规划与开发中 · 邀请内测Windows 10/11 · 客户端免费 · 官方 AI 按积分使用
Privacy & Egress
隐私与出网清单
资料留在本机，出网按功能逐项列出。本页与桌面客户端设置页读同一份清单；云端审计与它的对账尚未接入。
PRINCIPLE 01
资料在本机：知识库、原件、本体与本地向量索引永不主动上传。
PRINCIPLE 02
先确认额度：第一次使用官方 AI 时确认一次本次额度（默认 30 积分），期间的问答与起草共用，按实际用量扣减；空闲 15 分钟或手动结束后退回未用部分。
PRINCIPLE 03
用量最小化：问答仅发送提问与命中的原文片段；识别仅发送选定页图，不上传整份文件。
PRINCIPLE 04
云端不留正文：问答与起草正文转发上游模型后不落盘，不作模型训练；识别页图与结果随请求返回，不落盘。
PRINCIPLE 05
离线安全：断网或云端不可达时，本地工作区浏览、编辑、检索、版本管理与导出照常可用。
出网明细清单
每个功能发什么、发到哪、存多久。标为“尚未开放”的功能目前不会出网。
| 功能与场景 | 出网发送内容 | 目的地 | 云端留存策略 | 计费状态 | 断网/离线状态 |
|---|---|---|---|---|---|
| 额度确认与结算 | 功能类型、模型代号、预估用量与额度上限（不含正文、文档或页图） | IAI 官方网关 | 不存正文，仅记录请求编号、预留额度与时间戳 | 免费（不扣积分） | 云端不可用时暂停官方 AI |
| 智能问答 | 用户提问正文 + 命中的本地知识库原文片段 | 官方网关 → 上游推理模型（DeepSeek / 阿里云百炼） | 转发上游后不落盘，不作为模型训练语料 | 从本次官方 AI 额度中按实际 Token 扣减 | 暂停云端问答；若配置本地模型则使用本地推理 |
| Wiki 专题整理 | 用户选定进行专题沉淀的本地资料正文片段 | 官方网关 → 上游推理模型 | 转发上游后不落盘，整理结果直接回传写回本地 Wiki | 从本次官方 AI 额度中按实际 Token 扣减 | 暂停云端整理；对象页骨架生成完全本地执行不受影响 |
| AI 引导起草本体 | 用户对引导问题的回答文本 + 选定范式包的基础类型定义 | 官方网关 → 上游推理模型 | 转发上游后不落盘，草案仅写入本地草稿区，由用户逐条采纳 | 从本次官方 AI 额度中按实际 Token 扣减 | 暂停 AI 起草；直接导入范式包或从空白创建完全本地可用 |
| 云端扫描页识别 | 扫描件或图片的页面图像：本机解析不了、也没有本机增强解析时，每份文件先报价，确认后才逐页发送 | 官方网关 → 上游 OCR 视觉模型（qwen-vl-ocr） | 页图只在本次请求内存中处理，不落盘；识别结果随请求返回本机 | 按每页实际用量计费，识别前报价确认上限，没用完的退回 | 暂停云端识别；有文字层的 PDF 与 Office 文件在本机解析，免费 |
| 本体 AI 演化建议 | 能力问题文本 + 当前本体相关类型定义与片段 | 官方网关 → 上游推理模型 | 转发上游后不落盘，生成演化提案进草稿区 | 从本次官方 AI 额度中按实际 Token 扣减 | 暂停 AI 建议；手动增删改类型与关系不受影响 |
| AI 体检出题 | 选定资料的摘要切片与知识点 | 官方网关 → 上游推理模型 | 转发上游后不落盘 | 从本次官方 AI 额度中按实际 Token 扣减 | 暂停 AI 出题；已有体检题集测试本地运行 |
| 微信、飞书、钉钉通道 | 在聊天里发给机器人的提问、图片与文件，机器人回复的正文、出处标题和定时任务的推送摘要 | 腾讯 iLink（微信）、飞书开放平台、钉钉开放平台 | 按各平台自己的规则保存，IAI 无法控制；IAI 不会在这些平台之外另存 | 通道本身免费；问答照常消耗额度 | 只在你扫码或填写凭据接入后才发生，断开连接后停止；断网时通道暂停，桌面照常可用 |
| 注册、登录与设备授权 | 手机号或邮箱、验证码或微信扫码、PKCE 授权挑战码（在系统浏览器中完成） | IAI 账号中心（account.iai.example） | 云端保存加密的手机号或邮箱、登录记录与已授权设备名；本机访问令牌只在内存，刷新凭据由 Windows DPAPI 保管 | 免费 | 初次激活绑定需联网；绑定后离线直接进入本地工作区 |
| 安装版本心跳 | 应用版本、变体（personal）、操作系统与架构，以及本机已验签生效的远程配置版本号（有才带）；不含任何资料、提问、账号内容或完整 IP（云端只留 /24 前缀）。云端的回执里可能带一份已签名的配置（公告、默认模型、升级建议等），本机用内置公钥验签通过才应用，验不过就保留上一版 | IAI 官方网关 | 云端保存最近一次上报与在线时间，用于版本分布、灰度发布与阻断有缺陷的版本 | 免费（不扣积分） | 可在账号页关闭上报。关闭后仍可使用官方 AI，只是不参与灰度。已被阻断的版本在升级前不能使用官方 AI，也不会扣积分。断网时暂停上报 |
| 兑换码入账 | 你输入的兑换码 | IAI 官方网关 | 云端记录兑换码的使用状态与入账流水 | 免费，入账增加积分 | 只在你主动输入兑换码时发生；断网时无法兑换 |
| 上传诊断包 | 你在账号页点击“上传诊断”并确认后，才会发送：应用版本、变体、操作系统与架构，是否被阻断或暂停的标记，以及启动日志末尾 30 行（本机路径已折叠，不含令牌、资料或提问内容）。发送前界面会展示全部内容 | IAI 官方网关 | 云端保存上传的诊断包并关联一条运维事件，用于排查你反馈的问题；运维台只能查看已上传的包，不能主动拉取 | 免费（不扣积分） | 只在你主动点击时发生；不上传不影响任何功能，断网时无法上传 |
| 手机伴侣配对与加密中继 | 配对时发送设备名称、平台、双方公钥及口令摘要；连接时发送账号/主机/设备标识、协议版本、在线时间及端到端加密帧。中继可见连接时刻、设备路由和密文长度，看不到资料、问答或收件正文 | IAI 账号中心与官方加密中继 | 云端保存配对和设备元数据；离线密文按电脑最多暂存七天（200 MiB / 2000 条），电脑签收后删除；不备份暂存密文数据 | 中继本身不扣积分；电脑调用官方 AI 时按原有额度计费 | 电脑离线时文字与链接可密封交云端暂存；附件保留手机本机，电脑上线后发送。关闭保持在线或吊销手机后停止实时访问 |
| 资料解析、全文检索与本地语义索引 | 不出网：Word、PDF（有文字层）、Excel、PowerPoint 在本机解析 | 本机内存与本地存储 | 全部留在本地电脑，不上云 | 完全免费 | 完全可用 |
✓
云端保存的信息
仅用于账号管理、计费对账与多端设备会话安全：
- ·手机号或邮箱（加密保存）与登录审计记录
- ·积分批次流水、预留记录与请求编号（不含内容）
- ·订单信息、支付渠道交易号与对账状态
- ·已授权设备名称与操作系统标识
- ·手机伴侣的主机与设备公钥、配对和连接元数据（不含二维码原始口令）
- ·手机主动投递的端到端加密离线收件，最多七天，电脑签收后删除
✕
云端不保存的信息
你的核心知识资产永远留在你的电脑上：
- ·用户的本地知识库、原文档、电子书或作业标准
- ·本地本体结构、关系与业务对象实例
- ·问答提问与回答正文（转发上游模型后实时回传，云端网关不落盘）
- ·识别用的页面图像与识别结果
断网与离线可用矩阵
初次使用客户端需联网到官网注册或登录一次以绑定设备与工作区。绑定后，即使网络不可达、账号登录过期或积分为零，本地体验依然完整。
全部照常
本地资料与知识库
导入文件、解析文字层、阅读原件、关键词检索与本地轻量语义检索完全离线可用。
全部照常
本体与 Wiki 对象页
直接导入范式包、编辑类型与关系、保存版本、公理校验、回归测试与 Wiki 对象页生成全部在本地运行。
优雅暂停
官方 AI 远端推理
智能助手云端问答、AI 引导起草、Wiki 专题深度整理与云端 OCR 暂停，不发起请求、不扣积分；配置本地模型后问答可切至本地。