模灵ModelGhost 主站
主站保存账号、昵称、头像、登录审计、产品权益和订单。密码仅保存加盐哈希；桌面登录票据一次性使用并短期过期。
隐私与数据流
清楚说明数据去了哪里
更新日期：2026-09-08。本页是产品事实说明，不用“绝不联网”一类无法兑现的口号。
CodeGhost 本机
工作区、会话、供应商配置、用户维护的工作区长期记忆和工具结果保存在本机。长期记忆按工作区哈希隔离，不保存明文目录，也不会自动从聊天中提取。为支持重启后的文件撤销，最近一轮 Agent 修改前的文件副本也会保存在应用本地数据目录，成功恢复后删除。API Key 与 ModelGhost access token 使用系统凭据库保存，不写入普通配置文件。
会话导出
Markdown 与结构化便携会话只在用户主动选择的位置写入，不会自动上传主站。导出文件可能包含提示词、代码片段、工具路径、计划及附件展示信息；不包含附件文件本身，也不会授予来源工作区权限。请自行选择可信存储位置和接收者。
模型供应商
当你发起任务时，提示文本、启用的工作区长期记忆、选中的代码上下文、附件、显式读取的网页正文及必要工具结果会发送给当前选择的模型供应商。只有用户在模型中心明确开启并保存跨供应商队列后，余额耗尽、连续五次失败或多模型阶段分工才可能把同一任务发送到队列中的其他已配置供应商；界面会说明这一数据边界，出现部分流式输出后不会自动重放。长期记忆可在设置中逐条暂停或删除，请勿写入密码、API Key 等秘密。
附件与网页
附件由桌面端直接读取，不上传到 ModelGhost 主站。PDF、DOCX、XLSX 和 PPTX 的文字只在本机提取，不执行宏、公式或内嵌程序；提取结果会在用户发送任务后交给当前模型供应商。任务中明确写出的 HTTPS 链接会由桌面端直接访问并提取文本，然后随本次任务发给当前模型供应商；本机、私网、非文本和超限响应会被拒绝。
诊断与遥测
当前便携版没有默认开启的产品遥测，也不会自动上传支持报告。“设置 → 诊断”只在本机检查官网 HTTPS、公开发布清单、Git、本地数据写入和当前工作区授权。用户主动导出的 JSON 只包含版本、平台架构、检查状态、耗时和是否存在代理环境；不包含 API Key、登录令牌、代理值、目录路径、提示词、源码、模型回复或命令输出。未来若增加崩溃报告，必须提供明确开关并在发送前说明字段。
头像与外部服务
用户可上传头像，或选择 Gravatar。启用 Gravatar 时服务器会按邮箱哈希向 Gravatar 查询头像；不启用时使用上传图片或本地生成头像。
删除与安全
桌面端退出会删除本机账户令牌。需要删除主站账号或数据时，可通过联系页提出请求。发现安全问题请不要在公开论坛披露。