周三下午三点，一家给医院做随访系统的小公司开安全评审会。会议室坐了六个人，客户方来了两个。
对方不问功能，先问了一句：“你们开发时用的那个 AI 工具，代码存在哪？”负责人说，装在本地电脑上，没往外传。对方让他把工具的网络记录打开。
屏幕上是一串地址，三天，两百一十七次请求。他把项目 1.4 万行代码的字数当场算了一遍，会议室安静了十几秒，评审停在这里。装在本地的软件，代码是怎么出去的？
为什么会这样
一句话：软件装在你电脑上，算的地方不在。你每按一次回车，它都要把一段代码送去别处算，算完再送回来。
卡在模型的大小上。一个能干活的模型，光权重文件就几十到上百 GB，跑起来还占显存。普通笔记本 16 GB 内存，装不下。
工具只是个壳子。你看见的补全、改写、解释，都是把问题发出去、把结果收回来。壳子在你桌上，脑子在别人的机房。
发出去的不是一整个仓库，是这一次要用的那几段。你打开的文件、你 @ 的文件、它自己检索到的几段，加上前面聊过的话。这些合起来叫上下文，就像桌上摊开的资料，一次能摊多少有上限，摊满了得把旧的收走。
每次请求都要重新摊一遍。他三天问了 217 次，每次平均带 2.6 万字，加起来 564.2 万字。
项目 1.4 万行，一行按 22 字算，是 30.8 万字。564.2 除以 30.8，18.3，等于把这个项目从头到尾传了十八遍。
那 2.6 万字里装了什么，得打开记录才知道。他看见一段数据库连接串，还有一份测试用的患者名单。这两个文件他没 @ 过，是检索顺手带上的。
三个星期也是算出来的。补一份数据流向说明，3 天。逐条核对 217 次请求的收发内容，一次 6 分钟，21.7 小时，约 3 个工作日。
客户重排安全评审，等 10 天。改完再送审到通过，5 天。3 加 3 加 10 加 5，21 天。
怎么解决
三条，从最便宜的开始。
关掉全仓库索引，只 @ 当前这个文件。 成本零，改一个开关。每次带的字数从 2.6 万降到 0.8 万，217 次合计 173.6 万字，等于 5.6 遍，少了七成。
索引是把整个仓库切成小片、算成一组数字存起来，好让它快点找到文件。开着它，你没打开的文件也在里面。
列一张“不许出”的清单。 成本半小时。密钥、连接串、真实患者数据、身份证格式的数字，都写进忽略规则。
早半小时配好，那 564 万字里最要命的两段根本不会发出去。
真要隔离的项目，把模型搬进自己机房。 一套 7B 级的开源模型，一张 24 GB 显存的卡能跑，整机三四万（假设）。它比云端的大模型笨，但代码一步都不出门。
别踩的三个坑。
以为“装在本地”就等于“没传出去”。装的是壳子，传的是内容，两件事。
只删了仓库里的密钥，忘了它在聊天记录里已经发过一次。删文件不等于删记录。
把整段报错日志贴进去排查。日志里有真实用户信息，比代码更敏感。
平台怎么管这些问题
一个出口。 十二个人、五款工具走同一个地址。在这个场景里，217 次请求落在一条线上，不用去八个后台拼图。
请求留痕。 每次记下发了哪几个文件、多少字、去的哪个模型。在这个场景里，那 2.6 万字能一项项列出来。
文件拦截。 命中密钥、连接串、身份证格式的片段，发出去前就拦下。在这个场景里，那两段不会跟着走。
项目分级。 按项目定规矩，随访系统这种只许走机房里的模型。在这个场景里，记录里根本不会出现外部地址。
机房网关。 在机房里起一个出口，请求先过网关再出去。在这个场景里，出去过什么，网关上有账。
异常告警。 某个项目单日请求量比前七天均值高出一倍就发消息。在这个场景里，第二天就该有人问一句。
这些功能平时谁管，四件事。
谁能改规则：那张“哪些文件不许出”的清单，只有安全负责人和技术负责人能改，改完在群里贴一行。
谁能批例外：某个项目临时要放开，团队负责人签字，写明放开到哪天，到期自动收回。
出事能不能倒查到人：每条请求带账号和时间。先查那一天，能指到人、指到哪次、指到哪个文件。
告警发给谁：发给当周值班的那个人，名字写在值班表上，不发到一个群里。
这笔钱值不值
掏钱的是公司，不是写代码的人。
这次卡住三周，账是这样的。三个人被抽去补材料，3 天，72 小时；另外六个人等评审，21 天里每人每天搭进去 2 小时，252 小时。合计 324 小时，按一小时 150 元算（假设），4.86 万元。
配一套网关加一份清单，一个人两天，16 小时，2,400 元。
在头一次评审前配好，就是两天回本。
行业规则怎么管这件事
这条线最贴近的是《数据出境安全评估办法》。国家互联网信息办公室令第 11 号，2022 年 7 月 7 日公布，同年 9 月 1 日施行。
它第四条列了四种要申报安全评估的情形，其中一类是“数据处理者向境外提供重要数据”。
门槛写得很实：累计向境外提供 1 万人敏感个人信息才够。这家公司的测试名单不到两百人，够不上。可它把判断标准摆清楚了——看的是发了什么、发了多少、发去哪，不是软件装在哪。
那 217 次请求最终去了哪台机器，决定这件事是内部疏忽，还是要多走一道申报。
周三下午那间会议室里，他答错的地方不在技术，在于他把“软件在哪”当成了“数据在哪”。中间隔着一条网线，也隔着那三个星期。
Token工厂：贰号token工厂
Codex、Claude Code、Trae、Qoder 要用的模型 token，统一接入、统一计费。
点这里看详情 →