用「前台助理 vs 海外专家」讲清楚：AI IDE 碰什么、大模型看什么、代码有没有泄露风险。结合 2026-07 Grok Build 抓包事件。
| 角色 | 生活类比 | 实际碰什么 |
|---|---|---|
| 你的电脑 / 仓库 | 办公楼文件柜 | 全部源码、.env、Git 历史、Skill…… |
| AI IDE / Agent | 前台助理 + 打包员 | 翻找、阅读、组上下文；有时可整仓打包 |
| 寄给模型的包 | 这次开会的复印件 | prompt + 读过的文件片段 + 规则 |
| LLM 大模型 | 海外专家顾问 | 只处理这一包，看不见没寄出的文件 |
| 旁路整仓上传 | 偷偷扫整柜进云盘 | 与开会无关；文件已出国 |
源码、配置、测试；有时连 .env 密钥文件也会被读到。
「加取消订单接口」这类 prompt，以及前后几轮对话。
读文件、搜关键词、跑命令后拿到的内容，再塞进寄出的包裹。
请人改合同，总得把合同寄给人看。
助理还把整柜扫描上传海外网盘。
「帮我改取消订单」
打开柜子 → 找到相关文件 → 复印几页
快递① 给专家开会
快递② 整柜备份？（看产品）
正常干活。几页复印件进 LLM。档位 1。
额外旁路。整仓可上云。档位 2。Grok 0.2.93 抓包已证。
读到的文件进 /v1/responses；.env 类可明文出境。
整仓 git bundle 上 GCS；与是否读取解耦。
12GB 仓：A≈192KB，B≥5.1GiB。
关「改进模型」≠ 关上传。
「关了改进模型就不传了」
那往往只管训练，不管上传。训练 ≠ 出域。
「模型没打开这文件就安全」
平面 B 可以把没读过的文件也打包走。
「密钥在 .env 就没事」
一旦被读或整仓打包，假密钥实验已证会明文出境。
用 AI 写代码，读过的那部分代码会离开电脑——否则模型没法改。
真正危险的是不知情的整仓库上传，不是「模型读了几行」。
采购拆 A/B/C；敏感仓禁消费级默认；密钥永不进仓。
行为随版本变；金丝雀 + 抓包纳入准入。