无法读取内容的中继，仍然能看到什么

在你的浏览器和 Tinfoil 之间，有一台我们自己的小型服务器：中继。它的作用是核实提问的是谁、换上我们的 Tinfoil 密钥，并从配额中扣费。它无法读取你的消息，因为消息在到达它之前就已经加密到安全飞地的密钥。不过，“无法读取”仍然不等于“什么都看不到”，两者的区别值得说清楚。

它能看到什么

• 谁在提问：你的账户或密钥，它会在转发任何内容之前先行检查。
• 何时、多少：每个请求的时间和大小，以及回答的大小。
• 哪个安全飞地作答：Tinfoil 会在响应标头中写明模型的安全飞地，中继读取它来为请求计价。
• 你的 IP 地址，经由我们的托管方。
• 工作区为计价附加的两条提示：请求是否使用了网页搜索，以及其中带有几张图片、各有多大。

它看不到什么

你写下的文字、你附加的文件，以及你得到的回答。它也看不到你请求的是哪个模型，只知道是哪个安全飞地作答；它也无法统计 token，因为 token 都在密文之中。

为读不到的内容计费

因此，中继根据大小计费。撰写本文时，它把每 3 个请求字节、每 130 个回答字节各计为一个 token，两个数字都有意取偏高的一侧，并按作答模型的价格计费；无法判断是哪个模型时，则按最贵的模型计费。如果按大小计算，图片会被高估约一百倍，因此工作区会单独声明图片，每张按 3,000 个输入 token 计费。

中继无法核实工作区给出的提示。被改动的客户端可以略去搜索提示，或者谎称请求中图片所占的部分比实际更多，从而少付费用。按人计和总体的每日预算限制了这样做可能造成的损失，每次请求前的检查也限制了任何单次超支。比起为了精确计价而读取请求，我们选择了这种方式。

它转发什么，保留什么

• 它只转发到 Tinfoil 自己的主机，并且只转发带有加密标头的请求体，因此无法被指向别处，也无法传递明文。
• 它只回传 Tinfoil 的三个标头，其余一概丢弃。
• 它的日志只包含路由名称、状态码和耗时：从不包含提示词、回答、账户 ID 或密钥。测试会检查这一点。
• 为了透明度页面，它会按天统计请求数和失败数的总数，不含任何个人数据。

为什么要说这些

元数据往往是隐私承诺变得含糊的地方：时间、大小和身份本身就能透露很多信息。无法读取内容的中继，比能读取内容的中继确实前进了一大步，但它仍然知道你何时工作、工作了多少、从哪里工作。如果这对你所做的事情很重要，威胁模型列出了每一部分可能被谁看到，隐私页面则说明了每一部分保留多久。