你的 AI 记忆究竟存在哪里？

看看真正用满三个月之后，一份 AI 记忆里积累了什么：客户名字、合同条款、薪酬讨论、你负责的系统架构，还有你为解释一次延期而顺口提过一次的病情细节。这不是缓存。这是一份档案，而它是你在对自己有用的过程中亲手建起来的。

现在回答关于它的三个问题。这些数据在哪个国家？谁能读到？如果这家公司明年倒闭，它们会怎样？大多数记忆产品都没让这些答案容易找到，还有少数确实回答不了第一个。

GDPR 实际上说了什么（以及没说什么）

GDPR 并不禁止把数据存在欧洲之外，任何向你兜售「欧盟托管，否则你就违法」的人都在夸大其词。它要求的是合法依据、目的限制、与风险相称的安全措施，以及——当个人数据离开 EEA 时——一个带有真正站得住脚的保障措施的有效传输机制。

最后这一条才是尴尬所在。在 Schrems II 中，欧盟法院推翻了 Privacy Shield，并明确指出：如果目的地国家的监控法凌驾其上，合同条款起不了作用。随后 EDPB 的建议把数据控制者推向补充性技术措施，而在实践中这往往意味着：要么留在欧洲，要么加密到服务商读不了。

选择记忆服务时，有两个后果是要紧的：

• 如果你是一家处理客户数据的公司，记忆存储就是一个次级处理者。你需要一份 DPA，也需要知道它跑在哪里——不是为了纯洁，而是因为你自己的客户会问。
• 如果你是个人，这些对你都不是法律义务。但它依然是「数据在欧盟管辖之下」和「数据在别人管辖之下」的区别。

「符合 GDPR」是一种说法，不是一张证书

并不存在一个发放徽章的 GDPR 认证机构。当厂商在定价页上写「符合 GDPR」，那是一份自我声明。它可能完全属实。但它不是证据。

SOC 2 和 ISO 27001 *确实*经过审计，也有其价值——但它们审的是一家公司是否照自己说的做，而不是你的字节在哪里、那个答案是否合你的意。一份 SOC 2 Type 2 报告和纯美国托管可以完美共存。

所以别看徽章，去要具体事实：

1. 生产数据库及其备份在哪个国家？说出服务商和区域。
2. 谁有接触明文的技术权限，走什么流程，这种访问是否留痕？
3. 有没有我能签的 DPA，它是否列出了次级处理者？
4. 租户隔离靠什么强制——应用代码，还是数据库？
5. 静态加密：是磁盘级的，还是服务商根本读不到我的数据行？这是两种非常不同的保证。
6. 如果我离开：导出格式、删除时限，以及删除是否包含备份？

一个答不上关于自家基础设施的六个事实性问题的厂商，已经告诉了你一些有用的东西。

没人问的那个隔离问题

多租户服务用两种方式之一把客户彼此隔开。要么应用代码在每一次查询中按客户过滤，要么数据库本身拒绝返回另一个租户的数据行。

第一种很常见，也管用——直到一万次查询里有一次忘了加过滤条件。你读到过的那些「我们看到了另一个用户的数据」事故，相当一部分出自这类缺陷。第二种造起来更贵，而且失败时是向安全侧关闭的：漏掉过滤条件返回的是空，而不是别人的记忆。

这是一个该问的问题，而答案会告诉你这个团队怎么看待失效模式。

零知识：有用、稀有，而且被普遍误述

最强的答案是：服务商不持有任何密钥，在数学上无法读取你的数据。极少有记忆产品提供这一点，原因很乏味：语义搜索需要对内容做计算。你可以加密服务器读不了的数据块，但总得有东西去做嵌入和排序，而那个东西需要明文——要么在你的设备上，要么干脆做不到。

所以当你在一个同时在服务端做语义搜索的记忆服务上看到「端到端加密」，请仔细读。它往往意味着传输中的 TLS 加上由服务商持有密钥的静态加密。这是一种合理的设计。但它不是零知识，而这两者一直被混为一谈——坦白说，这整个品类的营销文案里都是如此。

我们做什么，不做什么

Pryzm 运行在德国的 Hetzner 上，使用加密卷。每个客户都有自己的 PostgreSQL schema 和角色，因此隔离由数据库引擎强制执行，而不是靠我们的应用代码。此外，每个账户的记忆都用该账户自己的密钥加密（AES-256-GCM），由你的密码和恢复短语锁定。备份经过加密并留在欧洲。司法管辖在欧洲，链条中没有美国母公司。

我们不宣称的：零知识。在你登录期间，服务器会在内存中持有你的密钥并解密你的记忆来回应你的 AI——语义搜索总需要在某处拿到明文。对服务器的技术管理访问存在，但受到限制并有日志记录。如果你需要一个永远无法读取你数据的服务商，诚实的答案是自托管。

如果你宁愿谁都不信任，有好几个可自托管的记忆服务器既好用又免费，我们在替代方案对照里列出了它们。自己跑一套，是对这整篇文章最强的回答。