别让模型看见你的硬盘：AI 操作桌面应用时的路径与隐私规矩

要点速览

• AI 助手调用 KwaFlux 时，会告诉 KwaFlux 处理哪个文件。KwaFlux 回给它的内容很少：任务号、状态、输出文件的文件名，不给路径，也不给文件夹列表。
• 网络路径在 KwaFlux 打开任何东西之前就被拒绝，因为在 Windows 上，光是打开一个网络路径，就可能把你的登录凭据发给另一台机器。
• 输出写在源文件旁边；已有同名文件时，新文件会改用带编号的名字，不会覆盖原文件。
• KwaFlux 对 AI 调用的使用埋点，只记调用的方法、结果、耗时和任务号，不记任何参数。

驱动桌面应用的 AI 助手，夹在你在意的两样东西中间：一边是你的文件，一边是云端的模型服务商。应用回给助手的任何内容，都会进入一段要发给服务商的对话。所以 KwaFlux 在三件事上很小心：接受什么路径、往哪里写、汇报什么。

本文会讲 KwaFlux 的一次工具调用进出的都是什么、网络路径为什么对 AI Agent 很危险、为什么助手不能指定输出目录，以及 KwaFlux 对 AI 调用记录了什么。

目录

1. AI 助手能知道你文件的哪些信息？
2. 进去什么，出来什么
3. 为什么先拒网络路径
4. 完整路径、本机路径、两边都查
5. 结果写在哪儿
6. 按字段白名单组装结果
7. KwaFlux 对 AI 调用记录了什么
8. 仍会发给 AI 服务商的内容
9. 常见问题

AI 助手能知道你文件的哪些信息？

AI 助手能知道的，是你在对话里打出或粘贴的内容、它自己的工具在你电脑上能读到的东西，以及它调用的应用回传给它的内容。

KwaFlux 只能管最后这一部分。它的原则是：只回传助手汇报结果、继续下一步所需要的东西，别的一概不给。

进去什么，出来什么

以视频文件修复的第一步，一次诊断请求为例：

助手确定知道的只有输入路径，因为那是它自己给的。KwaFlux 不会在此之外多给：不回传完整路径，不列文件夹，也不透露你的用户目录或其他文件在哪儿。

为什么先拒网络路径

在 Windows 上，以两个反斜杠开头的路径，比如 \\server\share\video.mp4，是指向网络共享的 UNC 路径。程序打开这种路径时，Windows 可能会自动用你的账户去登录那台服务器。

2023 年那个 Outlook 漏洞之所以严重，原因就在这里。微软安全响应中心在通告里解释：一封带有指向攻击者服务器上 SMB（TCP 445）共享的 UNC 路径的邮件，会让 Outlook 主动连接过去，而这次连接会“发送用户的 NTLM 协商消息”，攻击者“随后可以把它中继到其他系统上进行认证”。整个过程不需要用户点任何东西。

AI 助手也可能从它读到的文字里拿到这样的路径：共享文档里的一个文件名、网页上的一行字、一条粘贴进来的消息。KwaFlux 要是打开它，哪怕只是为了读视频尺寸，Windows 也可能发起那次登录。所以 KwaFlux 在访问任何文件之前就拒绝网络路径，而不是等读取失败了再说。

完整路径、本机路径、两边都查

路径规则很短：

• 只收完整路径。 像 ..\clip.mp4 这样的相对路径，取决于“当前目录”，而后台进程的当前目录未必是你以为的那个。微软的路径文档说明，不以盘符加反斜杠开头、或者含有 .. 的路径，都是相对当前目录解析的。KwaFlux 宁可要完整路径，也不去猜。
• 只收本机路径。 UNC 路径和其他网络位置一律拒收。
• 两个进程都查。 KwaFlux 应用会检查每个路径；运行在助手环境里的 MCP 进程，自己读任何东西之前，比如为了选输出尺寸读一下视频分辨率，也按同样的规则先查一遍。读取媒体信息时，它只走本机文件协议。

第二道检查很重要。早先的版本里，有一个增强工具会在请求到达应用的检查之前，就在 MCP 进程里读取输入文件的信息。这个问题已经修好：MCP 这边现在先按同样的规则检查。

结果写在哪儿

助手能选处理哪个文件，但不能选结果放哪儿：

• 写在源文件旁边。 转换、修复或增强后的文件，和原文件放在同一个文件夹。助手没法把输出指到别的文件夹，比如开机启动目录或同步盘。
• 不会悄悄覆盖。 如果那里已经有 clip.mp4，新文件会叫 clip(1).mp4，规则和你在应用里导出时一样。
• 重发能认出来。 助手把同一个请求发了两次，比如超时后重试，拿到的是原来那个任务，而不会多跑一份。

链接下载是个例外：文件存到一个现有的文件夹里，选 每次确认 时，审批弹窗会写明是哪一个。

按字段白名单组装结果

KwaFlux 回给助手的每个结果，都是按一份固定的字段清单组装的，而不是引擎吐出什么就转什么。这样，原本不该给模型看的东西就进不去：内部路径、调试输出、其他用户或其他助手的信息。

任务列表还有几条专门的规则：

• 任务按创建时间倒序排列，列表被截断时，助手看到的是最近的那些。
• 只有成功的任务才会说有产物，并给出产物的文件名。排队中或失败的任务，不会声称产出了什么。
• 列表可以只筛出这个助手自己提交的任务。

来自网页的文字，比如视频标题，在进入模型之前还要额外清洗，详见网页标题里的提示词注入。

KwaFlux 对 AI 调用记录了什么

调用记录是为了让你看清助手最近都干了什么。它有意不记参数，免得屏幕上变成一份文件名清单。KwaFlux 整体的数据做法，见隐私政策。

仍会发给 AI 服务商的内容

这条边界必须说清楚。KwaFlux 在你的电脑上处理媒体：AI 处理在你自己的 GPU 上运行，媒体文件不会为了处理而上传。但你和助手的对话，照常会发给助手背后的模型服务商。如果你打了 D:\Clients\Acme\contract-video.mp4，服务商就能看到这个路径，因为是你打出来的。

如果文件名本身就敏感，提问之前先改个名，或者挪到一个不起眼的文件夹里。KwaFlux 不会往对话里多加东西，但你放进去的，它也删不掉。

补充： MCP 规范有一项叫 Roots 的功能，宿主可以借它告诉服务端，用户认为哪些文件夹在范围内。我们考虑过把路径限制在 roots 之内，但宿主声明的通常是代码工作区，视频很少放在那儿；而且 2026-07-28 版规范已经把 Roots 标为弃用。如果以后用上，也只会作为一项可选的额外限制。

结语

模型拿到的，是你给它的那个路径和一个简短的结构化回答：没有文件夹列表，没有输出的完整路径，不会替它打开网络路径，日志里也没有参数。结果落在原文件旁边，不会替换已有文件。剩下的，取决于你在对话里打了什么。

文件留在你自己的电脑上

KwaFlux 的本地 MCP 服务让 Codex、Claude、Cursor 等 MCP 应用就地处理文件，把结果写在原文件旁边。可在 Windows 10（64 位，1809 或更新版本）、Windows 11，以及搭载 Apple Silicon 的 macOS 12 或更新版本上运行。导入文件和浏览应用都不需要账号。仅在导出、转换、文件修复和从链接下载文件时需要登录并购买付费方案。

下载 KwaFlux · 查看方案