密钥本机保存与加密 — 不经过任何中间服务器
本地优先不是口号
| 产品形态 | 密钥存储位置 | 请求路径 |
|---|---|---|
| ZeroAI | 手机本地加密 | 手机 → 供应商接口 |
| 云端 SaaS 聊天应用 | 云端服务器 | 你的请求 → 供应商接口 |
| "本地 AI" 但云端壳 | 厂商服务器 | 你的请求 → 厂商后端 → 供应商接口 |
ZeroAI 是第一种——密钥从未离开你的手机。
加密方式
具体加密实现因 Android 版本和厂商而异，但核心原则是：
- 密钥不会明文落盘
- 依赖 Android 系统提供的加密 API（Android Keystore 等）
- 应用卸载时密钥随应用数据一起清除
为什么这很重要
AI Agent 的密钥是高价值资产：
- OpenAI API Key——被盗用可能被盗刷数千元
- Telegram Bot Token——被盗用的 Bot 可以冒充你发消息
- IMAP/SMTP 密码——被盗用可以读你的邮件、代你发邮件
ZeroAI 的本地加密存储意味着：即使你手机丢了、备份泄露、或者有人拿到了应用数据目录，密钥也解不开。
安全建议
- 不要在公共场合调试密钥——别用别人的手机、别在公共 WiFi 下配置
- 供应商后台开启权限最小化——密钥只给需要的模型访问权限
- 定期轮换密钥——供应商后台重新生成，ZeroAI 里更新
- 应用不用时可以关掉守护进程——虽然密钥仍在本地，但不运行就不暴露网络面
资料来源：GitHub ZeroAI README