端到端加密可以阻止消息中继读取受保护的聊天内容。但它不能保证任何 AI 系统都永远收不到这些内容：获授权的参与者可以复制内容，获许可的功能可以处理内容，被入侵的设备也可能泄露内容。
要评估 AI 训练风险，应沿着数据从对话到模型的路径进行追踪。关键区别在于：中继无法解开的密文与有意或无意提供给另一个端点的明文。
处理消息不等于训练模型
AI 功能可以处理文本并生成摘要，而不使用这些文本更新模型参数。服务也可能保留提示词、收集反馈，或依据另一项政策允许训练。这些是不同的操作，需要分别披露。
应询问该功能是否只执行所请求的任务，是否存储输入或输出，以及是否将其用于改进模型。仅有一个 AI 按钮并不能回答这些问题，“加密”一词也不能。
《如何思考端到端加密与 AI》的研究者在评估这些系统时区分了 AI 辅助、训练、披露与同意。他们的分析说明有必要仔细检查数据流，而不是证明每个提供商都在秘密地用每条私人消息进行训练。
聊天内容可能通过哪些路径进入 AI
| 路径 | 为什么仅凭 E2EE 无法确定答案 |
|---|---|
| 参与者将聊天粘贴到助手中 | 参与者已经能够访问明文 |
| 对话中加入机器人 | 机器人可能是获授权的接收者，并有自己的处理政策 |
| 设备端功能读取可见文本 | 处理发生在端点解密之后 |
| 启用选定上下文的云端功能 | 用户可能授权另一次披露或受保护的处理路径 |
| 恶意软件或权限过多的扩展程序读取应用 | 被入侵的是端点，而不是传输加密算法 |
| 内容被公开发布 | 公开传播属于另一种保密边界 |
远程 AI 模型不会仅因它是 AI 模型，就获得破解可靠加密的通用能力。同样，任何密码算法都无法阻止接收者将可读副本提交到其他地方。
现有产品体现了不同的边界
WhatsApp 的 AI 指南区分私人消息与分享给 AI 的材料，并说明对第三方代理的不同处理方式。其屏幕 AI 指南另行解释了选择启用这些功能可能会共享可见消息和通知。
这些例子表明，对整个应用作笼统陈述往往会误导人。应检查实际使用的具体助手、模式和权限，而不是通用隐私声明的旧截图。
对 Livara 可以作出哪些陈述？
Livara 的安全页面说明了受支持的私人对话采用 E2EE，同时也说明保留的运行元数据和公共频道。其公开的 AI 页面还说明，分享选定上下文前由用户选择对话范围并给予许可；当选定文本将发送给提供商时，会有可见提示。
这些陈述并不支持“Livara 永远无法用 AI 处理聊天内容”这一绝对说法。仅凭这些陈述，也无法认定所有可能的模型路径都具有普遍的不训练或零保留承诺。这些问题必须由该功能当前的披露和所选提供商的条款回答。
后量子密钥建立解决的是另一种风险：未来对已记录密文的密码分析攻击。它不约束获授权的 AI 接收者今天如何使用明文。
私人对话的训练风险检查清单
- 识别接收者。 该功能是在本地运行、由消息应用运营，还是由另一家提供商提供？
- 限制上下文。 只分享完成任务所需的最小文本片段或文件；省略无关的个人信息。
- 阅读相关政策。 特别查找训练、保留、人工审查、反馈和删除条款。
- 确认群组预期。 获准阅读群聊，并不自动意味着获准将其提交给另一项服务。
- 检查端点访问权限。 浏览器扩展、通知访问权限和关联应用可能形成通往内容的独立路径。
- 区分公共与私人界面。 不要将机密材料放入公共频道，却指望私人聊天加密保护它。
E2EE 可以关闭一条服务器访问路径。要防止不希望发生的 AI 使用，还必须控制处理解密内容的端点、权限和披露。
