Privacy-Preserving Intelligence — Steve Korshakov, Bee (acq. Amazon)

Amazon 收購了一家 AI 可穿戴設備公司，其核心產品是一支手戴麥克風，能持續錄音並為用戶建立個人代理。這類設備的敏感性無與倫比——單個用戶年度可產生約 1000 萬個 token 的錄音，甚至在使用第一週內就能完整洩露用戶向朋友、家人講述的所有機密信息，因此成為市場上最敏感的數據收集工具。

加入 Amazon 後面臨前所未有的挑戰。雖然 Amazon 對客戶提供強大的數據保護承諾，但一旦代碼在內部運行，理論上員工可能擁有訪問權限。團隊的核心使命因此變成：建立一套系統使得 Amazon 員工（包括工程團隊本身）都無法訪問用戶數據。這種內部威脅防護要求遠高於傳統的客戶隱私保障。

系統在兩個層面進行創新。架構層面，傳統 AI 系統採用「請求-回應」模式——用戶手機發送請求至後端，後端計算後返回結果。但個人代理需要完全不同的能力：連續運行、主動執行任務、無需等待用戶觸發，同時不依賴用戶設備在線。為此構建了有狀態運行時環境搭配持久化記憶體，使代理能完全自主運行。

密鑰管理層面採取絕對隔離策略。密鑰在用戶手機上生成，永久存儲於手機內，從不傳送至任何服務器。當手機連接後端時執行複雜的證明流程，驗證工作負載的完整性與真實性，確認部署的代碼確實出現在公開透明日誌（使用 CT Store）中。內存中所有密鑰設定 7 天強制過期，這個時間選擇是精心平衡的——24 小時太短因為用戶可能一天不開手機導致關鍵功能中斷，而 7 天被視為用戶有用行為的現實時間地平線。

為了防止任何人（包括開發團隊）在不留痕跡的情況下發布惡意代碼，系統採用「雙層發布機制」配合「隱私團隊獨立」的組織設計。組織內設有獨立的隱私專責團隊，唯獨他們管理透明日誌與簽署密鑰，這些密鑰被硬編碼於所有客戶應用與後端服務中。開發團隊無法控制隱私團隊，任何變更都需要高層級授權，在 Amazon 這樣的大企業結構中幾乎不可能繞過。發布分為兩步：先構建包含基礎工具的鏡像，部署時再透過透明日誌驗證具體清單，這樣即使開發者想偷偷發布，也會被記錄在無法篡改的透明日誌中。最終的虛擬機自我驗證後簽發證書，將所有加密信息與證明文件嵌入其中。由於公開證書會污染透明日誌，採用私有認證機構；未來計畫引入代理層以標準 TLS 方式提供驗證。

這套多層防護讓內部與外部審計公司能驗證所有歷史部署的鏡像與數據，追蹤任何潛在漏洞，確保系統的可信性。