التقسيم لكل خطوة، لا لكل تطبيق
الوكيل على الجهاز ليس برنامجًا واحدًا بموقف خصوصية واحد. إنه سلسلة من الخطوات: الاسترجاع من السياق المحلي، التصنيف الأولي، الحجب، التخطيط، التوليد، استدعاء الأدوات، تجميع الرد. لكل خطوة ملف بيانات مختلف وملف حسابي مختلف. اعتبار الحدّ بين الجهاز والخادم خاصية على مستوى التطبيق — هذا التطبيق محلي، وذاك سحابي — هو أول خطأ في النمذجة، لأن الوكيل نفسه سينقل البيانات عبر الحدّ بشكل مختلف حسب المهمة الموكلة إليه.
الاسترجاع من السياق المحلي مرشّح واضح للتنفيذ على الجهاز. الفهرس مقيم أصلًا، والاستعلام صغير، ومجموعة النتائج مؤشرات إلى تخزين محلي. التصنيف الأولي محلي بالمثل: تحديد ما إذا كانت رسالة تحتوي على معرّف شخصي، أو صورة تحتوي على وجه، أو مقطع مستند حساس، يمكن إنجازه بنموذج مدمج مخرجه الوحيد تصنيف ودرجة ثقة. الحجب تحويل محلي: بالنظر إلى مقطع وسياسة، استبدله أو احجبه قبل أن يغادر أي شيء الجهاز.
التخطيط متعدد الخطوات والتوليد على سياق طويل لا يمكن عادة تشغيلهما محليًا بجودة مقبولة. التخطيط يتطلب إبقاء رسم بياني للمهمة في الذاكرة العاملة، ومقارنة تفكيكات مرشّحة، ومراجعتها مقابل النتائج الوسيطة. والتوليد على سياق طويل يتطلب الانتباه إلى رموز أكثر مما يستطيع مسرّع الجهاز حمله بزمن استجابة تفاعلي. لذا يتحرك الحدّ مع المهمة، والسؤال التصميمي الصحيح ليس "هل هذا التطبيق محلي؟" بل "أي خطوات في هذه المهمة محلية، وما الذي يعبر الحدّ بالضبط؟"
ما الذي يحدد الحدّ
ثلاثة عوامل ترسم الخط، وهي تشدّ في اتجاهات مختلفة.
فئة البيانات. المعرّفات الشخصية والصور ومحتوى الرسائل تحمل التزامات مختلفة. معرّف جهاز في سجل تشخيصي ليس كالنص رسالة خاصة، حتى لو كان كلاهما سلاسل نصية. يجب أن يكون التصنيف لكل حقل ولكل مقطع، لا لكل حمولة: قد يحتوي طلب واحد على نص رسالة محجوب، وطابع زمني غير محجوب، وموقع تقريبي، ولكل منها قاعدة معالجة مختلفة. الالتزام يتعلق بفئة البيانات، لا بناقل النقل.
ميزانية زمن الاستجابة. التحكيم المحلي يضيف ميلي ثوانٍ. ورحلة ذهاب وإياب إلى مخطط بعيد تضيف مئات. هذا التفاوت هو سبب كون الحدّ قرارًا لزمن الاستجابة بقدر ما هو قرار خصوصية. إذا أمكن حسم خطوة محليًا ضمن ميزانية التفاعل، فإرسالها إلى الخادم يشتري القليل ويكلّف إفصاحًا. وإذا تعذّر حسمها محليًا دون تجاوز الميزانية، تنقلب المقايضة. المهمة الهندسية هي قياس الجانبين لكل خطوة بدل افتراض أحدهما.
فجوة قدرة النموذج. كلفة قرار محلي خاطئ ليست متناظرة مع كلفة الإفصاح. مصنّف محلي يوسم مقطعًا حميدًا كحساس يسبب حجبًا غير ضروري؛ ومصنّف محلي يوسم مقطعًا حساسًا كحميد يسبب إفصاحًا. الفجوة بين قدرة النموذج المحلي والبعيد تحدد تكرار كل خطأ، والسياسة تحدد أي الخطأين أسوأ. حيث تكون الفجوة صغيرة وكلفة الإفصاح عالية، يفوز التنفيذ المحلي. وحيث تكون الفجوة كبيرة والخطوة منخفضة الحساسية، يفوز التنفيذ على الخادم.
آلية ملموسة: مثّل كل خطوة كسجل بفئة بيانات معلنة، وميزانية زمن استجابة معلنة، ومسار احتياطي معلن. في وقت التصميم، يُحسم السجل إلى موضع — الجهاز، أو الخادم، أو الجهاز مع تصعيد إلى الخادم. وفي وقت التشغيل، يستشير الوكيل الموضع بدل إعادة اشتقاقه. هذا يبقي القرار قابلًا للتدقيق ويبقي مسار التشغيل خاليًا من منطق سياسة لا يمكن اختباره.
جعل الحدّ قابلًا للتدقيق
حدّ لا يُسجَّل لا يمكن مراجعته. يجب تسجيل كل حمولة صادرة مع الخطوة التي أنتجتها ونسخة السياسة المطبقة. مدخل السجل ليس الحمولة نفسها؛ بل البيانات الوصفية التي تتيح للمدقق إعادة بناء سبب مغادرة هذه البيانات الجهاز في هذه الخطوة تحت هذه القاعدة.
ينبغي أن تكون قواعد الحجب عناصر مُصدَّرة بإصدارات. عندما تتغير قاعدة، يتغير الإصدار، ويصبح أي تراجع في ما يُحجب قابلًا للكشف بمقارنة السجلات الصادرة عبر الإصدارات. بدون الإصداريّة، يبقى تغيير القاعدة غير مرئي حتى ينتج حادثًا. ومعها، ينتج فرقًا.
اختبار الحدّ يتطلب مدخلات خصومية، لا تمثيلية فقط. المدخلات التمثيلية تؤكد أن المسار السعيد يبقى محليًا. والمدخلات الخصومية تسبر الحواف: رسالة تحتوي معرّفًا شخصيًا مقسومًا على مقطعين، صورة تحمل بياناتها الوصفية موقعًا، مستند لا يكون قسمه الحساس حساسًا إلا بالاقتران بنتيجة استرجاع سابقة. هذه هي الحالات التي يفشل فيها الحدّ لكل تطبيق ويصمد فيها الحدّ لكل خطوة.
أداة اختبار مفيدة تعامل الحدّ كعقد: بالنظر إلى مدخل ومهمة، أكّد أي الخطوات تُنفَّذ محليًا وأي الحقول تظهر في الحمولة الصادرة. التأكيد على شكل الحمولة، لا على مخرجات الن
أين يفشل هذا
سياسة على جانب الجهاز تتدهور بصمت إلى إرسال كل شيء عند غياب النموذج المحلي ليست سياسة. إنها مسار احتياطي يقلب قصد التصميم تحت الظروف ذاتها — جهاز مقيّد، نموذج مفقود، مسرّع متدهور — التي تكون فيها البيانات أكثر عرضة للحساسية. والفشل صامت لأن الوكيل ما زال ينتج جوابًا؛ الحدّ وحده هو الذي تحرّك.
المقايضة الصادقة أن الحدّ الصارم قد يجعل الوكيل غير قابل للاستخدام على بعض الأجهزة. إذا غاب النموذج المحلي وحظرت السياسة تنفيذ خطوة حساسة على الخادم، وجب أن تفشل الخطوة، لا أن تتدهور. الفشل المرئي أسوأ للمنتج وأفضل للمستخدم. القرار التصميمي هو أي الخطوات يُسمح لها بالفشل المغلق، وهذا القرار ينتمي إلى وقت التصميم، لكل خطوة، إلى جانب فئة البيانات وميزانية زمن الاستجابة.
المنطق نفسه ينطبق على التصعيد. موضع الجهاز مع تصعيد إلى الخادم مشروع فقط إذا كان التصعيد نفسه خطوة معلنة بفئة بياناتها الخاصة وحجبها الخاص. التصعيد الذي يتجاوز الحجب ليس تصعيدًا؛ إنه إفصاح بخطوات إضافية.
وقت التصميم، لا وقت التشغيل
مرشّحات الخصوصية في وقت التشغيل جذابة لأنها مركزية وسهلة التحديث. وهي أيضًا المكان الخطأ لهذا القرار، لأنه بحلول الوقت الذي يرى فيه مرشّح وقت التشغيل حمولة، تكون الخطوة التي أنتجتها قد التزمت أصلًا بشكل بيانات. يستطيع المرشّح حجب الحقول، لكنه لا يستطيع استعادة ميزانية زمن الاستجابة التي أُنفقت في تجميعها، ولا يعرف أي تلك الحقول كانت الخطوة تحتاجه فعلًا.
التحكيم في وقت التصميم يقلب الترتيب. تعلن الخطوة ما تحتاجه، وتحسم السياسة أين تعمل، وتُجمَّع الحمولة وفق ذلك الحسم. يصبح مسار التشغيل حينها بحثًا في جدول، لا حكمًا لحظيًا. هذا عمل أكثر في البداية وأقل في الإنتاج، وهو النسخة الوحيدة من الحدّ التي يمكن تدقيقها لاحقًا.
النتيجة العملية أن الحدّ يصبح عنصرًا مواصفاتيًا. يمكن مراجعته وإصداريته واختباره كأي واجهة أخرى. هذا هو المعيار الذي ينبغي أن يُحاسَب عليه وكيل يتعامل مع بيانات شخصية، وهو قابل للتحقيق دون اختراع مقاييس: الآلية هي السجل، والإصدار، والاختبار الخصومي، وكل منها قابل للفحص بشروطه الخاصة.