2023 年底，谷歌在官方博客留下一行保证。文章写得很明确：个人版邮箱与云端文档的内容，绝不会被人工审核员查看。
2026年10月，官方帮助中心换上了截然相反的警告。新页面直接提示：如果文件包含不希望被审核员看到的机密，请勿连接应用。
三年前的承诺悄然作废。2026年10月16日，谷歌静默编辑了那篇旧博客，删去了不会被人工查看的声明。整个修改过程没有任何公告，也没有向用户弹窗提醒。
许多每天使用邮箱的普通人并未察觉变动。自己的私人往来记录，正被推向人工审核员的屏幕。
「关闭活动记录」无法建立隐私防线。 只要开启应用连接，私人邮件就已进入出站链路。界面上的退出开关，保护的只是早已失效的假设。
悄悄修改旧博客，谷歌抹掉3年前的保护承诺
删除承诺的动作发生得十分隐蔽。2026年10月中旬，谷歌更新了编号为 16836988 的帮助页面。紧接着在10月16日，官方团队修改了2023年发布的安全博文。原本白纸黑字的承诺语句，在未留修改痕迹的情况下被直接抹去。
更新后的文档补上了新的风险警告。页面明确写道，外部审核人员看到的材料，可能直接就是邮件或文件本身。如果用户不希望外人翻看特定材料，唯一的防范手段是断开应用连接。
图：Gemini 品牌主视觉。来源：Google
修改旧文档反映出工程落地的真实冲突。大模型上线运行离不开人工标注与质量评测。一旦系统允许模型跨应用提取私人资产，隔离存储的数据便会涌入评测流水线。保留旧承诺会带来直接的合规风险，抹去字句成了维持系统运转的选择。
商业宣传与技术实现产生了裂痕。当初的绝对保证，最终在模型评测的现实开销面前退场。
不用打艾特标签，AI也会自主翻邮件
大模型远比想象中主动。不少人以为，只要提问时不打标签，助手就不会翻动邮箱。
这种判断并不准确。开启连接后，Gemini 便拥有了自主调用工具的权限。模型解析提问时，会自行判断是否需要检索绑定的外部网盘。即便用户只输入了一句模糊描述，后台程序也会自发对邮箱执行检索。
开发者 thisisme6598 在测试用例中记录了这种行为。后台的数据摄取深度分为四类场景：
- 零检索：模型未触发任何外部查询调用。
- 概要提取：模型仅抓取邮件标题、发件人与时间戳等元数据。
- 局部未脱敏引用：模型直接摘抄正文中2至4句原始段落。
- 整文件摄取：系统将整封邮件或整个文本载入推理上下文。
自主触发机制改变了数据暴露的方式。用户以为自己掌握着发射按钮。后台却在每次交互中，自主评估是否开箱翻找。数据出库不再需要显式授权，一切取决于概率模型的实时判断。
规则脱敏全面失效，账单吐出真实姓名与账号
平台常强调清洗机制。面对外泄风险，官方通常宣称存在层层过滤。这类清洗方案大多依托正则表达式与实体识别算法。
在实际场景中，这两道过滤网显得脆弱。规则表达式擅长拦截格式固定的卡号或证件号。日常邮件、消费收据与商业合同全是高度个性化的自然语言。算法很难在复杂的上下文叙事里剥离所有个人特征。
公开复现实验证实了这种缺陷。测试人员保持连接开启，使用带有深度思考模式的 Gemini 发起查询。提示词仅提及一个大致主题，未添加任何特殊标签，也未提供具体账号。模型随即吐出了一份2026年9月4日、金额为122美元的网络宽带账单。
账单中的客户真实姓名、宽带账号以及支付确认码毫无遮挡地呈现在屏幕上。原本应当执行的脱敏程序直接遗漏了这些字段。
混乱的真实文本击穿了静态过滤策略。一旦基础清洗失效，带有身份标识的原始片段就会流向标注平台，暴露在外包打标员眼前。
关闭聊天记录防不住，样本早已流向人工审核
不少用户以为关掉「活动记录」就能杜绝数据留存。科技公司的产品设计长期向外界强化这种安全感。
数据链路的设计打破了这一设想。界面上的记录开关，控制的仅仅是前端历史会话的展示列表。后台用于安全审计、模型调优与系统监控的数据通道，与前端展示逻辑属于两套独立的体系。
图：Google Workspace 官方页面上的 AI 助手配图。来源：Google Workspace
关掉活动历史后，系统在处理工具调用与模型交互时，依然会把上下文留在后台。部分交互样本会被抽检系统捕获，排队送往人工审核团队进行评分与标注。这些外包人员的工作就是阅读模型输入输出，判定回答是否准确。
帮助文档新增的警告正是这一流程的写照。当官方明确写出审核员可能会看到文件本身时，前端界面的存储开关便失去了防护价值。
把保密责任甩给个人，退出开关成了心理安慰
面对数据流向人工环节的质疑，谷歌选择把安全责任推给终端用户。官方直接建议用户不要连接存有敏感信息的软件。
这种建议脱离了现代办公的真实生态。普通用户的邮箱常年堆积着医疗账单、机票行程、报税凭据与改密通知。要求用户连接前自行挑出机密邮件，在操作上并不现实。邮箱原本就是隐私集散地，剥离了机密信息的邮箱只剩下空壳。
当平台把安全边界转化为免责条款时，用户能握住的只有心理安慰。开启连接是为了效率，付出的代价却是私人资产的无声流转。
三年前那行被删除的承诺，本是公众托付核心隐私的前提。只要模型评估流程需要消耗真实的交互样本，界面开关就无法挡住数据出站。想要保护邮件与文档的安全，切断连接仍是当下唯一的现实防线。
参考链接：
- 谷歌官方帮助中心：Gemini 与已连接应用隐私说明 (Help Answer 16836988)
- 谷歌技术博客：为生成式 AI 构建安全防线 (2023年发布与2026年修订记录)
- 开发者 thisisme6598 测试用例与数据抓取归档仓库
- Hacker News 社区关于 Gemini 连接应用隐私条款变更的讨论 (item?id=50429426)
