本地推理不等于离线：从模型下载到运行时，重新检查开发工具供应链

摘要：本地模型把部分计算移到设备，也增加模型文件、推理运行时与插件的维护责任。本文给出来源核验、最小运行权限、网络边界和升级验收方法。

标签：模型供应链、本地模型、AI安全、依赖治理

已核实动态

GitHub在2026年10月28日将Fusion本地模型智能路由作为可选择启用的实验预览推出。公告明确，本地推理不使会话离线，路由决策仍在云端；不同客户端的本地模型支持范围也不同。不能把该能力写成正式离线模式。 原始公告

1. 先画出真实数据流

本地推理只说明某次计算可能在设备执行，不说明会话中的所有步骤都留在本地。路由、工具调用、遥测、扩展和云端回退都可能形成其他数据路径。应分别列出提示内容、代码片段、元数据和日志去向，无法核实的部分标记待确认。

对需要严格离线的场景，不能凭本地模型名称就批准使用。需要依据当前产品文档、配置与授权测试核对实际通信。本文没有抓取真实客户端网络流量，也没有证明任何产品满足离线要求。先明确需求，再验证数据路径，比先开启功能再补解释更稳妥。

2. 模型文件也是需要管理的制品

模型权重、分词器、配置和辅助代码共同影响行为。仅记录模型显示名称不足以定位具体版本，同名文件可能来自不同发布者或经过重新打包。建议登记原始来源、版本标识、文件摘要、许可和下载时间，并保存受控的验证依据。

摘要只能证明内容与某个已知值一致，不能独立证明发布者可信。可信摘要来源与实际下载内容需要分开核对。若没有官方签名或证明，不要虚构已经完成来源认证；可以明确记录采用的核验方法与剩余限制，由组织决定是否接受。

3. 运行时依赖会扩大攻击面

推理框架、GPU驱动、加速库和模型转换工具都可能执行代码。下载模型时顺带运行陌生安装脚本，会把制品接入变成代码执行。建议优先受控来源，审查安装步骤，固定可复核版本，并在隔离环境验证。

本地运行不应默认获得所有仓库、浏览器数据或系统凭据。服务账户尽量只访问必要模型目录与指定工作区。对管理接口设置访问限制，避免开发服务意外监听整个网络。具体参数应按选定运行时文档配置，本文不提供未经核实的通用启动命令。

4. 本地服务地址不等于安全认证

一个回环地址只能限制部分网络入口，不能说明本机所有进程都可信。其他扩展或程序可能访问同一个推理端点。若服务支持认证与访问控制，应按实际能力使用；若没有，应明确其限制，并控制进程与设备环境。

还要关注代理与容器网络的实际映射。看似本地的配置可能通过端口转发对外暴露。验收时确认监听地址、访问来源和日志内容，避免把开发便利设置长期留在日常工作机。服务不可用时应明确失败，不自动切换到未经批准的远程提供方。

5. 云端回退需要明确规则

自动路由可能在本地和云端之间选择，组织应先决定哪些数据允许进入什么环境。不能把本地处理优先解释为云端永不使用。若需求是禁止外传，就需要能够证明整个工作流满足相应约束，而不是仅选择一个优先选项。

建议将任务分成公开示例、内部普通代码和受限制数据等类别，再核对产品能否表达需要的策略。无法表达时不要假装已有控制，可以选择其他经过验证的流程。分类不是法律结论，也不应由模型根据文件名自行决定，需来自组织明确规则。

6. 升级时验证能力与行为

模型升级可能改变输出格式、工具使用倾向和资源需求。运行时升级可能改变依赖、网络行为和兼容性。建议一次只调整可解释的变量，保留旧版本标识与回退条件。测试覆盖正常任务、拒绝路径、资源不足和服务中断。

回退也可能重新引入已知问题，因此旧版本保留需要受控。不要无限保留可用但无人维护的运行环境。对模型许可或分发条件变化，应重新核对内部使用和再分发安排。本文没有验证具体模型兼容性，也不将实验预览描述为生产稳定承诺。

7. 设备资源也是治理对象

本地模型可能消耗内存、显存、电力和磁盘空间，影响开发构建或其他应用。需要明确并发限制、缓存清理和任务终止方式。资源不足不应导致客户端偷偷扩大外部调用范围，错误提示应说明发生了什么。

对于共享设备，还要考虑模型缓存与会话材料是否跨用户可见。权限继承、临时目录和崩溃转储可能留下代码片段。建议检查保存位置与清理方式，使用合成数据演练。不能因为计算发生在企业设备上，就忽略本地数据生命周期。

8. 建立最小组件清单

可以把模型包、运行时、驱动和扩展分别登记，记录它们之间的兼容关系与维护人。清单可以借鉴SBOM思路，但自定义表格不能自动宣称符合某个标准。若需要标准化交换，应另行核对相应格式和工具支持。

组件清单的作用是支持定位与更新。例如运行时出现安全公告时，能识别哪些设备使用相关版本；模型包被替换时，能追溯来源。只列名称而没有版本和设备范围，很难用于事件响应。建议从少量试点设备开始，避免一次性收集无关个人使用记录。

9. 一个隔离试点案例

虚构团队先用公开教学仓库测试本地服务，只允许读取指定目录，不保存完整会话内容。维护者分别检查模型来源、进程权限、网络路径和输出质量。发现云端路由仍存在后，团队将其定位为混合工作流，而不是继续对外宣称离线。

随后使用合成代码验证服务关闭、模型文件缺失和资源不足等情形，确认任务能够明确停止。案例重点是验证控制，而不是比较模型排行榜。本文没有实施这次演练，读者应根据实际客户端版本和组织授权自行测试并记录结果。

10. 误区与采购评审问题

常见误区是认为本地天然保密、开源天然可信、摘要相同就等于来源可信，以及把直接选用模型与智能路由混为一谈。评审应问清楚哪些部分由谁维护、哪些数据会离开设备、升级如何验收以及出现问题怎样退出。

对于中国个人信息处理活动，还应结合既有法律核对目的与范围。模型部署位置不是完整合规判断。技术团队提供可验证的数据流和组件证据，相关负责人再结合实际制度作决定。把本地模型当成完整软件供应链管理，才能减少被本地二字掩盖的风险。

11. 一个模型包更新的审查过程

虚构团队准备替换本地模型包，首先登记新旧版本、原始发布位置和摘要，再检查是否需要更新分词器、配置或运行时。只替换一个权重文件可能造成不兼容，自动下载脚本也可能顺带改变其他组件。审阅时应展示完整变更清单，而不是一句升级模型。

接着在隔离设备上使用公开代码运行代表性任务，记录资源占用、错误类型和输出格式。若任务需要工具调用，检查新版本是否仍遵守原有工具协议。本文没有执行这些测试，因此不能报告兼容性结果；流程用于帮助读者设计自己的验收。

12. 受控下载与缓存管理

企业可以考虑使用受控镜像或制品库分发已经评审的模型组件，但镜像本身也需要维护。应保留上游关联和内容摘要，避免镜像里的同名文件被覆盖后无法追踪。下载失败时不要切换到不明第三方地址，尤其不要为了恢复速度而关闭验证。

缓存清理需要避免影响正在运行的任务，也要防止旧文件被误当成最新版本。可以按不可变版本目录保存，并由明确配置选择使用哪一份。目录名不是完整证据，实际内容仍应核对。对包含敏感会话内容的缓存，另外管理访问和保存期限，不与公开模型文件混在一起。

13. 模型来源与行为安全分开

即使文件确实来自官方发布，也不说明所有输出都安全。来源核验解决完整性和发布关联，行为评估解决特定任务下的表现。两类验证不能相互替代。组织应避免在采购表上用一个已验证选项同时覆盖许可、来源、隐私和输出质量。

对于允许加载辅助代码的格式或运行方式，需要了解实际执行机制。不能仅凭文件扩展名就认为没有代码执行。若运行时要求启用额外信任选项，应查看官方解释并在授权范围内评估。本文没有推荐开启任何远程代码执行选项，也没有假设所有模型格式具有相同风险。

14. 退出与设备移交

停止试点时，检查后台服务、计划任务、代理配置与模型缓存是否仍存在。卸载客户端不一定自动清理独立运行时或已下载组件，需要根据实际安装方式核对。设备移交后，也应确认旧用户会话与凭据不会被下一位使用者读取。

维护记录中保留必要版本和处置状态，避免复制个人内容。出现安全公告时，根据组件清单定位范围，再决定升级、隔离或暂停使用。模型供应链治理的价值就在于这些可执行动作，而不是只在下载当天完成一次形式检查。

教学记录示例

以下JSON为作者自拟的版本1记录结构，不是平台配置、API参数或安全认证。适用于方案评审，字段值是合成数据。仅验证语法，未连接真实平台或改变权限。

{
  "schema_version": 1,
  "model_source": "verified-release-placeholder",
  "runtime_version": "record-actual-version",
  "network_mode": "requires-verification",
  "offline_claim": false,
  "production_secrets_allowed": false
}