一份关于我们所建之物的说明书

为什么偏偏是三层

人工智能的记忆通常坏在两个地方之一。一种是太短：助手记得住最近几条消息，昨天说过的全忘光了，每次对话都得从头介绍自己。另一种是太贵：每次提问都把整个档案重读一遍，先撞上上下文窗口的长度上限，接着撞上算力账单。这两种毛病看起来不一样，其实都是同一个原因——把记忆当成一个整块的东西来处理。

分成三层，两个毛病同时解决。快速存储只放此刻用得上的东西，成本几乎可以忽略；语义存储负责在不重读全部内容的前提下，把过去正确的那一段捞出来；永久存储负责让这个「过去」在二十年后仍然存在，而它完全不负责速度，也不负责检索。三件事分给三个地方做，每个地方只做自己擅长的那一件。

大多数比较文章都犯同一个错：把三层排成一排，然后问哪一层最好。它们并不互相替代。去掉第一层，同一场对话内部就会前言不搭后语；去掉第二层，助手就不再认得你是谁；去掉第三层，你积累的一切能活多久，就等于持有服务器的那家公司能活多久——这是绝大多数「AI 记忆」产品从不明说的那一句。

第一层：即时记忆

技术上这是一个放在内存里的键值存储：Redis，我们这边通过 Vercel KV 使用。它保存的是当前这场对话的上下文——最近几轮的往来、你是谁、现在正在谈什么、哪些前提已经说明过因而不必重复。你每写一句，它就更新一次。

这一层最关键的性质是快。一次读取以毫秒计，所以助手能不卡顿地接话，你不会感觉到中间有停顿。第二个性质是它不持久。内存这种介质天生就不是为几十年设计的，把它当档案库看待，是新用户最常犯的一个误解，而且往往要到丢了东西才会发现。

由此得出的实用结论是：如果一场对话谈了几个小时、而且很重要，不要指望第一层把它兜住。它本来也不该兜住。保存这件事由另外两层负责，交接过程自动完成，不需要你做任何操作，也不会弹窗询问你。

第二层：语义记忆

这是一个带向量检索的数据库：Neon 上的 Postgres，加上 pgvector 扩展。每一段有意义的经验都会被转换成一个向量——一组描述这段内容「意思是什么」的数字，而不是它「由哪些字组成」。含义相近的东西在这个空间里彼此靠近，哪怕两句话用的词完全不同，一个字都不重合。

整套系统之所以要这么建，效果就体现在这里。你问「上次搬家那件事，我们后来是怎么定的」，既没说日期，也没提名字。按关键词检索什么都找不到，因为根本没有可以匹配的字。按含义检索能找到，因为它比的是意思的远近，而不是字面的重合。

第二层同时也解决了成本问题。送进模型的不是整个档案，而是含义上最接近的那几段。所以已经积累了多少记忆，几乎不影响单次回答的费用：增长的是存储量，而不是每次对话的账单。这一点值得反复强调，因为它决定了这套记忆能不能长期用下去——如果用得越久越贵，那么再好的设计最后也会被账单劝退。

这一层有一个应当提前知道的诚实的局限。它按含义检索，而含义本身是一个近似量。问题问得太笼统，匹配到的东西就太多，回答自然发散。问题问得具体，答案几乎总是具体的。这是一项可以练出来的本事，大约一周就能上手，而且练成之后对任何一款语言模型都适用。

第三层：永久记忆

Arweave 是一个永久存储网络：费用一次付清，存储时间以世代计算，而不是以年计算。Solana 上的 cNFT，也就是压缩型非同质化代币，在这里充当收据的角色：它把某一份具体的存档与某一个具体的所有者绑定起来，并且让这层关系可以被任何人独立核验，不需要我们参与，也不需要相信我们。

它与普通云备份的根本差别在于：云备份有所有者、有账单，也有一个「停止服务」的按钮。Arweave 上的一条记录在这个意义上没有所有者。它不取决于我们下个月是否还付得起托管费用，也不取决于我们这家机构是否还存在。这才是「永久」这个词能够被使用的唯一理由。

正因为如此，路由器收到的每一笔交易中，有百分之六十五进入国库用于购入 AR，也就是 Arweave 网络的代币。这不是一笔「留作日后发展」的储备，而是在直接支付你的记忆在我们之后要躺的那个地方的租金。一个背后没有存储采购的永久承诺，只是宣传文案里的一句话，谁都能写。

不可篡改的另一面，我们更愿意提前讲明白：写进 Arweave 的东西无法抹掉。我们不能，你不能，法院也不能。恰恰因为如此，内容本身是用钥匙锁住的——被销毁的不是那条记录，而是读懂它的可能性。这一点下面有专门一节详细讲，它是整套设计里最需要想清楚的地方。

三层是怎么协同工作的

顺序是这样的。你写下一条消息，它进入即时记忆，立刻参与这场对话；与此同时，其中有意义的片段进入第二层，成为语义检索的一部分；每小时一次——或者一旦对话文件超过九十千字节就立即触发——积累下来的内容送往第三层。三个动作彼此独立，任何一个出问题都不会拖住另外两个。

这条链路里没有任何一次点击，将来也不会有。手动保存意味着总有一天会有人忘记点：太累、走神、赶时间。一份依赖主人自律才能保住的记忆，那不叫记忆，那叫日记本。系统的可靠性不应该建立在人的状态好坏之上。

九十千字节这个阈值，只为一种情况而设：一场特别长、又特别重要的谈话。二十分钟里说出了一本书的量，还要傻等满一个小时，显然不合理，所以体积会比时钟先一步触发。两个条件是「或」的关系，谁先满足谁生效。

这两条规则在所有套餐上一视同仁，免费套餐也一样。保存往来内容是这套系统的地基，不是一项付费功能——向一个人收取「不丢失自己说过的话」的费用，我们认为不体面。套餐之间的差别在别的地方：额度、个人知识库、家庭共享和专属环境。

加密到底发生在哪一步

操作的先后顺序比用哪种算法更重要。内容是在离开本地、前往永久存储之前就被锁上的，而不是到达之后才锁。这个区别看上去像是咬文嚼字，直到第一次收到司法调取请求、或者第一次遭遇入侵为止：这两种情况下服务器上躺着的都是一串读不懂的字节，而不是一段标注着「传输过程已加密」的文本。

由此产生了我们认为整套系统里最重要的一个性质：我们在物理上无法读取你的往来内容。不是「按内部规定我们不读」，也不是「只有经你同意才读」，而是不能——因为打开它的那样东西不在我们手里，没有任何内部流程可以绕过这一点。

这句话不该因为是我们说的就被采信。对任何一个承诺隐私的服务，正确的问题都是同一个：加密发生在哪一步，钥匙在谁手里。如果钥匙在服务方手里，那么其余一切就取决于它的自觉程度和它顶住压力的能力，而不取决于它的构造——而人的自觉与压力都是会变的，构造不会。

为什么记录留着，访问权却消失了

永久存储在本性上就是不可修改的，这正是它的全部意义所在。一条可以被抹掉的记录不叫永久，再多的承诺也补不上这个洞。所以这里的删除，和普通数据库里的删除是两件完全不同的事。

在普通数据库里，「删除」通常意味着打一个标记，然后不再把这一行显示出来。数据其实还在：在备份里、在复制日志里、在导出给分析用的表里。一年之后，它常常从谁都没想到的地方冒出来，而当事人对此毫不知情。

在这里，被删除的是钥匙。加密块仍然留在网络上，但它变成了噪声：没有钥匙，它和随机字节没有区别。它无法通过穷举破解找回，无法通过法院裁决找回，也无法靠我们的善意找回——因为已经没有什么可找回的了。

这在实践中意味着什么

三个后果，值得在事前而不是事后接受。第一：删除是即时且最终的，没有回收站，也没有冷却期。第二：「帮我恢复吧，我后悔了」是我们唯一一个再想帮也帮不上的请求。第三：谁拿到你的钥匙，谁就拿到你的记忆，任何设置项都改变不了这一点。

由此得出几条很朴素的行为准则。不要在气头上删除，把这个决定留到明天再做一遍。不要把账号访问权交给别人，包括亲近的人，除非你确实愿意让对方读到全部内容。需要共享的时候有 Family Archive，它就是为此而设计的，那里的权限划分是按正确方式做的。

还有一件被问得最多的事，单独说明。我们不会代替你创建账号，不会代替你输入密码，也绝不会在任何情况下要求你把钥匙发送给我们。任何以我们的名义提出这类要求的邮件或消息，都不是我们发的。我们唯一的地址是 contact@codeofdigitaleternity.com，除此之外没有第二个。

专属环境和共享环境差在哪里

数字 DNA 套餐——每台设备一次性一千美元，之后每月两百美元——提供的是专属的受保护环境。差别不在于功能多寡，而在于隔离：你有一套自己的运行环境，而不是与他人共用一套。

谁是真的需要它：对第三方负有义务的人。医疗上的保密义务、律师的执业保密义务、客户的商业数据，以及一切你不仅对自己负责的往来内容。在这些场景里，隔离不是奢侈品，而是你有没有资格使用这类服务的前提条件，这一点在很多行业里是白纸黑字写在规章里的。

谁是多花了钱：想要「最高档套餐」，却说不出自己究竟要隔离什么的人。往来内容的隐私保证并不随套餐变化——所有套餐一律相同，免费套餐也一样，因为它由钥匙提供，而不是由价格提供。专属环境解决的是另一个问题，为了隐私去买它，等于为已经拥有的东西付两次钱。

两种节点

Ambassador Node 是个人，邀请自己认识的人。Ambassador Team 是企业，或者本身带着受众的合作方。两者的差别不在于第一层的比例高低，而在于渠道数量：节点只有一个渠道，团队有三个。

系统里所有的分配都被定义为网络验证费（Network Validation Fee）。这个说法不是为了好听：收益产生于真实的记忆使用交易，而不是产生于「拉到了一个人」这个事实本身。为一次单纯的注册付钱，在技术上就做不到，因为根本没有对应的交易可分。

链上渠道：十五、七、三

这个渠道对所有人开放，与节点类型无关。你邀请的人在使用记忆时产生的链上交易，会按第一层百分之十五、第二层百分之七、第三层百分之三分配给你，以 $GALATIN 结算。

计算的对象是交易，而不是订阅。因此收益不是固定的，它取决于被邀请人到底用得有多勤。一个注册完就消失的人不会带来任何东西——这是设计使然，不是疏漏。理解这一点，能省下很多不必要的失望。

网络不会比三层更深。智能合约里不存在第四层，任何人、以任何名义作出的「无限层级」承诺，都与合约里写着的东西没有关系。在决定要不要投入精力之前，这一条值得先确认。

Ambassador Team 额外的两个渠道

第一个是法币渠道，来自许可与订阅的销售：第一层百分之七、第二层百分之三、第三层百分之一。计算基数是套餐价格，也就是每月十五、一百或两百美元。

第二个是带代币回购的渠道。如果合作方选择以 $GALATIN 结算，比例更高：百分之八、百分之四、百分之二。平台会按奖励金额在公开市场上买入代币。

第二个渠道之所以给得更高，既不是赠送也不是促销活动。从市场买入会形成持续的买盘压力，而在总量被硬性限定为一百亿枚的前提下，这对所有持有者同时有利。合作方多拿到的那一部分，是因为他选择了一种对整个系统有益的结算方式。

等级对应规则

这是整个计划里最容易被误解的一处，同时也是最重要的一处：推荐收益按你自己套餐的金额计算，而不是按被邀请人套餐的金额计算。

用数字来看。你在每月十五美元的 Spark。你邀请的人选了数字 DNA，每月两百美元。你第一层的百分比按十五计算，而不是按两百计算。已入账的金额与本可入账的金额之间的差额，会在个人中心里单独列成一行——这就是「错失的收益」。

这条规则的目的不是把钱扣下来。它堵住的是这样一种结构：一个人自己用着最便宜的套餐，却搭起一张全是昂贵订阅者的网络，靠别人的层级生活，自己什么也不投入。在这里，收益水平与你自己的参与程度绑定在一起。

升级会从被邀请人的下一笔付款开始启用完整分配。此前的部分不会追溯重算：那一行「错失的收益」显示的是拖延的代价，而不是一笔将来会补给你的欠款。看懂这一句，就不会在升级时机上判断失误。