本地推理的隐私边界——什么在手机上，什么可能联网
100% 本地的功能
这些功能不产生任何网络流量，全部在设备上完成：
- 模型加载与对话：GGUF 文件在本地，推理在本地
- 会话历史存储：SQLite 数据库，不联网
- Benchmark 测试本身：纯本地计算，除非你主动点分享
- 参数调优：温度、上下文、GPU 层数全部在本地生效
- Pals 创建与切换：本地存储，不联网
可能需要联网的功能
| 功能 | 联网目的 | 哪些数据会上传 |
|---|---|---|
| Hugging Face 模型搜索与下载 | 从 HF 拉取 GGUF 文件 | 设备 IP、模型下载请求元数据 |
| 受限模型访问 | 验证 HF token 权限 | HF account ID（token 对应的账号） |
| Benchmark 分享 | 提交到社区排行榜 | 设备型号、跑分数据、唯一设备标识（不含个人信息） |
| 应用商店更新 | 检查新版本 | 应用版本号、设备型号 |
关键隐私承诺
根据 PocketPal AI 官方说明：
- 无遥测 SDK：不收集崩溃日志、不统计使用时长、不跟踪页面访问
- 无广告 SDK：应用内没有任何广告位
- 不需要注册账号：不强制登录，不收集邮箱、手机号
- 不上传对话内容：Benchmark 分享只包含跑分数据，不包含任何对话文本
可以进一步加固的设置
- 手动导入 GGUF 文件：不用 HF 搜索，在电脑上下载好再传进手机（见 手动导入 GGUF）
- 关闭自动应用更新：在应用商店设置里关闭自动更新，手动检查时再更
- Benchmark 不分享：每次跑完选 Save Locally 而不是 Share
彻底离线使用的可能性
在应用内下载好所有需要的模型后，整个日常使用过程可以完全飞行模式。唯一的例外是你想下载新模型时需要联网。