安全不是 特性
它是架构。优先本地。开源。无遥测。不基于您的代码进行训练。每个功能言行一致，仅此而已。
优先本地
- 默认情况下，所有数据存储在您的设备上
- 记忆、任务、日志、设置——永不离开您的设备
- 无需云端同步 —— 无任何内容上传至我们的服务器
- 配合本地模型完全离线工作
开源
- 每一行代码都公开可见 —— 扩展、IDE、CLI
- Ava 可以阅读并解释自己的源代码
- 分叉它，审计它，验证我们的每一项声明
- Apache 2.0 许可证
无隐藏行为
- 零遥测，零分析，零追踪
- 您的代码永远不会用于训练 AI 模型
- 任何工具都不会回连服务器
- 每个功能各司其职。绝无隐藏。
您的密钥如何处理
您的 API 密钥和凭证永远不会泄露到对话历史中，不会出现在日志里，也不会传输到我们的服务器。
操作系统密钥链，而非配置文件
您添加的每个 API 密钥都保存在操作系统的受保护密钥链中（VS Code 上的 SecretStorage，macOS 上的 Keychain，Windows 上的凭据管理器）。绝不在明文文件中，绝不提交到 Git。
基于能力的授权
Ava 永远不会看到您的整个保险库。她请求特定密钥，您批准当前聊天使用，她接收一个不透明的句柄。值替换发生在工具执行时——真正的密钥永远不会进入模型的上下文。
会话范围的工作集
授予的凭证仅存在于限定于当前会话的内存工作区中。开启新对话或重启扩展时即被清除。除非您主动保存，否则不留存任何内容。
流式脱敏
纵深防御：Ava 输出的每一行文本流都会扫描高置信度模式（Anthropic 密钥、OpenAI 密钥、GitHub 令牌、AWS 密钥、JWT、Stripe 密钥、PEM 块）。匹配项会在文本到达 UI、内存或磁盘前被替换为 [REDACTED:kind]。
您的数据如何被处理
API 密钥
存储于操作系统密钥库（VS Code 上为 SecretStorage，IDE 上为系统密钥库）。永不传输至我们的服务器。永不记录日志。
对话记录
存储于本地 ~/.ava/。永不上传 —— 无需云端同步。随时可删除。
记忆
本地存储，永不上传。记忆仅限用户和项目范围。由你决定保存什么。
任务与日志
本地存储。你的生产力数据保留在本地 —— 无需云端同步。
共享学习
默认关闭。启用后，仅共享匿名化的技术模式——绝不共享个人数据、代码或偏好设置。
使用数据
平台账户的计费会追踪 Token 数量。无对话内容存储于服务端。BYOK 使用完全不被追踪。
Ava 内部的防线
每个工具调用在执行前都要经过安全校验。Ava 可以请求执行任何操作——但她无法真正执行任何不安全的行为。
路径遍历验证
文件读写会与项目根目录和 Ava 主目录进行比对。../../逃逸、同级目录攻击以及沙箱外的绝对路径将在工具边界被拒绝。
工具风险等级
每个工具声明一个风险等级——安全、写入或危险。权限模式（Strict / Balanced / Autonomous）决定哪些自动运行，哪些需要您确认。
凭证模式拦截
memory_save 和 support_request 工具会扫描传入文本中的 12+ 种凭证模式（API 密钥、JWT、AWS / GitHub / Stripe / Slack 令牌、PEM 块、DB 链接）。匹配项将完全阻止工具调用——凭证永远不会进入内存或支持工单。
提示注入抵抗
看似指令的工具输出被视为数据而非命令。Ava 不会将面向用户的工具结果当作您亲自输入的指令来执行。
您控制她能做什么
三种权限模式。您决定给予 Ava 多少自主权。
所有写入操作和危险工具都需要您确认。最大控制权。
写入操作自动允许。危险工具仍需确认。默认模式。
所有内容自动允许。计划和用户问题仍会暂停等待您的输入。
注册滥用防护
每个注册请求在账户创建前需通过三道关卡。Free 令牌仅服务于真实用户，而非用于刷量。
一次性邮箱黑名单
已知的临时邮箱服务商（mailinator, tempmail, guerrillamail, ese.kr 系列、30+ 精确域名 + 6 个通配符模式）会在数据库触发器处被拦截。绕过客户端无效——拒绝操作在服务端完成，具备事务性和原子性。
注册取证日志
每次尝试（无论允许或阻止）均记录时间戳、邮箱、域名及原因。让我们能实时发现滥用模式，无需部署即可添加新的黑名单条目。
新用户处理关卡
当域名匹配时，Postgres 触发器会回滚认证插入。无孤儿账户，无中间状态。若注册被拒，则不会创建任何内容。
安全模式：输入 !! 审计一切
五位专家角色协同对你的代码库进行安全审计。侦察映射攻击面。扫描器检查 OWASP Top 10。CVE 研究员查找依赖中的已知漏洞。验证者确认可利用性。报告生成器输出按严重程度排序的发现。
适用于所有计划。包括 Free。