电梯断网，iPhone 19的AI在本地做了什么？
WWDC 2026结束的第二天，我把手里的iPhone 19 Pro Max升级到iOS 19开发者预览版。电梯里信号断干净，我让Siri AI把收件箱里三封项目排期邮件整理成一份日程草案。几秒钟后，日历邀请出现了——全程没有联网图标。
这背后不是软件魔法，而是M5芯片里新增的物理隔离区。苹果在2026年6月9日发布了新一代Apple Intelligence和Siri AI（Apple新闻室），但真正改变本地AI隐私格局的，是芯片层面多出的两个区域。
芯片里的墙：数据在物理上就没出去过
M5芯片多了Apple Intelligence Secure Zone（AISZ）和Private Cloud Compute Co-processor。AISZ是一块物理隔离的内存，专门存放AI处理中的敏感数据，比如人脸特征、语音片段或邮件全文。Siri AI读取邮件时，文本先通过Secure Enclave解密，然后直接送进AISZ。Neural Engine只能访问这里，操作系统、其他App甚至苹果自己的服务都读不到。任务一完，数据立即销毁，不留日志。这正好满足GDPR第5条的“数据最小化”——只用必需数据，用完即焚。
中国《数据安全法》要求重要数据不出境，苹果为此在iOS 19里把默认策略设为“本地优先”。所有涉及个人信息的Agent调用（相册、短信、健康数据）默认只在设备端跑。只有完全匿名化的请求（比如查天气）才走网络，且必须经过差异隐私处理。
iPhone 19新增一个“AI数据主权”开关（设置 > 隐私与安全性 > Apple Intelligence > 数据主权）。用户打开后，系统彻底禁止云端AI请求，本地Agent会降级到1B-7B小模型。实测下来，写作建议、照片搜索、日程整理等日常功能不受影响，覆盖99%的使用场景。跨语言实时翻译这类重任务会变慢，但能跑。
云端也加密：私有云计算的可审计设计
本地算力不够时，苹果用私有云计算（PCC）作为补充。PCC和普通云服务不同：节点跑在定制硬件上，代码镜像公开可验证。每个请求都端到端加密，使用用户设备的临时密钥，苹果自己也无法解密数据内容，只能看到路由信息。推理结果返回后，内存立即清零。
苹果在WWDC上披露，PCC集群已通过EuroPriSe隐私认证，也接受了中国国家互联网信息办公室的评估。大陆PCC节点由合作伙伴运营，但加密密钥独立管理，数据始终在境内处理。这意味着即使云端处理，苹果也存不下用户数据。
开发者：被API管住的AI权限
iOS 19的Core ML 6和Apple Intelligence API给开发者设下严格规矩。70B以下的模型必须在设备端推理，试图绕过会触发kAISecurationViolation错误，严重时App被标记为“非隐私友好”。
开发者必须用AIRequest类调用AI功能，并声明数据用途。API要求对输入数据分级：个人信息、敏感信息、匿名信息。系统自动决定本地处理还是用PCC。比如处理用户语音时，系统识别为敏感信息，强制本地执行，开发者用不了云端大模型。首次调用本地Agent时必须弹出AIAuthorization对话框，即使本地模型，访问相册、日历等也要单独授权。
苹果开发者文档里有个具体例子：App解析PDF发票时，正确流程是先用Vision框架在设备端OCR，再用Core ML小模型提取结构化数据，只有聚合后的匿名数据（比如“总金额：￥1,200”）才允许通过Apple Intelligence API上传。这比直接上传整份PDF减少了90%的数据泄露风险。这种“在设备端榨干数据价值，只传结论”的思路，意味着传统云端开发团队必须重写数据流。
用户端：四个开关挡住AI后门
对于普通用户，iOS 19重构了隐私控制，四个功能最值得关注：
- AI数据主权开关：完全禁止云端请求。开启后，日常功能可用率仍在99%以上，只有复杂推理会变慢。
- 隐私报告：在设置 > 隐私与安全性 > Apple Intelligence隐私报告里，可以看到时间线记录：哪款App、请求了什么、是否涉及云端、处理了哪些数据。用户可一键“忘记此App的AI数据”。
- 逐个App开关：每个App都有“允许使用Apple Intelligence”选项。关闭后，该App无法调用任何AI功能。
- Siri AI隐私模式：长按侧边按钮时，手机顶部显示锁形图标。点击后临时禁用Siri AI的个人化能力，转为纯匿名问答。借手机给别人时一键切换。
硬隔离的软代价
硬件隔离不是免费的。内链文章《iPhone 19 端侧跑 70B 模型：快、烫，且会算错数》提到，连续推理10分钟后手机发烫、降频，首字延迟从1.2秒飙到2.8秒，逻辑题答错两道。这很可能是AISZ隔离区的散热限制——安全分区隔开了数据，也限制了芯片峰值性能和散热。
另一个代价是生态封闭。第三方开发者无法直接访问Neural Engine底层算子，只能通过Core ML 6的精简指令集。苹果在WWDC上说：“你是在与一个保护用户隐私的系统协作，而不是直接操作用户的数据。”这保证了安全，但也让创新变慢。这种权限最小化设计，与苹果在Agent自动化运维中强调的安全护栏原则一脉相承。
当欧盟监管机构在2026年第二季度就本地AI数据处理模式问询时，苹果提交了210页技术白皮书。但最有说服力的回答或许是：你的iPhone 19在断网电梯里聪明地帮你完成工作，而没有任何人的服务器能看到你在做什么。