Обычный разговор о памяти ассистента идёт про то, как запомнить больше и найти точнее. Полезнее начать с обратного вопроса: что не должно попасть в память ни при каких условиях.
Причина прагматичная. Память подмешивается в промпт при каждом ответе. Значит, всё, что в ней лежит, регулярно отправляется туда, куда уходит ваш запрос, — и при облачном ключе это сервер провайдера. Вы не выбираете каждый раз, что отправить: за вас выбирает механизм извлечения.
#Зачем и когда это нужно
Список запретов имеет смысл заводить в двух случаях: если ассистент пополняет память автоматически и если у вас включён захват экрана или звука. В обоих в память попадает то, что вы не заносили руками. Если вы ведёте память вручную и захвата нет, задача сводится к самодисциплине.
#Что понадобится
- Понимание, куда уходят ваши запросы: локальная модель или облачный ключ. Это определяет цену ошибки.
- Доступ к списку памяти, чтобы проверить, что там уже накопилось.
- Правила маскирования, если у вас работает захват экрана.
#Восемь категорий, которым в памяти не место
| # | Категория | Почему |
|---|---|---|
| 1 | Пароли, ключи, токены | утекают в промпт и в логи, действуют до отзыва |
| 2 | Реквизиты карт и счетов | прямой финансовый риск, ноль пользы для ответов |
| 3 | Медицинские диагнозы и назначения | особая категория данных, последствия утечки необратимы |
| 4 | Персональные данные третьих лиц | это не ваши данные, и согласия у вас нет |
| 5 | Чужая переписка и пересланные сообщения | атрибутируются вам и становятся «фактами о вас» |
| 6 | Юридически чувствительное | договоры под NDA, материалы споров |
| 7 | Разовые обстоятельства | «сегодня плохо себя чувствую» — устареет завтра, останется навсегда |
| 8 | Предположения ассистента о вас | домысел, записанный как факт, самоподтверждается |
Первые шесть — про риск утечки. Седьмая и восьмая — про качество памяти: они не опасны, но отравляют выдачу и вытесняют полезное.
Четвёртая и пятая — самые недооценённые. Ассистент, которым вы пользуетесь в групповом чате или которому пересылаете переписку, при наивном извлечении фактов записывает чужие утверждения как факты о вас. Это одновременно ошибка качества и утечка чужих данных в вашу память.
#Правило исключений
Абсолютных запретов не бывает: медицинский трекер обязан помнить диагноз, финансовый — суммы. Правило формулируется через три вопроса, и категория попадает в исключение, только если ответ на все три положительный.
- Это нужно для ответа регулярно, а не однажды? Разовое лучше сказать в диалоге и не сохранять.
- Модель локальная, то есть текст не покидает вашу машину? С облачным ключом фрагменты памяти уходят провайдеру вместе с вопросом.
- Вы готовы к тому, что это попадёт в резервную копию и в выгрузку данных? Память копируется вместе со всем остальным.
Отрицательный ответ на второй вопрос закрывает исключение почти для всех шести рисковых категорий. Разбор того, что означает локальная схема на практике и где у неё границы, — в материале про приватный ИИ с локальным хранением, а специфика медицинских данных — в тексте про медицинские данные и ИИ.
#Шаг 1. Выяснить, куда уходят ваши запросы
Это определяет всё остальное, поэтому идёт первым.
Локальная модель на вашей машине — запрос вместе с блоком памяти обрабатывается там же. Ограничения из списка можно ослабить, но не отменить: память всё равно попадает в резервные копии и выгрузку.
Ключ облачного провайдера — текст запроса и подмешанные фрагменты памяти уходят именно этому провайдеру. Persona не проксирует запросы через себя, но и не может помешать тому, что уходит вместе с ними. При такой конфигурации список запретов применяйте буквально.
Две смежные детали, которые тоже определяются конфигурацией. На размещённой версии работает счётчик Яндекс.Метрики с вебвизором — он пишет клики и навигацию на публичных страницах и в интерфейсе; при развёртывании у себя этого счётчика нет. И отдельно про секреты: ключ доступа к провайдеру у участников инстанса хранится в базе в открытом виде, а ключ владельца уходит в обычные настройки, если зашифрованное хранилище недоступно. Это ещё один аргумент не держать в памяти то, что и так является секретом.
#Шаг 2. Ограничить автоматическое пополнение
Автоматическое извлечение фактов — главный канал, по которому в память попадает лишнее. Три уровня контроля, от самого грубого.
Выключить извлечение совсем. Память ведётся вручную — радикально, но для эпизодического использования разумно.
Ограничить бюджет. В Persona автоматическое пополнение останавливается по достижении лимита активных записей. Это защита не от утечки, а от превращения памяти в свалку.
Требовать доказательства. Фоновый ночной цикл памяти в Persona не принимает как основание для факта о человеке ни распознанный текст с экрана, ни расшифровку речи, ни реплику участника группового чата — только собственное сообщение владельца. Категории 4 и 5 из таблицы закрываются именно этим правилом: чужая реплика не становится фактом о вас, даже когда лежит в той же ленте.
#Шаг 3. Настроить маскирование на входе
Если у вас работает захват экрана, самый эффективный барьер стоит до записи в базу: распознанный текст прогоняется через набор регулярных выражений, и совпадения заменяются маской. Изображение при этом не меняется — маскируется только текстовое представление, то есть то, что попадает в поиск и в сводки.
Готовые наборы правил покрывают ровно первые категории списка: банковские карты и счета, пароли и секретные фразы, ключи API и токены, сетевые идентификаторы, контактные данные. Как их устанавливать и дописывать свои — в материале про правила редактирования OCR.
Чего маскирование не покрывает: текста самого чата (правила применяются к распознанному с экрана, а не к тому, что вы пишете руками), медицинских и юридических формулировок (их не описать регулярным выражением) и чужих персональных данных (имя человека выглядит как любое другое слово). Эти три дыры закрываются не техникой, а тем, что вы не открываете на захватываемом экране и не пишете в чат.
#Шаг 4. Ограничить сам захват
Дешевле не маскировать, а не снимать. Список приложений и окон, которые не попадают в захват, — самый надёжный барьер из всех, потому что он работает до распознавания. Менеджер паролей, банковское приложение, медицинский портал, рабочая система под NDA — в исключения целиком. Настройка разобрана в гайде по настройке приватности захвата.
Важное ограничение области действия: захват экрана и звука, таймлайн и всё производное от них в Persona доступны только владельцу инстанса — данные захвата пока глобальные, одно-тенантные. У остальных участников этих данных нет вовсе, и шаги 3–4 к ним не относятся.
#Проверка результата
Не «настроил и забыл», а короткая процедура, которую надо пройти один раз и повторять при изменении конфигурации.
- Откройте список памяти и прочитайте его целиком. Ищите записи из восьми категорий. Найденное — удаляйте, а не отменяйте: неверному и запретному в истории тоже не место. Процедура — в гайде как удалить факт из памяти ИИ.
- Поищите в архиве характерные строки. Слово «пароль», символ собачки, начало банковской карты. Если находится в распознанном тексте — маскирование не покрывает ваш случай.
- Проверьте, что маска действительно применяется. Откройте на захватываемом экране тестовую строку, похожую на ключ API, дождитесь съёмки и посмотрите распознанный текст: там должна быть маска.
- Проверьте выгрузку своих данных. В ней не должно быть значений секретов — только отметка о том, что ключ существует.
Пункт 3 обязателен: правила, которые не проверены на живом экране, часто не срабатывают из-за ошибок распознавания в самой чувствительной строке.
#Что может пойти не так
Маска съела нужное. Слишком широкое правило вырезает полезный текст, и он перестаёт находиться поиском. Вводите правила по одному и смотрите на результат.
Секрет попал в память до включения правил. Правила применяются к новым записям, а не задним числом; всё, что уже попало, считайте скомпрометированным.
Ассистент «помнит» чужое. Проверьте, не используете ли вы его в общем чате: без атрибуции высказываний чужие реплики становятся фактами о вас.
Секрет попал в текст запроса, а не в память. Настройками памяти это не лечится — см. материал про персональные данные в промпте.
#Частые вопросы
#Разве ассистент не должен знать обо мне всё, чтобы быть полезным?
Полезность даёт не объём, а точность: в промпт всё равно уходят единицы записей, и лишнее вытесняет нужное. Механика этого ограничения разобрана в статье о том, как работает память у ИИ.
#Что делать, если секрет уже попал в память?
Считать его скомпрометированным и отозвать — сменить пароль, перевыпустить ключ. Удаление записи нужно тоже, но оно вторично: вы не знаете, в скольких запросах он уже успел уехать.
#Можно ли просто выключить память и не думать об этом?
Можно, и для эпизодического использования это разумный режим. Вы теряете кросс-чат знание о себе и получаете обычного ассистента без памяти — иногда это ровно то, что нужно.
#Помогает ли локальная модель полностью?
Она убирает передачу текста провайдеру, но не убирает остального: память остаётся в базе, попадает в резервные копии и в выгрузку и доступна тому, у кого есть доступ к машине. Локальность снижает один риск из нескольких.
#Кто отвечает за чужие данные в моей памяти?
Вы — как тот, кто их туда занёс. Персональные данные третьих лиц не становятся вашими оттого, что попали в вашу базу, и правильная стратегия простая: не заносить. Чувствительный разговор, нужный один раз, лучше провести в разовой сессии и удалить её сразу после.
#Вывод
Начинайте настройку памяти не со списка того, что она должна запоминать, а со списка того, чего она не должна знать никогда: секреты, финансы, медицина, чужие персональные данные. Барьеры ставьте как можно раньше по потоку — исключить приложение из захвата дешевле, чем маскировать текст, а маскировать дешевле, чем чистить память задним числом. И держите в голове главное следствие: память подмешивается в каждый запрос, поэтому при облачном ключе всё, что в ней лежит, регулярно уезжает провайдеру — не разово, а каждый раз.