當AI代理開始替使用者執行任務，問題就不再只是模型回答得準不準，而是另一個更現實的疑問：當你把問題交給AI時，服務商能不能知道你是誰？

以太坊共同創辦人Vitalik Buterin在10月16日展示了一套名為「偏執模式」的AI代理隱私方案。他將zkAPI、Tor匿名網路、隨機掩護流量，以及本地模型改寫提示詞等技術整合起來，試圖降低付款身分、網路連線與提問內容遭到關聯的風險。

Vitalik表示，這套工具已經相當實用，但代價是回應速度變慢，尤其是開啟新對話時更為明顯。這個取捨也點出AI隱私的一個核心難題：保護越嚴密，系統往往就越複雜，使用體驗也可能受到影響。

四道防線，分別處理付款、連線與提示詞

這套方案不是單靠一種加密技術，而是把不同環節的隱私保護串接起來。

付款方面，Vitalik採用以太坊基金會於10月1日介紹的zkAPI，目的是降低API付款與使用者身分之間的直接關聯。傳統服務可能要求帳戶、付款紀錄與使用活動相互連結；zkAPI則希望利用零知識證明相關設計，在驗證使用資格或付款條件的同時，減少不必要的身分揭露。

網路連線方面，每段對話都會使用獨立的Tor路徑，並加入隨機掩護流量，避免請求特徵過於固定。這樣做是為了提高外部觀察者將不同請求串連起來的難度，而不是保證所有網路活動都無法追蹤。

提示詞則是另一個容易被忽略的風險。即使隱藏了IP位址，提問內容仍可能包含姓名、工作資訊、所在地或其他可識別線索。Vitalik因此加入本地模型，在提示詞送往外部AI服務前先進行改寫。他使用的模型是Qwen3.8-Flash-Next，讓敏感資訊有機會在離開本機前被處理。

沙盒與Tor再加一層，但仍不是正式產品

除了網路與提示詞保護，Vitalik也把AI代理工具pi放進bwrap沙盒中執行，並測試微型虛擬機等隔離方式，外層再透過torsocks將連線導向Tor。

這些設計處理的是不同層面的風險：沙盒限制代理程式對本機環境的存取，網路路由則試圖降低連線暴露。對能夠操作工具、執行任務的AI代理來說，這種分層思路尤其重要，因為代理不只是回答問題，也可能在授權範圍內讀取檔案或呼叫外部服務。

不過，相關程式碼仍位於GitHub開發分支，並非正式發布版本。現階段的說明包括Tor對話隔離、提示詞改寫及有上限的掩護流量，但正式部署設定與證明金鑰尚未到位。因此，這套方案更適合被視為正在完善的技術實驗，而不是已經成熟、適用所有人的隱私產品。

真正值得注意的，是Vitalik沒有把這套設計描述成完美的匿名工具。

他指出，Tor在這種應用情境下仍有明顯限制。掩護流量或許能提高被動監聽者辨識真實請求的難度，但如果AI服務商與Tor入口節點串通，並主動操縱封包傳輸時間，單靠現有做法就可能不足以抵禦分析。

這涉及一個重要區別：隱藏IP位址，不等於隱藏全部行為特徵。請求發生的時間、流量大小、連線模式，甚至提示詞本身的語意，都可能成為關聯線索。即使各項措施分別有效，也不代表組合後就能完全排除資訊洩漏。

Vitalik認為，這類用途可能需要更專門的混合網路，並接受更高的頻寬成本，同時內建固定的掩護流量。換句話說，真正的挑戰不只是讓流量經過匿名網路，而是讓觀察者更難分辨哪些請求是真實使用、哪些只是掩護。

Vitalik為AI代理開啟隱私模式，zkAPI與Tor能藏住身分嗎？

今年4月，Vitalik曾分享完全在本機運作的私密AI工作環境。這次的方案則針對另一種更常見的情境：使用者仍需要呼叫外部AI服務，但希望盡可能減少身分與提示詞暴露。

兩種方式各有取捨。本地運算能降低資料傳送到外部服務的需求，但受到硬體與模型能力限制；透過外部模型取得服務，通常更方便，卻必須面對網路、付款及內容處理等多重隱私問題。

說實話，Vitalik這次展示的價值，不在於證明AI代理已經能完全匿名，而在於把過去容易被忽略的風險拆解成可處理的工程問題。對使用者而言，隱私不只是服務商是否保存聊天紀錄，也包括付款能否被追蹤、不同對話能否被串聯，以及提示詞是否洩漏個人特徵。

Vitalik最後也提到，zkAPI存款與提領的Gas費用很快將在以太坊主網大幅降低。若相關成本確實下降，可能有助於改善使用體驗，但隱私方案能否普及，仍取決於效能、部署複雜度與實際安全性。

未來AI代理愈能自主執行任務，使用者就愈需要知道自己的資訊流向何處。真正的隱私防線，不是宣稱無人能追蹤，而是讓每一個可能暴露身分的環節，都有清楚且可驗證的保護機制。

這套方案主要處理三類風險：付款資訊與使用者身分的關聯、網路連線暴露，以及提示詞內容洩漏個人線索。它透過zkAPI、Tor、掩護流量與本地模型改寫等方式分層降低風險，但並不代表所有活動都能完全匿名。

不能保證。Tor可以降低直接暴露網路來源的風險，zkAPI則著重於減少付款或驗證過程中的身分連結，但流量時間、封包特徵及提示詞內容仍可能洩漏資訊。若服務商與網路節點串通，或具備主動流量分析能力，保護效果也可能受到限制。

使用者的原始提示詞可能包含姓名、公司、地點或其他識別線索。本地模型可在資料送往外部服務前，嘗試改寫內容、降低敏感資訊暴露。不過，改寫品質取決於模型能力，仍可能遺漏重要線索或改變原意，因此不能視為完全可靠的匿名化保證。