记 — 数据一个比特都不出家门

云进不去的屋子

有些谈话，按规定就不能离开这间屋子。

市面上的会议录音会帮你转写，也会把录音留在它们的服务器上。加密保管，是它们对「留下」的说法。做一次产品演示，够了。

对律师的客户保密义务、诊室里的病历谈话、咨询室、消息源、还没公开的数字——「我们加密保管」仍然是「我们保管」。

「记」不是写给想省一笔订阅费的人。是写给云方案根本卖不了的人。不是他们挑剔，是职责比产品更早。

我们能站得住的那句话，不是「你的数据在我们这儿很安全」。是：我们根本没有你的数据。

律师

客户保密义务不是一项隐私设置。笔录如果在供应商的磁盘上，那块磁盘不归你管，那张调取通知也不是只向你发出。

医生

医患谈话不是语料。如果录音不能离开诊所，一个必须联网的产品，你买不了。

咨询室

咨询之所以成立，是因为这是一间关上的屋子。第三方无论多么善意，都已经在屋里。

记者

录音是消息源。消息源不是别人桶里的对象。保护消息源，不是一项可以外包给云的功能。

关上门的会

董事会、并购、未公开的数字。会议本身就是信息。云是多出来的一份拷贝。

唯一作数的那句

我们根本没有你的数据。

这不是给云产品后补的隐私功能。这就是产品本身。没有账号可注册，没有东西可同步，没有订阅会过期。

声音从你身上的石，走到家里的盒子。路就这一条。再往外——到我们、到某个模型接口、到一份你没要过的备份——那条线没有画，因为没有接。

别人说：我们加密保管你的数据。那是一句真的承诺，但不是这句。我们不能加密我们没有的东西，也不能交出我们没有的东西，也不能弄丢我们没有的东西。

而且是代码在挡，不是口号：软件检测到推理地址指向公网，会拒绝启动。

从身上的石，到家里的盒子。手机问盒子。这张图里没有任何一条线指向我们，因为产品里也没有。

URDA_LLM_URL = <公网地址>          →  拒绝启动
    指向公网 — 推理必须留在本地

URDA_LLM_URL = 127.0.0.1:8080        →  通过
    转写 1.4s · 当日整理 6.1s · 离线: true

启动守卫的真实输出。每一版发布，都在拔掉网线的情况下测过。

两句话

他们加密保管。我们从未持有。

云端挂件

「我们加密保管你的数据。」

一句真的承诺。录音仍然住在不属于你的计算机上。加密描述的是保管，并不能取消保管。

记

「我们根本没有。」

录音住在你自己的盒子上。明天若有人向我们调取，没有你的东西可交——我们从未收到过。

你可能已经带着一个了

把过去两年一起搬过来。

你手上也许已经有一台录音笔,它把一切都送去了别人的服务器。离开它,不该意味着丢掉它听过的东西。

把存档导出来,把 zip 交给记座,它就在一台属于你的机器上变得可检索。不用买新硬件,不用等任何东西。这也是最便宜的一种试法 —— 在掏钱之前先弄清楚,“向自己的过去提一个问题”对你到底值不值。

我们不为任何一家的导出格式写解析。那些文件我们一份都没拿到过,照着传闻写出来的 schema 会在第一个真包面前碎掉 —— 而且是悄无声息地碎,谁都查不出来。

所以记座按文件是什么来分流:录音去转写,字幕和转写稿直接读,json 拿去嗅探里面有没有像话语的东西。读不出来的,一个一个把名字列给你看。默默丢掉你一半的存档,是这段关系最坏的开场 —— 到那时你多半已经把另一家的订阅退掉了。

不用你开口

你不该先知道该问什么。

一个只会回答问题的回忆产品,服务的是那些已经知道该问什么的人。开完两小时的会,大多数人手里没有问题,只有一种“好像答应了什么”的感觉。

所以“回头看”也会不问自答:这一天到底在谈哪几件事,以及你说过要做的事。每一条都带着你当时的原话和说这句话的那一分钟 —— 点一下,时间线就滚到那一句。

而当一条内容对不回你真说过的话,我们直说,不给它化妆。

脉络上锚不住的节点直接不画 —— 一张图就该整张都是真的。待办里锚不住的那条保留,但标成没能对回原话 —— 漏掉一件你真答应过的事,比标不出时间严重得多。这个不对称是刻意的,它也正是这件事和“一个模型自信地总结了你的一天”之间的全部区别。

它是什么

三件。少一件，它就不工作。

记石 Stone

硬币大小的录音器。一只麦克风，一枚按钮，一周的电。没有屏幕，也没有无线电——它坐回底座充电时，顺着同一根线把录音交出去。

它不思考，也不发送。固件里根本没有一套无线协议栈可供关闭。

记座 Base

放在家里的一台小机器。转写、索引、理解，都在这里发生。

不为模型，不为备份，不为你没要过的更新。

回头看 Look

手机上一个页面。一条时间线，一个提问的框。它用当时说过的话来回答。

它不是聊天窗口。做聊天框，等于承认我们不知道该做什么。

戴上。忘掉。事后再问。 没有要打开的应用，没有要开始的会话，没有要挑选的模型。

硬件，不是设置

关掉，是把线掐断。

只能在软件里静音的麦克风，是一只你必须信任的麦克风。记石上有一枚切断胶囊供电的物理开关。

关就是关——固件错了也关。这是我们能做进物体里的克制。其余的克制在你：录音的法律因国家和地区而不同，有的地方需要每一个在场的人同意。弄清并遵守这些规则，是使用者的责任。我们不会假装那是我们的问题。

胶囊有电。可以录音。

线上有缺口。不是一只你必须相信的软件静音。

第一版

一场会。任何一句。原话。

我们不声称记录一生。现在不，诚实起见也不。第一版把一件事做完。

戴着开完一个六十分钟的会。会后问任何一句——原话，带着前后文。十秒。现在把记座的网线拔了，再问一次：什么都不会变。用它从来不需要你拔任何线——那只是你不用读我们一行代码，就能自己验证我们的方法。这就是验收标准。做不到，不发货。

声音，被记下

先是声音，再是石头。

身上那枚石不做理解。它只采集。意义在家里做成，在一台没有通向我们的路的机器上。

我们拿掉的

大部分工作，是决定不做什么。

没有摄像头麦克风已经让屋子不安。摄像头会让它充满敌意。而描述图像需要一只我们拒绝向云租用的模型。
没有屏幕加上显示，你就是在和那只已经戴着的表竞争——并且为此丢掉一周的电。
没有聊天窗一条时间线，一个提问的框。界面就是这些。
没有云账号没有要注册的，没有要登录的，没有我们可以在一次泄露里丢掉的。
没有订阅按月收费，就得把客户的数据扣在手里。我们卖给你一台机器。
没有插件市场做五百件事的产品，一件也做不成。
没有通知它从不先开口。它是记忆，不是室友。

这句承诺的价钱

盒子坏了，记忆就没了。

这是没有云的产品要付的价钱。你可以把记座备份到自己的硬盘，我们不会把这件事做困难。我们不会把你的生活默默拷走，再卖给你取回。

转写这件事，本地模型现在已经和租来的差不多准。用家里的盒子做一天的摘要，比最大的云模型弱。我们不会假装不是这样。我们认为这笔交换值得。

记忆住在你自己的硬件上，像一本放在桌上的笔记本。本子没了，字也就没了。差别在于：没有第二份影印件在别人手里。

这是事实，不是姿态。有人需要一份云上的拷贝，他们应该去买云产品。「记」是另外那个东西。

有人问

实话。

旁边的人怎么办？

这是这个产品最难的问题，而且不是技术问题。一只一直在听的麦克风，会让附近的人不舒服，处理放在本地也解决不了这个。我们的回答是克制，加上一枚硬件开关：记石切断麦克风供电——不是一只你必须相信我们的软件开关。录音的法律因国家和地区而不同，有的地方需要每一个在场的人同意。弄清并遵守，是使用者的责任。

记座坏了怎么办？

记忆就没了。这是没有云的产品要付的价钱。你可以备份到自己的硬盘。我们无法帮你找回，因为我们从未持有过。

和那些 AI 挂件有什么不同？

它们在自己的服务器上处理录音，按月收费。这不是执行上的瑕疵——这是它们的生意，也是它们改不了的那一件。它们的隐私句是：我们加密保管你的数据。我们的是：我们根本没有。两种都是真产品。只有一种卖得进那间按规定不能离开的屋子。

本地模型够用吗？

转写已经够用。用家里的盒子做一天的摘要，比最大的云模型弱。这个交换我们说在明处。第一版要验收的，是会后问一句原话。不是一段漂亮的综述。

以后会加摄像头吗？

直到能在你自己的硬件上被理解之前，不会。一旦加上一只必须靠云才能看懂画面的摄像头，这页上的承诺就作废——而承诺就是产品。

我能接自己的模型吗？

推理必须留在你自己的网络里。把盒子指向一个公网地址，它会拒绝启动。这一关写在软件里，不是写在一份请你相信的政策里。

登记

发货的时候在场。

留下一个邮箱。有可演示的机器、日期和价格时，我们写一封信。不是通讯。

数据一个比特都不出家门。