你的垃圾邮件过滤器不会读你的邮件。它在计数线索。

谷歌每天阻止近15亿条不需要的邮件，而且做到这一点时没有使用任何你会认可的"阅读"方式。没有模型坐在那里逐字朗读你牙医的提醒。这种心理图景——一个数字间谍蜷缩在你的收件箱上，吸收你的秘密——是大多数人所持有的恐惧，但它针对的是错误的目标。

这里是真正发生的事情。当邮件进入过滤器时，系统不会从你的文本开始。它从信封开始。谁发送的这个，发送服务器是否真的有权限使用那个域名？这就是SPF、DKIM和DMARC——三个检查，用来确认"billing@yourbank.com"是来自你银行的基础设施，还是来自某个地下室里一台租赁的服务器。骗子可以完美地复制一个标志，但仍然会在DKIM上失败，而这个单一的密码学不匹配比正文中的任何句子都能告诉过滤器更多。

然后是更廉价的信号。发送者信誉：这个IP地址是否一直在发送数百万条相同的邮件？链接分析："点击这里"按钮是否指向可见文本没有承认的某个地方？URL年龄、重定向链、附件类型。垃圾邮件判决的大部分内容在模型开始认真思考语言之前就已经确定了。

当语言确实进入时，它不是理解——它是数学。老派过滤器使用贝叶斯分类器，这是Paul Graham在其2002年论文"A Plan for Spam"（《反垃圾邮件计划》）中推广的方法，它根据特定词汇出现在垃圾邮件与真实邮件中的概率为邮件评分。"Viagra"这个词有一个数字。现代系统进一步使用基于转换器的模型，将文本转换为嵌入——捕捉意义而不将意义存储为词语的长数字列表。对于分类器来说，你的邮件不是一个故事。它是高维空间中的一个点，问题是那个点是否坐在标记为"网络钓鱼"的簇附近。

这个区别很重要，因为"AI看到我的话"和"AI把我的话转换成向量并将其与欺诈模式进行比较"不是相同的隐私事件。一个听起来像窃听。另一个更接近金属探测器：它对一个信号做出反应，而不是一个坦白。

所以真正的问题不是模型是否接触你的文本。当然它会——那是它的工作。问题是双重的，这是你应该实际指向你的怀疑的地方。首先：保留。内容是否被存储，保存多长时间？例如，OpenAI的API政策指出它不使用业务API数据来训练其模型，并在删除前在有限的时间窗口内保留它。Anthropic发布类似的商业条款。那些政策是值得阅读的东西，而不是关于一个标志看起来有多"私密"的保证。

其次：推理发生在哪里。在你的提供商自己的墙内运行分类的过滤器，与文本被发送到你从未听说过的第三方模型相比，风险概况不同。"设备上或在租户内"与"发送到其他地方"是决定谁理论上可能看到任何东西的隐私分叉。

这也是为什么"它扫描一切"的恐慌会适得其反。扫描一切的系统是保护你的系统——分类器阻止虚假发票和外观相似的登录页面。危险的扫描是安静的那种：通讯中的追踪像素在你打开它的那一刻ping一个服务器，记录你的IP和你读它的时间。那才是真正的间谍，而不是垃圾邮件过滤器。

担心保留。担心目的地。模型为了寻找线索而读你的话是最不用担心的。