隐私与数据

Agent 会话记录里常有源代码、文件内容、命令输出，以及你在提示词里输入的任何内容，有时还包括密钥。Origin 会复制这些记录，让它们不受 Agent 自身清理的影响。本页说明 Origin 保存了什么，以及如何清除。

Origin 保存了什么

所有数据都在同一个目录 ~/.origin（或 ORIGIN_HOME）中：

• origin.db：SQLite 数据库，包含规范化后的事件、检索索引、你的条目，以及所有遗忘记录。
• raw/：原始会话记录文件的只追加副本。

你的数据只存放在你控制的机器上：你的设备，以及你自建的中枢（如果有）。Origin 从不调用第三方服务，也不调用任何 LLM API。没有中枢时，它不发起任何网络连接；使用中枢时，唯一的网络流量发生在你的设备和你的中枢之间。该目录没有加密，请像保护原始记录一样保护它。

遗忘

origin forget <id>（或 Agent 的 forget 工具，仅在你要求时使用）是永久的：

1. 遗忘一个条目：遗忘它的所有版本，并隐藏它引用的事件。
2. 遗忘一个事件：隐藏该事件，并遗忘所有引用它的条目。
3. 来源全部被隐藏的条目也会一并遗忘。

被遗忘的条目和事件会从检索、时间线和所有 MCP 工具中消失，也不能再被引用，重新同步也不会回来。例如，你可以对粘贴过密钥的那条提示词运行 origin forget <event-id>。

遗忘是隐藏，而不是擦除：由于归档只追加，~/.origin/raw/ 下的镜像文件仍保留原始行。

使用个人中枢时

个人中枢会改变数据的存放位置：

• 你控制的服务器：中枢保存所有已接入设备的会话以及你全部条目的完整副本。只在你自己控制的机器上运行它，并像保护 ~/.origin 一样保护它的数据目录。
• TLS 与令牌：中枢使用明文 HTTP，开放之前请放在 TLS 之后。除 /healthz 外，每个请求都需要令牌。中枢只保存令牌的哈希；设备丢失或退役时，可以吊销对应的令牌。
• 遗忘会同步到每台设备：在中枢上遗忘（通过 Agent，或在中枢上运行 CLI），每台设备会在下一次推送时应用同样的遗忘记录。即使某台设备再次推送，被遗忘的事件也保持隐藏。
• 暂存副本：每台设备都保留自己会话的本地暂存副本。遗忘在那里同样生效；但和其他地方一样，原始镜像文件里仍保留原始行。
• 管理界面会显示你的会话：如果启用了中枢的管理界面，任何知道管理密码的人都能在浏览器里阅读你归档的会话和条目。请像保护中枢本身一样保护这个密码。界面从不显示被遗忘的条目或事件的文本。
• 审计日志会记录客户端：登录和管理操作会连同客户端地址和浏览器的 user agent 记录在中枢上，但从不记录条目或事件的文本。
• CDN 能看到解密后的流量：终止 TLS 的 CDN 或代理能看到经过它的一切：设备推送的内容、Agent 读取的内容，以及管理界面展示给你的内容。如果你在意这一点，请优先通过私有访问使用管理界面。

清除全部数据

删除 ~/.origin（或你设置的 ORIGIN_HOME）。没有中枢时，Origin 不在其他任何地方保存数据；使用中枢时，还要删除中枢的数据目录（容器内为 /data），并吊销该设备的令牌。同时从各 Agent 中移除 MCP 注册（Claude Code：claude mcp remove --scope user origin）。

报告问题

如果你发现 Origin 可能泄露、暴露或损坏你的数据，请按安全策略私下报告。