店员递来个印着活动二维码的立牌，说扫了填手机号立减3块。
搁以前我肯定摆手。谁知道我那串数字转头就会出现在装修推销、英语培训的短信轰炸列表里？之前我为了减5块钱填过一次手机号，接下来的三个月，每天至少两个陌生来电，烦到我把那个号设成了骚扰拦截。
但那天我扫了。
不仅填了手机号，还顺手选了自己常喝的全糖芋泥啵啵口味，结完账拿了奶茶走出去两步，突然反应过来：我刚才填的那些信息，好像根本没真的从奶茶店的系统里流出去？
你以为的“数据安全”，其实都在裸奔
说起来有点讽刺，我们之前谈了那么多年的数据安全，本质上都是在玩“锁柜子”的游戏。
奶茶店攒了十万个用户的手机号、消费时间、口味偏好，想算一下哪个月份的芋泥类产品复购率最高，得自己在店里的本地服务器上扒数据，不敢随便把数据导出去。要是想和隔壁的芋泥原料供应商谈个联名活动——比如算一下供应商供的30吨芋泥，给店里带动了多少杯销量，两边的账怎么分——这就成了天大的难题。总不能把十万条用户的原始数据打包发给供应商吧？《个人信息保护法》明明白白摆着，这种操作抓到了就是顶格罚款。
之前行业里的惯常解法，是把数据里的姓名、手机号全涂掉，美其名曰“匿名化处理”。但你架不住拼接啊。
比如你涂掉了手机号，剩下的字段是“每周三下午三点，全糖芋泥啵啵，家住XX小区，支付渠道是某行信用卡”，拿着这串信息去和银行的支付记录一拼，分分钟就能定位到具体是谁。我之前见过个做零售的朋友，为了算跨品牌的联合营销ROI，手动把自己手里用户数据的所有可识别字段都删了，结果还是被监管找上门——因为他那套匿名数据，和相邻影院的消费记录一拼，能精准把人找出来。
说白了，你以为你把锁砸了，其实门根本没关。所谓的“安全”，不过是你自己站在门口假装没人路过而已。
不是把数据锁起来，是让算法“跑过去算”
我第一次听隐私计算的核心逻辑时，第一反应是“这思路怎么这么像谍战片”。
以前我们做数据计算，逻辑特别简单：把所有散在各处的数据全凑到同一个地方，把算法放进去，跑出来结果就行。这个模式的最大问题就是，数据在搬运的过程中，只要任何一个环节出了漏洞，就会被人偷走。
隐私计算把这个逻辑整个反过来了。
数据全程不离开自己的本地存储环境，所有参与计算的主体，谁也看不到对方手里的原始数据，最后大家凑到一起的，只有加密计算出来的最终结果。
还是拿刚才的奶茶店和芋泥供应商举例子。以前要算复购率，得把两边的数据凑一块。现在呢？奶茶店守着自己的十万条用户消费记录，供应商守着自己手里的芋泥供货批次、进货价格，两边各自把自己的本地系统准备好，派一个加密的计算模型，分别在两边的系统里跑。
跑出来的中间结果全是密文，谁拿到了也解不开。等两边都跑完了，把所有的加密中间结果拼到一块，用共同的密钥解出最终的复购率数字就完事了。整个过程里，奶茶店没拿到供应商的供货底价，供应商也没拿到奶茶店的用户手机号，大家都守着自己的家底，就把联名活动的账算明白了。
我去年去某省的医保部门交流，他们已经把这套技术用到日常的骗保核查里了。搁以前，要查哪个药店存在乱刷医保卡的情况，得把所有药店的售药记录、医保中心的参保人数据全导出来交叉比对，光走合规审批流程就要三个月，还容易漏过很多异常的交易记录。
现在呢？医保中心把自己总结的异常刷卡规则，做成加密的计算模型，直接跑到每个药店的本地系统里跑一遍，哪些记录踩了规则红线，直接出核查结果。全程药店看不到医保中心的规则细节，医保中心也拿不到药店的完整售药流水，核查效率提了快十倍。
真的。
别把这东西吹成万能解药
我最烦现在一提到新技术，就有人跳出来吹“这东西马上要颠覆所有行业”。
扯呢。
隐私计算本质上就是个工具，和你家里的保险柜没什么区别。你要是把保险柜的钥匙随便丢在小区门口，就算保险柜的钢板再厚、锁芯再复杂，有啥用？
之前我见过个做项目的厂商，为了压缩成本，把隐私计算流程里的两个加密校验环节直接砍了，对外宣传“计算效率提升了40%”。结果安全团队做渗透测试的时候发现，攻击者只要拿到两三个中间的加密结果，就能反推出系统里存的原始用户数据——这跟没穿裤子在街上走有啥区别？
更有意思的是，我前几天和个做隐私计算的工程师吃饭，他说现在遇到的最离谱的客户需求，就是一上来就问“你们这技术能不能帮我们绕过数据合规的要求，把我们手里的用户数据随便拿去卖”。他每次都得耐着性子给人解释半小时：这东西是帮你在合规的前提下，把沉睡在系统里的数据价值挖出来，不是帮你违法的。
说白了，很多人对隐私计算的期待从一开始就歪了。
我们总说技术要向善，其实哪有那么多宏大的叙事。就像我那天在奶茶店填了手机号，减了3块钱，也不用担心接下来接到一堆骚扰电话，这种实实在在的体验，比多少行业报告里的“万亿市场规模”都要实在。
技术本来就该是这样的。
作者|科技
排版|科技
审核|小北