你不知道自己正在建造的忏悔室
在人类历史的绝大部分时间里，一个私密的念头有三重保护，而没有人需要给它们命名，因为世界本来就是那样运转的。第一重是必死性：日记被烧掉，记忆褪去，知情者死去，而你那句毫无防备的话也随之而去。第二重是隐私：一句低声的忏悔没有文字记录，墙壁不会做笔记。第三重是义务：你把最不堪的秘密告诉的那位神父、医生、律师，是被约束的——被誓言、被执业资格、被同时失去二者的威胁所约束——必须替你保守。
AI 聊天机器人一次性抹掉了这三重，而且它是在大约两年的时间里做到的。它不会遗忘；对话是一份完美的、带时间戳的、可检索的记录。它并不私密；它存放在一家公司的服务器上，被用来训练下一个模型，并且可以被交给法院。而它对你根本不负任何义务；它是一件产品，由一家公司出售，其服务条款保留了阅读你所输入内容并把它交给政府的权利。我们建造了物种历史上最私密的一间忏悔室，却忘了给它任何一项忏悔室历来都有的保护。
在 7 月 4 日，一个把自由言说的权利写进宪法的国家，或许可以停下来想一想它从未写下的那项更安静的自由：把某件事说给没有人听的自由——把想法说出声、忏悔、问出那个羞耻的问题，而答案不会变成证据。这项自由，正是忏悔机器在悄然终结的东西，而 2026 年就是法院把它正式确认下来的一年。
法院已经定下的事
十二个月里的三项裁定，终结了"你对 AI 说的话是安全的"这一幻想。
先从最锋利的那一项说起。已崩塌的金融公司 GWG Holdings 前董事长 Bradley Heppner 去年 10 月被以欺诈罪起诉。面对这桩案子，他做了越来越多人会做的事：他打开一款消费级 AI 聊天机器人——Anthropic 的 Claude——并独自使用它来梳理自己的辩护，生成了约 31 份法律论证文件，随后把它们分享给了自己的律师。检察官想要那些聊天记录。他的律师说那些享有特免权。而在 2026年2月17日，纽约南区联邦地区法院法官 Jed Rakoff 裁定它们并不享有。他的说理就是整个故事的缩影：他写道，法律所承认的每一项特免权，都要求存在 "a trusting human relationship"（一种基于信任的人际关系），且对方是 "a licensed professional who owes fiduciary duties and is subject to discipline"（一位负有受信义务、并受纪律约束的持照专业人士）。Claude 三者皆非。"Heppner does not, and indeed could not, maintain that Claude is an attorney."（Heppner 并未、事实上也不可能主张 Claude 是一名律师。）而且并不存在可供保护的保密期待，因为 Anthropic 自己的隐私政策保留了留存他输入内容、以之训练，并向 "third parties"（第三方）——包括 "governmental regulatory authorities"（政府监管机关）——披露的权利。你无法主张某样东西仍是秘密，如果你把它交给了一家公司，而这家公司在你一路点过去的条款里已经告诉过你，它可能会把它交给国家。
对这项裁定要说得精确，因为诚实的版本比标题更窄、也更有用。Rakoff 并没有裁定 AI 对话永远不能受保护；在 2026 年另外两起案件中，法院认定在律师指导下进行的 AI 辅助工作确实保有特免权。真正浮现出来的规则精确而致命：你现有的那些特免权，并不会延伸到覆盖一个你独自向其吐露心声的第三方 AI 供应商。忏悔室之所以曾经保护你，唯一的原因是另一头坐着一个持照的人。而这台机器不是那个人。
再说规模。在出版商与《纽约时报》对 OpenAI 提起的版权诉讼中，一位治安法官命令该公司提交 2,000 万条 ChatGPT 对话——这是一个抽样，约占它所保全的数百亿条中的 0.5%——而在 2026年1月5日，地区法院法官 Sidney Stein 予以确认。那堆记录里存放着最私密对话的那些用户，并不是这起诉讼的当事人。他们没有被通知。他们没有获得提出异议的机会。法院的说理是，他们已经 "voluntarily submitted their communications"（自愿提交了自己的通信内容）给 OpenAI——这是事实，而这恰恰正是要点所在：吐露这个行为，本身就是交出的行为。
而在这两者之下，是最安静也最致命的一个事实。2025 年 5 月，一位治安法官命令 OpenAI "preserve and segregate all output log data that would otherwise be deleted"（保全并隔离所有本会被删除的输出日志数据）——包括用户已经主动删除的聊天记录，以及隐私法本会要求它抹除的那些。有好几个月，"删除"是一个什么都没做的按钮。这道命令最终被逐步解除，但教训是永久的：在云服务上，删除是公司施予你的一项礼遇，直到某家法院叫它停下。删除键是一项界面惯例，不是一项保证。
每周十亿次忏悔
这件事之所以重要，在于规模与私密程度，而两者都比大多数人所意识到的更大。今年 6 月，ChatGPT 的月活用户越过约 10 亿，每天处理约 25 亿条消息量级的消息。而其中相当一部分消息并不是"帮我写封邮件"。《哈佛商业评论》2025 年那份关于人们实际如何使用生成式 AI 的调查，把心理治疗与陪伴放在了榜单最顶端。Common Sense Media 发现，72% 的美国青少年使用过 AI 陪伴产品。OpenAI 加入了一项"记忆"功能，让模型可以引用你过去的全部对话，这把一堆彼此分离的聊天变成了某种更危险的东西：一份纵向档案，一本会回话、且永不忘记任何一页的日记。
诚实要求给出反向的配重，因为这种私密程度很容易被夸大。OpenAI 自己的研究表明，明确属于个人性或情感性的交流只占总量的少数——大约在消息总量百分之几的量级。但这个统计数字并不能带来安慰，方向恰恰相反。每天 25 亿条消息里的百分之几，就是每天数以千万计的、一个人所能作出的最私密的披露，流入一个会留存它们、以它们训练、并且可以被强制要求提交它们的系统。私密性使用是流量中的少数，却是暴露风险中压倒性的多数。并不需要所有人都去忏悔，忏悔机器就已经是有史以来所汇集的、关于人类脆弱面最丰富的那一批藏品。
其他每一间忏悔室都是封存的
以下这一点，让 AI 忏悔室成为一种反常，而不是一种必然：法律已经花了两个世纪，一间接一间地小心封存了其他每一间忏悔室，而它同样可以封存这一间。
律师—当事人特免权最为古老，可追溯至伊丽莎白时代的英格兰。医生—患者特免权在普通法上甚至根本不存在——它完全是成文法的产物，最早由纽约州议会在 1828 年写入，原因正是立法者判断：如果医生可以被强制作证，人们就不会去求医。心理治疗师—患者特免权更年轻：最高法院直到 1996 年才在 Jaffee v. Redmond 案中予以承认，理由是保密性的咨询服务于一种重要到法律应当为保护它而压制哪怕是相关证据的公共利益——而且很能说明问题的是，法院拒绝让法官逐案去权衡从而把这种保密性衡量掉，因为 "a privilege whose scope is uncertain is little better than no privilege at all."（一项范围不确定的特免权，比没有特免权好不了多少。）再加上五十个州全部承认的神职人员—忏悔者特免权，以及配偶特免权，你就得到了一个反复作出同一判断的法律传统：有些对话必须能够被安全地说出口。
而 AI 忏悔不具备其中任何一项。它之所以不具备，也正是它如此难以修补的原因。
给这台机器一项特免权？
显而易见的回应——也是 Sam Altman 的回应——是像封存旧忏悔室那样去封存这间新的。2025 年 7 月，在 Theo Von 的播客上，这位 OpenAI 的 CEO 说出了他自己的产品所造成的事实："人们把自己人生中最私密的破事都说给 ChatGPT 听"，把它当作"一个治疗师、一个人生教练"来用。而且，他接着说，"如果你把这些问题说给治疗师、律师或医生听，是有法律特免权的……而对于你跟 ChatGPT 说话这件事，我们还没把这一块想明白。"他把这个空白称为"非常糟糕的一件事"，并恳求确立媒体后来称之为 "AI privilege"（AI 特免权）的东西。以其最强的形态来看，这是一个有力而人道的主张：聊天机器人已经成为数以亿计的人的忏悔室；法律庇护过此前的每一间忏悔室；让这一间赤裸着，是一个值得纠正的历史偶然。
但仔细看，这个解法会在你手里化掉，理由有三，而且都是法律本身提供的。第一，特免权是一个带例外的承诺。每一项真实存在的特免权都有豁除条款——犯罪—欺诈例外自 1906 年起就一直在刺穿律师—当事人保密——所以哪怕真的确立了一项"AI 特免权"，它也会恰恰在国家最想要那些日志的那些案件里蒸发。第二，它会保护错误的一方。Altman 在恳求这件事的同时，OpenAI 正在对抗一道要求提交聊天记录的法院命令，而他自己的公司正被起诉；一项封存忏悔的特免权，同时也把公司那份两千万条日志的蜜罐从证据开示中封存了起来。它是一面披着用户权利戏服的企业护盾。第三，也是最难的一点——正是这些日志，才让我们知道这台机器根本就是危险的。这把我们带到了没有人愿意写的那一部分。
证据开示堆里的死去少年
忏悔机器已经有了死亡人数，而它的记忆就是证据。
2024 年 2 月，一位名叫 Sewell Setzer III 的十四岁少年，在与一个 Character.AI 陪伴机器人对话数月后自杀身亡。他母亲对 Character.AI 与谷歌提起的诉讼，完全建立在那些聊天记录之上；一位联邦法官准许此案继续进行，裁定该聊天机器人是一件 "product"（产品），而非受保护的言论；2026 年 1 月，两家公司就横跨四个州的一批此类案件达成和解。各州总检察长随后跟进：肯塔基州 1 月起诉，宾夕法尼亚州 5 月起诉，涉及一个据称冒充持照精神科医生、并伪造执照号码的机器人；而在 2026年6月1日，佛罗里达州成为第一个直接起诉 OpenAI 与 Sam Altman 的州——其诉状援引称，佛罗里达州立大学枪击案凶手曾 "consulting ChatGPT on what guns to use, what ammo to use, what time of day to carry out the attack."（就使用何种枪支、何种弹药、在一天中的什么时间实施袭击，咨询过 ChatGPT。）
请与这份张力共处，因为它是整期文章诚实的核心。让忏悔机器成为一个监控蜜罐的那些被留存的日志，正是揭露它对儿童构成危险的那些日志。一项笼统的"AI 特免权"——也就是 Altman 所要求的那个解法——会把恰恰这类证据置于禁区之外。你无法一边要求这台机器的记忆对国家封存，同时又要求它对一个死去孩子的父母开放。这就是 AI 保密性辩论核心处的那个死结，而任何告诉你这件事很简单的人，都是在向你推销什么东西。那项会保护无辜倾诉者的特免权，同样会保护那家放任机器人诱哄一名青少年的公司。
有一条走出这个死结的路，但它不是特免权。
每一次忏悔，都离一次泄露只有一步
在说出口之前，还有一个理由说明这个蜜罐无法维持：它不只是被传唤，它还会泄露。2025 年 7 月，约 4,500 条用户"分享过"的 ChatGPT 对话被发现已被 Google 搜索索引，任何人都能读到。2026 年 2 月，一个配置错误的数据库暴露了单一款 AI 聊天应用中 2,500 万用户的约 3 亿条消息。2026 年 5 月，安全研究人员发现约有一百万项 AI 服务暴露在公共互联网上——其中包括数以千计未做安全设置、直接面向全世界的本地模型服务器。以"隐私"为卖点的浏览器扩展被抓到在悄悄转卖用户的提示词。而 Anthropic 在 2025 年 8 月转向了一种默认对消费者聊天进行训练并最长留存五年的模式。你敲下的每一件私密之事都正在被复制、被留存，并且——通过法院命令、通过配置错误，或者通过商业模式——被置于可能被提交的风险之中。一堆人类最私密的自陈，是有史以来所汇集的最诱人的单一目标，而每一堆此类数据的历史都表明：它最终会溢出来。
特免权是一个承诺；遗忘是一项保证
出口在这里，而它是架构性的，不是法律性的。
唯一无法被传唤、无法被反删除、无法被泄露、也无法被某项例外豁除的忏悔，是那句从未被存放在别人服务器上的话。在 2026 年，这已经不再是发烧友的幻想。你可以完全在自己的机器上离线运行一个真正有能力的 AI，它不会写下任何服务器日志，因为根本没有服务器。工具是免费而成熟的——Ollama，如今每季度提供数以千万计的模型下载量；LM Studio；Jan。模型是真实的：2025 年 8 月，OpenAI 自己以宽松许可发布了开放权重模型 gpt-oss，其中较小的那个可以在一台内存 16 GB 的笔记本电脑上运行，并接近其自家托管的中档模型的质量。阿里巴巴的 Qwen、DeepSeek、Meta 的 Llama 和谷歌的 Gemma 填满了一片广阔的开放领域。Apple 提供了一个完全在你手机上运行的小型语言模型，并把更难的查询路由到一套名为 "Private Cloud Compute"（私密云计算）的系统，其隐私主张不同寻常地是可验证的——Apple 公开签名的软件镜像，并允许研究人员检查它们。本地模型在构造上就是遗忘：没有什么可保全，没有什么可提交，也没有什么可泄露。
现在轮到本系列所欠的那份诚实，因为架构只有在你说清它的代价时才算是一项保证。本地模型仍然落后于前沿——按最好的独立衡量，开放模型比顶尖闭源模型落后大约四个月，并存在一段有意义的能力差距；而真正能与前沿匹敌的那些版本需要数据中心硬件，而不是一部手机。"直接在本地跑就行了"在今天是技术上装备齐全者的特权，而且它丝毫没有触及那十亿仍将继续使用云端聊天机器人的人。Apple 的 Private Cloud Compute 是目前最强的云端隐私设计，但它仍然要求你信任 Apple 的芯片与供应链——可验证并不等于无需信任。保存在你自己磁盘上的本地聊天记录，仍然可能从你自己的设备上被扣押。而最硬的那道限制来自上一节：一台不留日志的遗忘机器，同样不留下儿童被诱哄的证据，也无法提供任何服务器端护栏，去打断一个正在描述自伤计划的青少年。庇护无辜者的那份遗忘，也移走了脆弱者的安全网。一个隐藏了这项代价的隐私论证，只是另一种形式的过度声称。
所以诚实的综合要同时持守两项真相。架构胜过承诺——从未被留存的数据无法被传唤、被提交或被泄露，而这是任何"AI 特免权"都提供不了的一类保护。但架构必须与一场关于能力、以及关于儿童安全的清算配套，否则它就会变成它所取代的那种同样的一厢情愿。
反制，逐层来看
用户侧的答案在哪里取胜，又在哪里走到尽头？
它在忏悔本身这一层取胜。对于想把想法说出声、却不想因此建起一份可被证据开示的记录的人，本地模型是干净的答案，而且它每个月都在变好。对于那些必须发生的云端查询，把痕迹最小化是真实可行的：关闭训练、使用临时对话，并把网络层路由通过像 URnetwork 这样的私密覆盖网络，使得"谁在哪里问了什么"这份元数据本身不会变成一份日志。Oracle 级别的泄露事件和那道两千万条日志的命令，正是支持它的论据：你无法丢失、传唤或泄露一段只存在于你口袋里那台设备上的对话。
它在能力与照护这两处走到尽头。前沿住在云端，而大多数人会跟着它到那里去；对他们而言，这场斗争不是架构性的，而是法律与政治性的——一场关于留存默认值、关于有意义的删除、关于"去标识化"在两千万条规模上还有没有任何含义、以及关于一种纯粹私密的架构无法满足的儿童安全义务的斗争。两半都是真实的。向一台机器吐露心声的人，值得拥有一个会遗忘的选项；而一个允许自己的孩子向机器吐露心声的社会，需要一台遗忘的机器无法提供的护栏。同时持守两者，才是这场论证的成年人版本。
说给一个会遗忘的东西听
忏悔机器是有史以来所建造的最有用、也最危险的隐私物件，而这两个事实是同一个事实。它有用，正因为人们什么都告诉它；它危险，正因为它保留了人们告诉它的一切。Sam Altman 说这个空白"非常糟糕"，这一点他是对的；他关于疗法的看法则是错的。特免权是在请求国家承诺不去读一堆仍将存在、仍会泄露、并且在下一条例外被写出来时仍会被打开的东西。它治的是症状——阅读——却保留了病灶——那一堆东西。
更古老的那些忏悔室之所以安全，不只是因为法律保护它们，还因为它们会遗忘。日记被烧掉。低语消散。神父带着你的秘密死去。这台机器的危险恰恰在于它一样都不做；而最深层的答案，不是让国家发誓它不会偷看。而是去建造一间不留任何记录的忏悔室——把那件羞耻的、必要的、属于人的话，说给一个无法被迫复述它的东西听，因为它自始就没有握着它。
在 7 月 4 日，在一个保护你可以说什么的国家里，值得捍卫的是它之下那项更古老也更安静的自由：把某件事说给没有人听、并让它保持未被说出的自由。如果你能争取到一项特免权，那就给这台机器一项；它会帮到那十亿留在云端的人。但如果你想要的是一项保证而不是一个承诺，那就去建造那台会遗忘的机器。最安全的忏悔，是这台机器从未留存过的那一句。
URnetwork 是一个用于抗审查传输的点对点覆盖网络，其设计用以抵抗网络层的深度包检测；它 2026 年 2 月发布的 MCP 服务器让智能体客户端可以在这个点对点覆盖网络上建立会话，把传输从运营商层抽象出来。它是一件路由与保密工具，对自己的局限是诚实的：它能把一次云端 AI 调用的元数据痕迹最小化，也能把本地优先的架构承载在一条抗审查的路径上，但它无法让一个云端模型遗忘——只有自己运行模型才能做到这一点；这正是本期主张忏悔机器的持久保护是架构性的、必须被建造出来而不只是被立法出来的原因。
https://ur.io