Dit spamfilter læser ikke din mail. Det tæller tegn.

Google blokerer næsten 15 milliarder uønskede beskeder dagligt, og det gør det uden noget, som du ville genkende som læsning. Ingen model sidder der og læser ordene højt fra dit tandlægepåmindelse. Det mentale billede — en digital snager, der bøjer sig over din indbakke og absorberer dine hemmeligheder — det er den frygt, de fleste bærer rundt på, og den er rettet mod det forkerte mål.

Her er, hvad der faktisk sker. Når mail rammer et filter, starter systemet ikke med din tekst. Det starter med konvolutten. Hvem sendte dette, og har afsendingserveren faktisk tilladelse til at bruge det domæne? Det er SPF, DKIM og DMARC — tre kontroller, der bekræfter, om "billing@yourbank.com" kom fra din banks infrastruktur eller fra en lejet server i nogens kælder. En svindler kan kopiere et logo perfekt og stadig mislykkes DKIM, og den enkelte kryptografiske uoverensstemmelse fortæller filteret mere end nogen sætning i brødteksten nogensinde kunne.

Så kommer de billigere signaler. Afsenderryggrad: har denne IP-adresse været med til at sende millioner af identiske beskeder? Linkanalyse: peger "klik her"-knappen et sted hen, som den synlige tekst ikke indrømmer? URL-alder, omdirigeringskæder, vedhæftelsestyper. Det meste af en spam-dom er afgjort, før modellen tænker dybt på sproget overhovedet.

Når sprog kommer ind, er det ikke forståelse — det er matematik. Gamle filtre brugte Bayesian-klassifikatorer, den tilgang Paul Graham populariserede i sit essay fra 2002 "A Plan for Spam", som scorede beskeder ud fra sandsynligheden for, at visse ord dukkede op i spam i forhold til ægte mail. Ordet "Viagra" bar et tal. Moderne systemer går længere med transformer-baserede modeller, der omdanner tekst til embeddings — lange lister af tal, der fanger betydning uden at gemme betydningen som ord. For klassifikatoren er din email ikke en historie. Det er et punkt i højdimensionalt rum, og spørgsmålet er, om det punkt sidder tæt på klyngen mærket "phishing".

Den forskel betyder noget, fordi "AI'en ser mine ord" og "AI'en konverterer mine ord til en vektor og sammenligner den med et bedragerimønster" ikke er den samme privatlivshændelse. Den ene lyder som aflytning. Den anden er tættere på en metalldetektor: den reagerer på en signatur, ikke en tilståelse.

Så det virkelige spørgsmål er ikke, om en model rører ved din tekst. Selvfølgelig gør den det — det er jobbet. Spørgsmålet er todelt, og det er hvor du faktisk skal rette din mistanke. For det første: opbevaring. Bliver indholdet gemt, og hvor længe? OpenAI's API-politik siger for eksempel, at den ikke bruger forretnings-API-data til at træne sine modeller, og at den opbevarer det i et begrænset tidsrum før sletning. Anthropic udgiver lignende kommercielle vilkår. Disse politikker er det, der er værd at læse, ikke forsikringer om hvor "privat" et logo ser ud.

For det andet: hvor slutledningen finder sted. Et filter, der køres klassificering inden for din udbyder's egne mure, er en anderledes risikoprofil end tekst, der bliver sendt til en tredjeparts-model, som du aldrig har hørt om. "On-device eller in-tenant" versus "sendt et sted hen" er det privatlivsgaffel, der afgør, hvem der teoretisk kunne nogensinde se noget.

Dette er også hvorfor "det scanner alt" panikken virker modsat. De systemer, der scanner alt, er dem, der beskytter dig — klassifikatorerne, der blokerer den falske faktura og siden med udseendet af login. Den farlige scanning er den stille slags: sporpixlen i et nyhedsbrev, der pingede en server i det øjeblik, du åbner den, og logfører din IP og det tidspunkt, hvor du læste den. Det er en ægte snager, og det er ikke spamfilteret.

Bekymr dig om opbevaring. Bekymr dig om destination. Modellen, der læser dine ord for ledetråde, er det mindste af det hele.

@@END@@