出网清单
什么会发出去，发到哪，云端留不留。逐条列出，没有例外。
五条原则
- 1资料在本机
知识库、原件、本体与本地向量索引永不主动上传。
- 2先确认额度
第一次使用官方 AI 时确认一次本次额度（默认 30 积分），期间的问答与起草共用，按实际用量扣减；空闲 15 分钟或手动结束后退回未用部分。
- 3用量最小化
问答仅发送提问与命中的原文片段；识别仅发送选定页图，不上传整份文件。
- 4云端不留正文
问答与起草正文转发上游模型后不落盘，不作模型训练；识别页图与结果随请求返回，不落盘。
- 5离线安全
断网或云端不可达时，本地工作区浏览、编辑、检索、版本管理与导出照常可用。
逐条清单
只有表中这 15 件事会让数据离开你的电脑按功能定位
| 功能 | 发送什么 | 发到哪 | 云端保留 | 费用 | 离线时 |
|---|---|---|---|---|---|
| 01 额度确认与结算 邀请内测 | 功能类型、模型代号、预估用量与额度上限（不含正文、文档或页图） | 格物官方网关（api.garwoo.cn，兼容期与 api.iai.xianjian.ltd 双挂） | 不存正文，仅记录请求编号、预留额度与时间戳 | 免费（不扣积分） | 云端不可用时暂停官方 AI |
| 02 智能问答 邀请内测 | 用户提问正文 + 命中的本地知识库原文片段 | 格物官方网关（api.garwoo.cn，兼容期与 api.iai.xianjian.ltd 双挂） → 上游推理模型（DeepSeek / 阿里云百炼） | 转发上游后不落盘，不作为模型训练语料 | 从本次官方 AI 额度中按实际 Token 扣减 | 暂停云端问答；若配置本地模型则使用本地推理 |
| 03 Wiki 专题整理 邀请内测 | 用户选定进行专题沉淀的本地资料正文片段 | 格物官方网关（api.garwoo.cn，兼容期与 api.iai.xianjian.ltd 双挂） → 上游推理模型 | 转发上游后不落盘，整理结果直接回传写回本地 Wiki | 从本次官方 AI 额度中按实际 Token 扣减 | 暂停云端整理；对象页骨架生成完全本地执行不受影响 |
| 04 AI 引导起草本体 邀请内测 | 用户对引导问题的回答文本 + 选定范式包的基础类型定义 | 格物官方网关（api.garwoo.cn，兼容期与 api.iai.xianjian.ltd 双挂） → 上游推理模型 | 转发上游后不落盘，草案仅写入本地草稿区，由用户逐条采纳 | 从本次官方 AI 额度中按实际 Token 扣减 | 暂停 AI 起草；直接导入范式包或从空白创建完全本地可用 |
| 05 云端扫描页识别 邀请内测 | 扫描件或图片的页面图像：本机解析不了、也没有本机增强解析时，每份文件先报价，确认后才逐页发送 | 格物官方网关（api.garwoo.cn，兼容期与 api.iai.xianjian.ltd 双挂） → 上游 OCR 视觉模型（qwen-vl-ocr） | 页图只在本次请求内存中处理，不落盘；识别结果随请求返回本机 | 按每页实际用量计费，识别前报价确认上限，没用完的退回 | 暂停云端识别；有文字层的 PDF 与 Office 文件在本机解析，免费 |
| 06 本体 AI 演化建议 邀请内测 | 能力问题文本 + 当前本体相关类型定义与片段 | 格物官方网关（api.garwoo.cn，兼容期与 api.iai.xianjian.ltd 双挂） → 上游推理模型 | 转发上游后不落盘，生成演化提案进草稿区 | 从本次官方 AI 额度中按实际 Token 扣减 | 暂停 AI 建议；手动增删改类型与关系不受影响 |
| 07 AI 体检出题 邀请内测 | 选定资料的摘要切片与知识点 | 格物官方网关（api.garwoo.cn，兼容期与 api.iai.xianjian.ltd 双挂） → 上游推理模型 | 转发上游后不落盘 | 从本次官方 AI 额度中按实际 Token 扣减 | 暂停 AI 出题；已有体检题集测试本地运行 |
| 08 微信、飞书、钉钉通道 邀请内测 | 在聊天里发给机器人的提问、图片与文件，机器人回复的正文、出处标题和定时任务的推送摘要 | 腾讯 iLink（微信）、飞书开放平台、钉钉开放平台 | 按各平台自己的规则保存，格物无法控制；格物不会在这些平台之外另存 | 通道本身免费；问答照常消耗额度 | 只在你扫码或填写凭据接入后才发生，断开连接后停止；断网时通道暂停，桌面照常可用 |
| 09 注册、登录与设备授权 邀请内测 | 手机号或邮箱、验证码或微信扫码、PKCE 授权挑战码（在系统浏览器中完成） | 格物账号中心（account.garwoo.cn，兼容期与 account.iai.xianjian.ltd 双挂） | 云端保存加密的手机号或邮箱、登录记录与已授权设备名；本机访问令牌只在内存，刷新凭据由 Windows DPAPI 保管 | 免费 | 初次激活绑定需联网；绑定后离线直接进入本地工作区 |
| 10 安装版本心跳 邀请内测 | 应用版本、变体（personal）、操作系统与架构，以及本机已验签生效的远程配置版本号（有才带）；不含任何资料、提问、账号内容或完整 IP（云端只留 /24 前缀）。云端的回执里可能带一份已签名的配置（公告、默认模型、升级建议等），本机用内置公钥验签通过才应用，验不过就保留上一版 | 格物官方网关（api.garwoo.cn，兼容期与 api.iai.xianjian.ltd 双挂） | 云端保存最近一次上报与在线时间，用于版本分布、灰度发布与阻断有缺陷的版本 | 免费（不扣积分） | 可在账号页关闭上报。关闭后仍可使用官方 AI，只是不参与灰度。已被阻断的版本在升级前不能使用官方 AI，也不会扣积分。断网时暂停上报 |
| 11 兑换码入账 邀请内测 | 你输入的兑换码 | 格物官方网关（api.garwoo.cn，兼容期与 api.iai.xianjian.ltd 双挂） | 云端记录兑换码的使用状态与入账流水 | 免费，入账增加积分 | 只在你主动输入兑换码时发生；断网时无法兑换 |
| 12 上传诊断包 邀请内测 | 你在账号页点击“上传诊断”并确认后，才会发送：应用版本、变体、操作系统与架构，是否被阻断或暂停的标记，以及启动日志末尾 30 行（本机路径已折叠，不含令牌、资料或提问内容）。发送前界面会展示全部内容 | 格物官方网关（api.garwoo.cn，兼容期与 api.iai.xianjian.ltd 双挂） | 云端保存上传的诊断包并关联一条运维事件，用于排查你反馈的问题；运维台只能查看已上传的包，不能主动拉取 | 免费（不扣积分） | 只在你主动点击时发生；不上传不影响任何功能，断网时无法上传 |
| 13 手机伴侣配对与加密中继 邀请内测 | 配对时发送设备名称、平台、双方公钥及口令摘要；连接时发送账号/主机/设备标识、协议版本、在线时间及端到端加密帧。中继可见连接时刻、设备路由和密文长度，看不到资料、问答或收件正文 | 格物账号中心（account.garwoo.cn，兼容期与 account.iai.xianjian.ltd 双挂）与格物手机伴侣中继服务 | 云端保存配对和设备元数据；离线密文按电脑最多暂存七天（200 MiB / 2000 条），电脑签收后删除；不备份暂存密文数据 | 中继本身不扣积分；电脑调用官方 AI 时按原有额度计费 | 电脑离线时文字与链接可密封交云端暂存；附件保留手机本机，电脑上线后发送。关闭保持在线或吊销手机后停止实时访问 |
| 14 微信小程序登录与绑定 规划中 | 微信临时登录码由 格物服务端向微信换取身份；用户主动绑定时关联 格物账号，不向手机下发 AppSecret 或 session_key | 格物账号中心（account.garwoo.cn，兼容期与 account.iai.xianjian.ltd 双挂） → 腾讯微信 jscode2session | 格物保存小程序 AppID、openid 的带密钥摘要与绑定审计；不保存 session_key，不自动合并网站微信身份 | 免费 | 需联网；未绑定先提示绑定，不静默创建账号；默认关闭，配置并开启后可用 |
| 15 原生与小程序登录会话 规划中 | 验证码证明或 PKCE 授权证明、客户端类型、设备名称与会话标识；不含本地资料或问答正文 | 格物账号中心（account.garwoo.cn，兼容期与 account.iai.xianjian.ltd 双挂） | 云端保存刷新令牌家族摘要、账号与设备元数据、最近使用和吊销状态；退出吊销当前会话，配对信任另行管理 | 免费 | 初次登录与刷新需联网；关闭对应端开关后停止访问；默认关闭，待开发云验证后开放 |
不出网
资料解析、全文检索与本地语义索引：Word、PDF（有文字层）、Excel、PowerPoint 在本机解析。完全可用。
云端会存
- 手机号或邮箱（加密保存）与登录审计记录
- 积分批次流水、预留记录与请求编号（不含内容）
- 订单信息、支付渠道交易号与对账状态
- 已授权设备名称与操作系统标识
- 手机伴侣的主机与设备公钥、配对和连接元数据（不含二维码原始口令）
- 手机主动投递的端到端加密离线收件，最多七天，电脑签收后删除
云端不存
- 用户的本地知识库、原文档、电子书或作业标准
- 本地本体结构、关系与业务对象实例
- 问答提问与回答正文（转发上游模型后实时回传，云端网关不落盘）
- 识别用的页面图像与识别结果
