
User Consent 应该具体到动作和数据类型。例如“允许读取当前地址余额”“允许分析最近 30 天交易”“允许保存风险偏好”“允许发送摘要给云端模型”应该是不同开关。
Consent 还应该可撤销。撤销后,系统要说明哪些数据会删除,哪些链上公开记录无法删除,哪些日志因安全或合规需要保留。
在 AI x Web3 中的位置
AI Privacy 是 Agent Wallet、Chain-aware Context 和 Governance AI 的基础边界。没有隐私设计,Agent 越懂用户,泄漏后伤害越大。
尤其要注意链上公开数据和私有数据的组合风险。单看某个地址可能只是公开信息,但和聊天记录、邮箱、地理位置、社群身份结合后,就可能变成真实身份画像。
最小实践
画一张 Agent 数据流图:
- 列出用户输入、钱包地址、交易历史、API key、模型上下文、日志、记忆。
- 标记每项数据存在哪里。
- 标记哪些数据会发给第三方模型或工具。
- 标记哪些字段可以脱敏、hash、聚合或本地处理。
- 写出用户如何查看、撤销和删除这些数据。
扩展阅读
- W3C DID Core:理解去中心化身份如何表达控制权和解析方式。
- W3C Verifiable Credentials:理解最小披露和可验证声明的基础模型。
- OpenAI Safety Best Practices:学习敏感数据和安全设计建议。
- Oasis Documentation:了解隐私计算和 TEE 在 Web3 场景中的方向。