Ничего личного
MAD: машина, через которую весь разговор с ИИ проходит под стражем. Это не фильтр, который ловит после случившегося. Это конструкция, где личное невозможно ввести, и второго такого способа в мире нет: независимый поиск по науке, патентам, опенсорсу и теории аналогов не нашёл.
ДОКТРИНА
AI IS THE BRAIN
Ничего личного.
Доктрина MAD (MAD): искусственный интеллект есть мозг, машина есть тело, граница между ними вычислена. Граница утечки, конвейер MADFORGE и протоколы приёмных атак открыты в документах ядра.
Аналогов в мире нет.
Прогон ноября 2026 по четырём корпусам — наука, патенты, опенсорс, теория — не нашёл ни одной работы, сочетающей хотя бы два из трёх признаков: кадр без словаря и фильтров, собранный только из замороженного атласа · доказуемая граница в битах · облако работает и не видит личного.
Рынок меряет приватность качеством детекции — сам OpenAI о своём фильтре приватности предупреждает: может промахиваться, это не сертификация. Ниже двенадцать ближайших кандидатов — и аргумент, почему каждый не аналог.
| Ближайший кандидат | Почему не аналог |
|---|---|
| ★ NeuroTaint, FIDES | Ставят на настоящий текст метки происхождения и проверяют их на выходе: это надзор за существующим текстом, а язык канала не строится |
| ★ egress-limits, Agent Security Kernel | Лимит ≠ тариф: лимит режет частоту и число отправок, тариф считает цену выбора в битах |
| ★ McCamant, Ernst | Единственный найденный «принудитель в битах»: урезает секрет-зависимые биты в трассах легаси-кода — не канал, не атлас, не LLM |
| Google US 2026/0244856 A1 | Локальный привратник чистит запрос: имя меняется на плейсхолдер, а остальной текст, числа и связи едут как есть — обёртка значения, а не отсутствие значения. Патент: US 2026/0244856 A1 |
| Carranza, DP-синтетика | Синтетика пишется для обучения моделей, а не для живого запроса: гарантия на датасет, а не цена кадра в канале |
| ★ TEE-трек: Cohere, NVIDIA | Анклав расшифровывает данные в своей памяти: аттестация отвечает «какой код выполняется», а не «сколько бит уйдёт» — защищено место обработки, а не язык канала |
| ★ LLM-шлюзы с PII (Kong, Portkey, LiteLLM, обзор Maxim 2026) | Весь рынок — детекция и редакция настоящего текста: шлюз видит промпт и вычёркивает найденное; у MAD детектора нет как класса |
| ★ Российские КИБ: SecureTower, Habr-AGIMA, KodikRouter | Тот же detect-and-redact плюс учёт запросов, другим языком: класса «замороженный язык канала» в российском корпусе нет |
| ★ Portcullis (ByteDance + Tsinghua, AAAI 2025); прокси CN117725610A (CFCA, КНР) | Крупнейший вендор КНР выбрал детект-и-маску: NER-словарь ищет чувствительное, плейсхолдеры подменяют, TEE-анклав охраняет сам шлюз — «словарь = поражение» в промышленном исполнении; языка канала и тарифа нет. Разбор: developer.volcengine.com |
| ★ Дата-диоды | Управляют направлением потока — куда можно и куда нельзя; MAD — диод по алфавиту: решает не «куда», а «что может попасть в кадр» |
| Kaneko, Bits Leaked per Query | Считает, сколько атакующий выжимает из ответов модели: это мера атаки, а не тариф отправки |
| Rebollo-Monedo и др. | Идейный предок тарифа: средний противник с известным распределением против нашего худшего случая — и в живой канал тариф не вживлён |
| Итог проверки | Аналогов нет: держится после пяти прогонов двух команд, около девяноста разобранных источников — ни один кандидат не закрывает даже два из трёх признаков |
СПЛОШНАЯ ПРОВЕРКА
Главный итог сплошной проверки
Сплошная проверка, ноябрь 2026: пять заходов и около девяноста разобранных источников — от TEE и zero-retention до патентов RU, US и КНР и браузерного фронта. Ни одной работы, сочетающей хотя бы два из трёх признаков. Самые опасные кандидаты — с реквизитами официальных документов; состав прогона и пределы честности — в доказательстве под итогом.
| Опасный кандидат | Разбор и подтверждение |
|---|---|
| IBM «Domain adaptation-based disguising of prompts» — заявка US20250005182A1, патент US12367308B2 (приоритет 2023-06-27, выдан 2025-07-22, 20 пунктов, прочитан целиком) | Seq2seq-подмена домена промпта (казначейские облигации → шоколад), маркетинг «FMaaS never sees original». Гарантия выученная, не конструктивная: модель научили скрывать — убери модель, и дыра откроется. Языка канала нет (признак 1), границы из констант нет (признак 2). Патент: US12367308B2 |
| Google «Text input to proxy phrase conversion» («Stand-In Phrases») — заявка US2026/0350102A1: приоритет по provisional-заявке 63/800,188 от 2025-05-05, заявка подана 2025-10-30, публикация 2026-11-05 | Разобрана пункт-за-пунктом по всем восьми признакам формулы MAD, (a)–(h), включая зависимые пункты заявки — 8:0. Офлайн-словарь прокси-фраз плюс фильтры-детекторы — ровно то, что доктрина MAD запрещает: словарь = поражение. Тарифа в битах нет, принадлежность языку не проверяется; заготовлена как пункт 12 Уровня техники заявки. Полный текст: patents.justia.com/patent/20260350102 |
| Protopia AI «Stained Glass Transform» — заявка US20230259787A1 (приоритет 2022-02-16, ядро семьи из семи документов), статья arXiv:2506.09452 | Единственный ★★ всего прогона: выученная стохастическая обфускация эмбеддингов реального промпта, оценка утечки постфактум по взаимной информации — не из констант, не худший случай, без автотеста. Семья патентов дожата до цитат (48 позиций): продолжений с замороженным языком или битовой границей не нашла и она. Статья: arxiv.org/abs/2506.09452 |
| Privacy Odometers — Rogers, Roth, Ullman, Vadhan (NeurIPS 2016); PINQ (SIGMOD 2009); RAPPOR (CCS 2014) | «Бюджет утечки с блокировкой» существует — но это ε среднего случая о субъектах данных, не биты выбора из замороженного атласа, и никакого канала к LLM. Статья: arxiv.org/abs/1605.08294 |
АНАЛОГОВ В МИРЕ НЕТ
ДОКАЗАТЕЛЬСТВО
Метод. Сплошной прогон, ноябрь 2026: пять заходов подряд, около девяноста разобранных источников — TEE и zero-retention, FHE, фильтры-детекторы, синтетика данных, DP-бюджеты, статистические базы с 1979 года, патенты RU, US и КНР, браузерный и корпоративный фронт, обзоры науки. Четыре независимых обзора науки 2024–2026, включая специализированный по приватности промптов, класса «замороженный атлас + тариф в битах» не знают: если бы класс существовал, обзорщики не могли бы пропустить его все.
Критерий. Ни одна найденная работа не сочетает двух из трёх признаков: кадр без словаря и фильтров из замороженного атласа · доказуемая граница в битах · облако работает и не видит личного.
Опора. Ближайшие разобраны по официальным документам: IBM US12367308B2, Google US2026/0350102A1 (по признакам (a)–(h) — 8:0), Protopia US20230259787A1, Rogers / PINQ / RAPPOR — таблица выше в этом модуле.
Честный предел. Закрытые патентные базы (ФИПС, Derwent) проверяются через патентного поверенного; открытый поиск пуст три захода подряд.
МЕТОД
Как это работает, по шагам
(01)
Документы остаются дома
Ваши файлы не покидают компьютер: в конфиденциальном кадровом контуре наружу уезжают только выборы из атласа, живые документы туда не входят; обычный рабочий трафик идёт прозрачным режимом двери, отдельным осознанным контуром.
(02)
Кадр из машинных слов
Машина не пересылает вопрос: она находит у него ось из замороженного списка (договор? срок? организация?) и кузница MADFORGE собирает кадр: два-четыре слова-связки и число из сетки-линейки. Слово «организация» в кадре это слот, а не имя; вписать живое нельзя, поля для него нет. Фильтры редактируют ваш текст, а здесь текста просто нет, и так не делает ни один существующий сервис. Двойка и канон: одно и то же число одной сеткой дважды не проходит, а порядок слов приводится к единому виду, чтобы наблюдатель не читал «интонацию» перестановками. Кадр показывается владельцу до отправки, слово в слово.
(03)
Дверь-страж
Наружу ведёт один выход, и страж пропускает только такие кадры: пропуск выдаётся на точный слепок тела, а канал сверяется по отпечатку сервера, как known_hosts в SSH.
(04)
Таксометр считает биты
Каждый кадр списывает биты из четырёх книг: задача, класс документа, сам документ и машина за месяц. Книга кончилась: лестница понижения, а не дырка, исчерпание тоже защита. В кадры подсаживаются канарейки: всплывёт хоть одна наружу, машина узнает первой.
(05)
Граница: 3247 бит в месяц
Что это значит: сколько бы наблюдатель ни смотрел на машину месяц, больше трёх тысяч двухсот сорока семи бит он не выжмет. Машина считает этот потолок теоремой из собственных констант и фиксирует релизом: изменилась машина, изменилось число, и это видно сразу. Граница сертифицирует конфиденциальный кадровый контур; прозрачный режим двери для трафика, который человек считает не секретным, ею не накрывается, это осознанное разделение.
(06)
Ответ режется до 4096 байт
Облако отвечает, и ответ обрезается до 4096 байт на входе в машину: болтливость облака это свойство канала, а не повод платить вниманием. Полный ответ остаётся снаружи разговора.
(07)
Журнал помнит только метаданные
В историю падают размер, статус и время: что уехало, что вернулось, что остановлено. Содержимое не пишется никогда: это замок схемы журнала, а не обещание настроек.
| Материал кадра | Цена, бит | Правило стены |
|---|---|---|
| Связка, 32 слова | 5.0 | Порядок канонический, перестановка не меняет байты |
| Число, 13 сеток | 8.53 | Только готовые сетки значений |
| Организация | 25.0 | Вымышленный атлас, имя рождает дверь при отправке |
| Человек | 27.0 | Живые имена не вводятся вовсе |
| Бюджет задачи | 512 | Потолок: дальше нечем платить |
| Замысел задачи | 0 байт | Оси генотипа не покидают машину ни в каком виде |
КУЗНИЦА
MADFORGE куёт кадры
Кузница внутри машины выплавляет кадры, единственный язык, на котором MAD разговаривает с облаком. Кадр это конструктор: пара машинных слов и число, например «договор + между + организация + срок = 30», и больше в нём не бывает ничего. Материал лежит на замороженном складе-атласе: 32 слова-связки, зашитые наглухо и меняющиеся только релизом; числа не любые, а из диапазонов с шагом, как линейка токаря; а «организация» и «персона» в кадре это слоты «какая-то организация номер три», какой именно, знает только ваша машина.
| Железное правило | Что это значит |
|---|---|
| Свободного текста не существует | Написать облаку «вот мой договор номер 777» физически невозможно: таких слов на складе нет |
| Каждое слово стоит биты | Наружу уезжает не слово, а номер ячейки атласа: наблюдатель видит выбор из каталога, а не содержимое |
| Повторы не проходят | Одно и то же число одной сеткой дважды в кадре это отказ: повтор не несёт нового факта |
| Обманки куются там же | Когда машина молчит, кузница бьёт пустые слоты такими же кадрами, по той же цене: снаружи рабочий кадр и обманка неотличимы. Маскировка укрывает рабочие паузы; паузы длиной в сутки предмет следующего релиза (тариф обманок) |
Фильтр можно обмануть. Несуществующее обмануть нельзя: наружу есть только указатели на общий каталог, и это стена. Второй такой кузницы нет ни у кого.
ПУЛЬТ
Пульт: что на экране
Всё живёт в одном окне. Шапка с кнопкой «Аналитика» держит всю историю цифр: по дням, часам и сеансам. Строка стража: включён или выключен, рядом кнопка «мост» (переставляет адреса ИИ-программ на дверь одной кнопкой) и «обнулить смену». Три счётчика: сколько байт улетело от ИИ, сколько задержал страж, сколько кадров обезличено; нули в начале смены честные. Сеансы ИИ показывают, какие программы работают на машине и идёт ли каждая через страж или напрямую. Лента запросов фиксирует каждый шаг: «анонимно», «отправлено», «задержано»; ответ облака приходит строкой «ответ ИИ · 200». Рядом значок в трее: двойной клик открывает пульт, правый даёт меню.
Внутри штатно три процесса: сам пульт (ваш экран, наружу не шлёт ничего), дверь-страж на порту 8787 (единственный пропускной пункт к облаку) и кадровая труба, где кузница MADFORGE собирает кадры и отдаёт их двери. Работаете как обычно: пульт молчит в стороне, счётчики считают; вопрос облаку собирает конструктор, и перед отправкой показывает, что уедет, слово в слово. Местный поиск по документам идёт только на вашем компьютере, облако о нём не узнает вообще. Режимы двери разведены сознательно: под стражем идут кадры конфиденциального контура, а прозрачный режим пропускает обычный рабочий трафик, терминалы и поиск, целиком: для трафика, который человек считает не секретным.
ШТАТ
Команда
MAD строит небольшой штат: создатель и приёмная комиссия, где каждый отвечает за свою линию. Фамилий нет, есть роли.
Откуда: состав штата и приёмной комиссии по бортовому журналу MAD.
ДОКАЗАТЕЛЬСТВА
Цифры, которые можно проверить
3247 бит
Столько максимум может выжать наблюдатель из окна в тридцать дней, даже в худшем для нас режиме. Машина считает этот потолок теоремой из собственных констант и фиксирует релизом; границы, сертифицированной автотестом, нет больше ни у одного сервиса.
Что именно сертифицирует граница: конфиденциальный, кадровый контур, то есть вопросы, собранные из слов атласа. Прозрачный режим двери пропускает обычный рабочий трафик программ (терминалы, поиск) целиком: это сознательный режим для трафика, который человек считает не секретным, и граница на него не заявляется. Два контура это замысел архитектуры, а не дыра.
Немного науки, без формул страшнее логарифма. Цена выбора это логарифм по основанию два от размера корзины: число из сетки с 64 шагами стоит ровно 6 бит, потому что 64 это два в шестой. Наружу уезжает не значение, а номер ячейки, и «сколько информации» означает «сколько битов выбора потрачено».
Почему потолок, а не «примерно»: машина складывает худшие случаи по всем каналам сразу, как будто наблюдатель видит каждый кадр, знает всю сетку и выбирает момент. Оценка сверху честнее средней: среднюю можно оспорить выбором распределения, худший случай не оспаривается.
Книга тишины работает в двух режимах, и потолок обязан держать оба: живая книга (машина говорит, кадры едут границами слотов) даёт 3246.8, мёртвая (тишина, эммисий нет) даёт 1307.2. Публикуется больший из двух.
| Канал наблюдателя | Бит за 30 дней | Что это |
|---|---|---|
| Выбор значений | 800.0 | Выбор из корзин атласа, оплачен тарифом и капнут книгами |
| Структура кадра | 507.2 | Скелет связок × позиции чисел × длина кадра, посчитаны совместно |
| Слот организаций и людей | 0.0 | Кадры только по каноническому порядку: перестановка слотов не проходит |
| Имя инструкции | 0.0 | Имя из каталога одного: выбора нет, биты не тратятся |
| Повторы отправки | 0.0 | Повтор тела байт в байт: выбор уже оплачен при первой отправке |
| Момент отправки | 1939.6 | Наблюдение решётки слотов 600 с: худший режим живой книги, до 160 наблюдений × log2(4320) |
| Итого по формуле | 3246.8 → 3247 | Потолок окна, ceil от суммы, фиксируется релизом |
| Релиз границы | Число | Что изменилось |
|---|---|---|
| v8.0-p6 | 4630 | Первая теорема: худший случай без книги тишины, тайминг отдан наблюдателю целиком |
| v8.0-p7 | 3154 | Встала книга тишины D_sil 64 бита: минус треть потолка за ночь |
| v8.0-p8 | 3247 | Кадры привязаны к решётке слотов 600 с: потолок обязан держать оба режима, живая книга 3246.8 взяла верх над тишиной 1307.2 |
СВЯЗКА
Почему этого ни у кого нет
Все остальные идут дорогой фильтра: «найдём и удалим персональные данные перед отправкой». Фильтр это гонка вооружений: сегодня не нашёл, завтра утёкло, и детектор по доктрине MAD считается поражением. Кто-то прячет данные шифрованием на чужом сервере, но сервер всё равно видит расшифрованное, когда работает.
Мы пошли другой дорогой: в кадровом контуре наружу уезжают только выборы из атласа, личному там места нет. Нет словаря с именами, значит некому и нечего фильтровать. Охраняется не текст, а язык: крошечный, замороженный, проверяемый. Облачный мозг работает всегда и не видит ничего, кроме выборов из каталога. И это не наша скромность, а результат проверки: независимый прогон по четырём корпусам (наука, патенты, опенсорс, теория, ноябрь 2026) не нашёл ни одной работы или патента, сочетающей даже два из трёх опорных признаков: кадр, собранный только из замороженного атласа, тариф в битах и сертифицированную границу утечки. Этот поиск со стороны перепроверяет нанятый критик: аналоги либо найдутся, либо нет, и вердикт будет чужой, а не похвала себе.
Главный конкурирующий трек 2026 года: TEE-инференс, «облако не видит», потому что данные обрабатываются в доверенном анклаве, с почти родной производительностью по заявлениям вендоров. Отличие принципиальное: TEE защищает место обработки и опирается на аттестацию вендора, анклав провайдера данными владеет и видит их. MAD не показывает данные вовсе: узким остаётся сам язык канала, и никакая аттестация не нужна. По признакам это не конкуренты, но MAD отвечает на вопрос, который TEE не закрывает: что делать, когда доверять месту нельзя.
Не «поверь», а «посчитай сам»: проверяющий, хоть ваш аудитор, может пересчитать границу по формуле, и автотест ловит расхождение машины и математики.
| Чего добились | Факт |
|---|---|
| Доказанная граница утечки | 3247 бит за месяц худшего случая, формула из кодовых констант; у «приватных» сервисов обещания в лицензии, здесь арифметика |
| Атакованная, а не только испытанная | Собственная команда Дреддов бьёт машину как посторонний злоумышленник: протоколы с 1-го по 12-й раунд, найденные раны чинятся и перепроверяются той же атакой |
| Каждый шов под стражем | 447 автотестов; изменения словаря, сеток, книг и каденса слота только релизом, тихие правки краснеют |
| Обманки за деньги | Маскировка молчания не бесплатна: decoy платит ту же цену, иначе выдала бы себя размером чека; укрывает рабочие паузы, суточные за следующем релизом |
| Честный прибор | Ежедневный дайджест сходится с журналом до байта, отчёт руководству подтверждает цифры, а не эмоции |
ПЯТЬ ОТВЕТОВ
Вопросы и ответы
Как это защищает мои документы?
Документ не уходит наружу: к облаку отправляется только безымянный двойник задачи, собранный из машинных слов и чисел синтетического атласа. Живое имя в него ввести нечем, поля для него в машине нет.
Чем это не фильтр?
Фильтр ловит после случившегося и опаздывает всегда. Здесь стена стоит до отправки: личное невозможно ввести, а не вылавливается на выходе.
Что уходит к ИИ?
Кадры: связки из тридцати двух слов, числа с готовых сеток, организации из вымышленного атласа. Каждый выбор оплачен битами из бюджета задачи, замысел задачи наружу не ездит вовсе.
Что такое 3247 бит?
Потолок утечки за тридцать дней, который машина считает теоремой из собственных констант. Наблюдатель не выжмет из окна больше, даже в худшем для нас режиме.
Кто всё это проверяет?
Приёмная комиссия: двенадцать раундов атак на живом коде, сквозные прогоны, аудит и 447 тестов. Протоколы открыты, числа сверены в день сдачи.