Neka vaš AI šalje tajne, a da ih ne vidi.

Posao je slanje, ne znanje

Većina savjeta o „AI + tajnama” i dalje pretpostavlja da model mora vidjeti vjerodajnicu da bi pomogao. To je točno ako želite da model datoteku objasni, ugovor prepiše ili ključ otkloni. Nije točno ako želite da ga dostavi.

Dostava je logistički problem: koja datoteka, koja osoba, koji kanal, koliko dugo pristup smije trajati, treba li izgorjeti nakon prvog otvaranja. Nijedna od tih odluka ne traži otvoreni tekst. Traže alat koji može pročitati lokalnu putanju, šifrirati i vratiti handle koji ostatak stoga smije vidjeti.

Za to je privatenote-mcp. Hostovi koji poštuju MCP upute dobivaju, redom: ako je korisnik imenovao lokalnu datoteku, proslijedi apsolutnu putanju; ne otvaraj je, ne radi cat i ne sažimaj; pozovi create_private_note (pregled); pričekaj vaše odobrenje; zatim pozovi confirm_private_note. Tek tada drugi alat smije poslati URL — i samo na odredište koje ste odobrili.

Pravilo

Ako asistent može dovršiti zadatak putanjom, ne smije ga dovršiti sadržajem. Lijepljenje u prompt je zadnje sredstvo — nakon što je tajna već u chatu.

Zašto kanali koje već koristite čuvaju krivu kopiju

E-pošta, Slack, Discord i WhatsApp dobri su u razgovoru. Loši su sefovi. Šifriranje u prijenosu, čak i od kraja do kraja, ne odlučuje koliko dugo pretraživa kopija ostaje na uređajima, u izvozima radnog prostora, u oblačnim sigurnosnim kopijama ili u pregledima obavijesti. To je ista razlika kao zašto je e-pošta najgore mjesto za tajne i zašto se tajne nikad ne smiju lijepiti u chat.

• E-pošta sprema privitke u oba sandučića, na poslužiteljima pošte, u legal holdovima i u „pretraži svu poštu”. Prosljeđivanje množi kopije koje kasnije ne možete opozvati.
• Slack indeksira radni prostor. Administratori, izvozi usklađenosti i AI funkcije koje sažimaju kanale mogu lozinku ponovno naći mjesecima kasnije.
• Discord na živom poslužitelju izgleda prolazno. Nije. Pinovi, pretraga i DM-ovi drže bot tokene i admin tajne pokraj memova.
• WhatsApp je često jedini kanal koji će izvođač ili klijent stvarno otvoriti. To je i obiteljski sandučić: snimke zaslona putuju, povezana računala se sinkroniziraju, a sigurnosne kopije nadžive posao.

Poanta nije napustiti te alate. Poanta je prestati u njih stavljati sadržaj. Oni ostaju omotnica. Bilješka je pismo. Primatelji i dalje ne trebaju PrivateNote račun: otvaraju poveznicu u pregledniku, kao i svaki drugi URL koji im već šaljete.

Trostruka podjela

MCP ne šalje e-poštu ni Slack poruku umjesto vas. Stvaranje bilješke nije ovlaštenje za slanje. Nakon što odobrite pregled koji imenuje točan kanal i primatelja, rezultat može uključivati sendAuthorized: true — tada alat za poštu ili chat smije poslati samo URL na to odredište. Ako odredište nije odobreno, sendAuthorized je false i agent vam treba dati URL za lijepljenje, a ne pokrenuti drugi alat.

URL je bearer sposobnost: tko ga ima, može otvoriti bilješku. Trenutačni MCP host vraća secureUrl u rezultatu alata, pa agent može vidjeti poveznicu iako ne može vidjeti bajtove datoteke. Ne zapisujte je, ne committajte je i ne kopirajte u nepovezane alate. Tretirajte je kao tajnu.

Ostatak vraćenog sadržaja je mali: noteId, expiresAt, burnAfterReading i, kad je relevantno, passwordProtected i attachedFileNames. Imena datoteka su metapodaci, ne sadržaj — ipak ne stavljajte tajnu u ime datoteke.

Što MCP zapravo radi na vašem računalu

Kad agent pozove create_private_note, lokalni Node.js proces — ne model — kanonizira putanju, provjerava je prema allowlisti radnog prostora, izračuna hash datoteke i pokaže vam pregled. Još ne vraća URL koji se može dešifrirati. Nakon vašeg odobrenja confirm_private_note ponovno otvara istu datoteku, provjerava uređaj, inode, veličinu i SHA-256 te šifrira te bajtove. Ako se datoteka promijenila, potvrda ne uspijeva; agent mora početi ispočetka. AES-256-GCM šifrat šalje se POST-om PrivateNoteu. Ključ za dešifriranje ide u fragment URL-a (#…). Preglednici ne šalju fragmente poslužiteljima. API sprema šifrirani blob. Bez fragmenta taj blob je šum.

Radije koristite parametre putanje da host nikad ne mora staviti tajnu u argumente poziva koje je sastavio model:

• contentFilePath — UTF-8 datoteka koja postaje tijelo bilješke (lozinka, kod za oporavak, kratka uputa).
• filePath / filePaths — lokalni privitci (PDF, CSV, slike). Traži sign_in. Zajedno najviše 20 datoteka.
• passwordFilePath — prvi redak lokalne datoteke postaje lozinka za otkrivanje (Argon2id omot). Tu lozinku pošaljite izvan kanala, nikad u istoj poruci kao poveznicu.
• content i password — zadnje sredstvo, samo ako je korisnik tajnu već zalijepio u chat i datoteka ne postoji.

Zadana politika odgovara predaji, ne arhivi: burnAfterReading je true, expiresIn je zadano 24 sata. Kraće je bolje kad primatelj čeka s druge strane Slacka. Više otvaranja (burnAfterReading: false) traži Premium račun. Privitak, provjera primatelja, obavijesti o otvaranju te popis i opoziv traže prijavljenu sesiju; vrata i upozorenja traže i plaćeni plan.

Putanje su ograničene. Zadano se smiju čitati samo datoteke unutar radnog prostora (radni direktorij MCP procesa). Postavite PRIVATENOTE_MCP_ALLOWED_ROOTS ako morate dodati mape. SSH ključevi, direktoriji oblačnih vjerodajnica i MCP datoteka sesije uvijek su blokirani, čak i ako dopustite $HOME ili /.

Odobravate točnu predaju — ne ime putanje

Agent koji može stvoriti URL koji se dešifrira i poslati e-poštu ili Slack je confused deputy: mogao bi šifrirati krivu datoteku ili poslati pravu poveznicu krivoj osobi, u jednom potezu. Zadano u PrivateNoteu je da vi zajedno ovlastite tri stvari: točne bajtove datoteke, točne opcije bilješke (istek, burn-after-read) i točno odredište.

Pregled mora pokazati odredište kad se traži slanje, na primjer „Send via: Email / Recipient: alice@example.com”. To odobrenje nikad ne smije ovlastiti drugu adresu ili drugi Slack kanal. confirm_private_note prima samo confirmationId. Agent pri potvrdi ne može prebrisati putanju, primatelja, kanal, istek ni politiku uništenja.

Bilješka bez odredišta vraća sendAuthorized: false. To je namjerno. Poveznica u chatu i dalje je osjetljiva — ali nije dozvola da se pošalje poštom.

Ne uključujte one-shot ako agent može slati

PRIVATENOTE_MCP_ALLOW_ONE_SHOT preskače ljudski pregled. Agent to ne može uključiti kao argument alata, a kasnija promjena okoline nema učinka dok ne ponovno pokrenete MCP poslužitelj. Ostavite ga isključenog. Uključiti ga dok isti host može slati e-poštu, Slack, Discord ili datoteke dopušta modelu da u jednom koraku stvori URL koji se dešifrira i otpremi ga — uključujući krivu datoteku ili krivog primatelja. Allowlista putanja i dalje vrijedi; nije zamjena za vaše odobrenje.

Spojite jednom

Potreban je Node.js 18+. Nakon spremanja ponovno pokrenite MCP klijent da učita trenutačne sheme alata i upute. Pune napomene o instalaciji su na stranici MCP integracije.

{
  "mcpServers": {
    "privatenote": {
      "command": "npx",
      "args": ["-y", "privatenote-mcp"]
    }
  }
}

Codex CLI: codex mcp add privatenote -- npx -y privatenote-mcp. To piše ~/.codex/config.toml. Napomene posebno za Codex su u Korištenje PrivateNotea s OpenAI Codexom.

Self-hosted: postavite PRIVATENOTE_API_BASE_URL i PRIVATENOTE_WEB_ORIGIN u MCP env bloku da šifrat ne napusti vašu infrastrukturu. Po želji PRIVATENOTE_MCP_ALLOWED_ROOTS. Ne dodajite PRIVATENOTE_MCP_ALLOW_ONE_SHOT osim ako imate usko ograničen automatizacijski host bez alata za slanje.

Svakodnevno: e-pošta

E-pošta je i dalje način na koji tvrtke šalju ugovore, NDA-ove, račune s bankovnim podacima i izvoze klijenata. Način kvara je priviti datoteku. Sandučić tada godinama drži kopiju koja se može dešifrirati, i na strani primatelja, u BCC tragovima i u e-discoveryju.

MCP uzorak: agent već zna Alicinu adresu i dva lokalna PDF-a. Ne smije te PDF-ove otvoriti. Prijavljuje se ako treba, zove create_private_note s filePaths, sendChannel i sendRecipient da pregled imenuje Alicu, čeka vaše odobrenje, zatim confirm_private_note. Tek tada alat za poštu smije u tijelo staviti samo secureUrl. Ako koristite provjeru primatelja, čitatelj mora dokazati da posjeduje adresu prije nego se bilješka otključa — ta vrata ne šalju poštu; to i dalje radi vaš alat za poštu.

Pošalji ove dvije datoteke Alici e-poštom.
Zaštiti ih lozinkom u /absolute/path/client-password.txt.
Ne izlaži datoteke ni lozinku modelu:
/absolute/path/contract.pdf
/absolute/path/nda.pdf

• Agent zove sign_in ako nema sesije dodatka, zatim create_private_note s filePaths, passwordFilePath, sendChannel: "email" i sendRecipient. Vi odobravate pregled. Zatim confirm_private_note.
• Predmet smije reći „paket ugovora” — ne smije citirati klauzule iz PDF-a.
• Lozinku za otkrivanje pošaljite u drugoj poruci, pozivu ili dijeljenju iz upravitelja lozinki — nikad u istoj pošti kao poveznicu. Pogledajte kako sigurno podijeliti lozinku.
• Za imenovanog primatelja na plaćenom planu: requireRecipientVerification: true i recipientEmail: "alice@example.com".

To je isti model dostave kao sigurno slanje osjetljivih dokumenata, osim što asistent smije to izvesti a da ne postane čitatelj paketa.

Svakodnevno: Slack

Slack je mjesto dežurstva. Lozinke staging baze, deploy tokeni i „CSV iz financija” padaju u nit jer su svi već tamo. Pretraga radnog prostora od tog pada zatim radi trajnu internu wiki tajni.

Tražite predaju po putanji i kratki fitilj. Petnaest minuta je dovoljno ako je suigrač online. Spalite nakon čitanja da kasniji pogodak pretrage bude mrtva poveznica, ne živa vjerodajnica. URL tretirajte kao tajnu: ne objavljujte ga u javnom kanalu; koristite DM ili namjenski privatni kanal.

Pošalji Marku lozinku baze iz /absolute/path/secrets/db-password.txt u Slack.
Jednokratno čitanje, istječe za 15 minuta.
Ne čitaj datoteku u chat.

• create_private_note s contentFilePath, expiresIn: "15m", burnAfterReading: true i Slack odredištem vezanim u pregledu. Odobrite, zatim confirm_private_note.
• Ako je Slack spojen kao drugi MCP alat, agent smije objaviti samo secureUrl na odobreno odredište nakon što je sendAuthorized true. Inače vam daje URL za lijepljenje.
• Nakon što Mark otvori, rotirajte lozinku ako je to bila dijeljena staging tajna — bilješka je smanjila preostale kopije; nije učinila dijeljenu vjerodajnicu jedinstvenom.

Svakodnevno: Discord

Discord je zadani ops kanal mnogih produktnih zajednica i timova bliskih igrama. Bot tokeni, Cloudflare ključevi i „evo tablice prijavljenih korisnika” lijepe se u mod DM-ove jer su moderatori tamo.

Discord poruka i dalje je spremljena poruka. Članovi poslužitelja s pravom ulogom, sigurnosne kopije uređaja i Discordova vlastita pretraga zadržat će je. MCP uzorak je isti kao za Slack: šifrirajte datoteku ili token lokalno, stavite poveznicu u DM, postavite kratak istek. Ako je token već ranije zalijepljen na istom poslužitelju, rotirajte ga — omotati procurjelu tajnu ne poništava curenje.

Pošalji voditelju zajednice DM-om bot token u /absolute/path/secrets/discord-bot.txt
i izvoz moderacije na /absolute/path/reports/export.csv.
Jednokratno čitanje, 1 sat, ne otvaraj te datoteke.

• Privitci traže sign_in. Bilješka samo s tokenom može koristiti contentFilePath bez sesije.
• Vežite Discord odredište u pregledu, odobrite ga, zatim confirm_private_note. Tek tada Discord alat smije poslati URL.
• Radije korisnički DM nego lijepljenje u mod kanal. „Privatni kanal” i dalje je transkript.
• Ako izvoz sadrži osobne podatke, dodajte datoteku lozinke i recite voditelju lozinku u glasovnom pozivu.

Svakodnevno: WhatsApp

WhatsApp je kanal koji koristite kad druga osoba neće ući u Slack i neće provjeriti poštu do ponedjeljka. Izvođač, asistent family officea, klijent na telefonu. Šifriranje od kraja do kraja je stvarno. Trajnost je također stvarna: chat je zapis, često na više uređaja, često u sigurnosnoj kopiji.

Ne trebate da instaliraju PrivateNote. Trebate da dodirnu poveznicu. Posao asistenta je pripremiti tu poveznicu iz lokalne datoteke koju već imate — PDF računa, Wi-Fi lozinka, jednokratni kod portala — a da je prvo ne pročita u Cursor ili Claude niti. I dalje odobravate pregled (točna datoteka i WhatsApp odredište) prije nego confirm_private_note stvori URL.

Pošalji onboarding paket na /absolute/path/client/onboarding.pdf
Ani na WhatsApp. Spali nakon čitanja, istječe sutra.
Ne čitaj PDF.

WhatsApp prikazuje pregled URL-ova. Taj pregled je PrivateNote odredišna stranica, ne dešifrirana datoteka. Ipak: ne stavljajte lozinku za otkrivanje u isti chat. Ako broj može biti kriv, stvorite bilješku, pošaljite poveznicu i opozovite ako je nikad nije otvorila. Odvjetnici i drugi profesionalni pošiljatelji kojima treba brendirana stranica otkrivanja umjesto zelenog mjehurića trebaju pročitati sigurnu dostavu klijentima za odvjetnike.

Prijavite se kad je sadržaj datoteka

Bilješke samo s tekstom iz contentFilePath mogu nastati bez računa, unutar istih javnih ograničenja kao web-mjesto. Privitak je drugačiji. MCP mora prvo pozvati sign_in. To otvara stranicu odobrenja u pregledniku (odobrenje je već u URL-u — nema koda za upis). Nakon što kliknete Approve, agent ponovno zove sign_in s pollDeviceCode. Sesija je u ~/.config/privatenote/mcp-session.json i šalje se kao Authorization: Bearer. Ne zamjenjuje cookie sesiju web-mjesta.

• ✓Agent pokreće sign_in() — otvara se preglednik
• ✓Kliknete Approve na PrivateNote stranici
• ✓Agent pita s pollDeviceCode, zatim whoami()
• ✓Agent zove create_private_note s putanjama datoteka (pregled — još nema URL-a)
• ✓Odobravate točne datoteke, istek i odredište
• ✓Agent zove confirm_private_note, zatim vi (ili drugi alat) šaljete samo secureUrl na ljudskom kanalu

whoami pokazuje prijavljeni račun. sign_out briše datoteku sesije dodatka. Tu datoteku tretirajte kao vjerodajnicu ovog računala.

Nakon što je poveznica poslana

Dobra predaja ne završava kad poruka napusti Slack. Plaćene, prijavljene sesije mogu dostavu tretirati kao događaje, ne kao sadržaj: stvoreno, otvoreno, isteklo, opozvano. list_sent_notes vraća id-eve, status i openedAt — nikad otvoreni tekst. revoke_sent_note poništava neotvorenu bilješku. notifyOnOpen šalje e-poštu na vaš PrivateNote račun kad se bilješka prvi put otvori; agent saznaje za otvaranje pitajući list_sent_notes. Nema push webhooka u Cursor.

sign_in()
create_private_note({
  filePaths: [
    "/absolute/path/signed-contract.pdf",
    "/absolute/path/customer-export.csv"
  ],
  expiresIn: "24h",
  burnAfterReading: true,
  requireRecipientVerification: true,
  recipientEmail: "john@example.com",
  notifyOnOpen: true,
  label: "contract-for-john",
  sendChannel: "email",
  sendRecipient: "john@example.com"
})
# wait for user approval of that exact destination
confirm_private_note({ confirmationId: "<from preview>" })
# email or Slack only secureUrl to John
# later: list_sent_notes() and look for openedAt on that noteId

Provjera primatelja je vrata otključavanja na PrivateNoteu, ne zamjena za slanje poruke. Upozorenja o otvaranju traže verificiranu e-poštu pošiljatelja na računu. Potvrde samo statusa objašnjene su u znati kad je tajna poveznica otvorena. Agenti sa širokim pristupom alatima i dalje trebaju model dozvola iz osiguravanje AI agenata kao zaposlenika.

Iskrena napomena o privatnosti

Jaka tvrdnja — „AI nikad nije vidio bajtove datoteke” — drži se kad host poštuje upute putanja-prvo i vi nikad niste zalijepili sadržaj u prompt. Ne znači da agent ne može vidjeti secureUrl nakon potvrde. Običan MCP poziv alata i dalje može hostu izložiti argumente. Zato alati radije koriste putanje: argument je /Users/you/secrets/db-password.txt, ne lozinka.

Ako upišete create a PrivateNote for sk_live_abc123, pružatelj modela u oblaku može obraditi taj niz prije nego MCP krene. PrivateNote i dalje sprema samo šifrat, a Slack i dalje dobiva samo poveznicu. Poboljšali ste curenje nizvodno. Niste zadržali tajnu izvan modela. Za najveću privatnost držite tajne u datotekama (ili koristite proširenje za VS Code / Cursor da uređivač šifrira bez agenta) i recite asistentu putanju.

• Ne tražite od modela da „prvo provjeri PDF” ili da ga sažme. To prisiljava čitanje drugim alatom.
• Ne stavljajte lozinku za otkrivanje u isti Slack, WhatsApp ili e-poštu kao URL.
• Tretirajte secureUrl kao tajnu. Agent je može vidjeti u rezultatu alata. Ne committajte je, ne zapisujte je i ne lijepite je u javni Discord kanal.
• Ponovno učitajte MCP klijent nakon nadogradnje privatenote-mcp da upute i sheme ostanu aktualne. Ostavite one-shot isključen.

Česta pitanja