Сейчас все говорят о приватности, особенно после последних утечек. Переписки людей с ChatGPT и Claude продаются в коммерческой базе, и исследователь нашел в ней данные пациентов, которые медики вставляли в чатбот. VPN-расширения для Chrome, которые обещали как раз приватность, собирали чаты с ИИ у 8 миллионов человек и отдавали их брокеру данных. А одно приложение-чатбот выложило в открытый доступ около 300 миллионов сообщений (это оценка исследователя), просто потому что криво настроили Firebase.
Я делаю WireCat. Это open source инструменты, которые дают ИИ-агенту доступ к вашей переписке в Telegram, WhatsApp и MAX, к почте, заметкам, встречам и CRM, чтобы он мог ответить, о чем вы договорились с клиентом или что обещали коллеге. Т.е. агент получает как раз то, что утекать не должно, причем не только ваше, но и сообщения людей, которые вам пишут. Поэтому о приватности мы в WireCat думаем постоянно. Все данные с самого начала хранятся у вас на компьютере, а что и куда отправляется, решаете вы. Ниже я собрал, когда приватность реально нужна, где данные утекают во время работы с агентом и что с этим можно сделать.
Когда приватность реально нужна
Я не думаю, что всем срочно надо уходить с облачных моделей. Я сам пишу код с Claude Code, и для большинства задач облако быстрее и умнее того, что потянет ноутбук. Но есть случаи, когда об этом стоит подумать заранее:
- В переписке чужие слова. Это мне кажется самым недооцененным. Клиент прислал договор, друг рассказал про здоровье, и никто из них не соглашался, что это прочитает чья-то модель. Свой код вы отдаете агенту сами, а с перепиской немного решаете и за других. WhatsApp, кстати, весной 2025 добавил настройку чата, которая запрещает использовать его сообщения с ИИ.
- Профессиональная тайна. Американская ассоциация юристов пишет, что юрист должен получить явное согласие клиента, прежде чем вводить его данные в ИИ, который на них учится. В Нидерландах регулятор получал уведомления об утечке после того, как сотрудник клиники вставил в чатбот медицинские данные пациентов.
- NDA и рабочие данные. Классика - Samsung в 2023 запретил генеративный ИИ в одном из подразделений после того, как инженеры загрузили в ChatGPT внутренний код.
- Просто не хочется. Тоже нормальная причина.
Где данные утекают, пока вы работаете с агентом
Обычно думают про одно место - модель видит мой запрос. Но их больше, и не все очевидны:
- Модель агента. Все, что агент прочитал, он отправляет своей модели. Если она облачная, то провайдеру. Утечкой это не назовешь, но дальше все зависит от правил провайдера.
- Хранение и обучение у провайдера. У Anthropic на Free, Pro и Max с осени 2025 данные идут в обучение, если настройка включена, и тогда хранятся 5 лет, а если выключена, 30 дней. Это касается и Claude Code на этих планах. Google хранит чаты Gemini, которые попали на проверку людьми, до 3 лет, даже если вы удалили историю. А OpenAI в 2025 по решению суда в деле с NYT должен был хранить все чаты, включая удаленные, а потом суд обязал передать NYT около 20 миллионов чатов, хоть и обезличенных. У API и бизнес-планов правила мягче, но это надо проверять под свой план.
- Кнопка поделиться. Летом 2025 в Google оказались тысячи расшаренных чатов ChatGPT, а у Grok их было больше 370 000, с медицинскими вопросами и даже паролем.
- Чужой текст, который командует агентом (prompt injection). Агент читает письмо или сообщение, а в нем инструкция, и агент ее выполняет. Так уже было - через публичный issue на GitHub агент с официальным GitHub MCP слил данные из приватных репозиториев, а одно письмо заставляло Microsoft 365 Copilot отправить данные наружу без единого клика. Simon Willison назвал это lethal trifecta - если у агента есть ваши личные данные, он читает чужой текст и может что-то отправить наружу, его можно заставить слить данные. Агент с доступом к переписке под это попадает сразу.
- Сами инструменты. MCP-сервер или расширение это тоже код, который видит ваши данные. В сентябре 2025 в npm нашли поддельный MCP-сервер для почты, который тихо ставил злоумышленника в скрытую копию каждого письма, и у него было где-то 1 500 скачиваний в неделю.
- Модели внутри инструментов. Кроме вашего агента, у инструментов бывают свои модели, для чтения картинок, расшифровки голосовых, более тщательного поиска. Каждая такая модель это еще одно место, куда уходит текст, и про них обычно никто не думает.
- Локальное, которое не совсем локальное. Например, в Ollama часть моделей работает на серверах Ollama, а не у вас. Или вы держите модель на домашнем сервере, а инструмент ходит к ней по обычному http, и переписка идет по сети без шифрования.
- Копия на диске. Если инструмент хранит переписку у вас, то ее может прочитать любой, кто сел за ваш компьютер под вашим пользователем. Тут помогают шифрование диска и блокировка экрана, а не настройки инструмента.
Список не полный, я собрал то, что нашел, пока делал WireCat.
Что с этим делать
Часть пунктов от вас не зависит, но многое можно сделать самому:
- Выключить обучение на своих данных у провайдера, а для чувствительного брать API или бизнес-план, где правила хранения строже.
- Не нажимать поделиться на чатах с личным.
- Давать агенту права по минимуму. Читать пусть читает, а отправлять сообщения только с вашим подтверждением.
- Смотреть, какие MCP-серверы и расширения вы ставите, и кто их сделал.
- Для самого чувствительного запускать модель у себя. Это медленнее, но текст никуда не уходит.
- Включить шифрование диска.
Как это устроено в WireCat
Мы сразу считали, что агент будет читать чужие сообщения, а значит и чужие инструкции.
- Данные хранятся у вас. Каждый инструмент держит копию переписки в базе на вашем компьютере, а поиск по ней, по словам и по смыслу, работает на моделях, которые WireCat скачивает к вам. Т.е. найти нужное можно вообще без облака.
- Все, где нужна облачная модель, по умолчанию выключено. Поиск по смыслу и расшифровка встреч работают локально, а чтение картинок, черновики ответов, более тщательный поиск включаете вы, и в настройках видно, куда каждая функция отправляет данные.
- Один переключатель Только этот компьютер. Когда он включен, инструменты WireCat отказываются обращаться к модели на другом компьютере еще до отправки. Агент может его включить, а выключить можете только вы.
- Чужой текст помечен как данные. Инструменты отдают агенту сообщения как материал для чтения, а не как указания. Это не гарантия, агент все равно может ошибиться, поэтому права на отправку можно ограничить, вплоть до конкретных получателей и числа сообщений в час.
- Фоновые агенты с ограничениями. Сводки и почтовый агент читают чужие письма без вас, поэтому Claude Code для них получает только команды WireCat, а Codex работает в песочнице без сети (команды ему ограничить нельзя, поэтому перед включением WireCat об этом предупреждает). Ваши собственные настройки агента, которые могли бы это расширить, не читаются.
Последний пункт, кстати, мешает приватности. Раз ваши настройки агента не читаются, то и локальная модель, которую вы там прописали, до сводок не доходит. Пришлось выбирать, и я пока выбрал безопасность.
Как запустить WireCat целиком на локальных моделях, с цифрами, сколько это стоит по скорости и памяти, я расписал в отдельном посте.
Если вы думаете про приватность для своей команды или клиентов и хотите обсудить, пишите в тему Помощь в Telegram или в #help в Discord. А если знаете случаи, которые я пропустил, буду рад.