インターフェースはキーを一切保持しない
認証情報、ネットワーククライアント、データベースはすべて別の Rust core にあります。チャット画面ができるのは completion を依頼することだけです — キーを読むことも接続を開くこともできず、これはオフにできる設定ではなく、アプリの作り自体によって強制されています。
アーキテクチャによるプライバシー
勝手に通信しない プライベート AI アシスタント
クラウドのチャットアカウントに入れられない業務のために — 顧客ファイル、患者記録、 未公開の原稿、未発表の財務情報、あるいは NDA の対象になっているものすべて。Conduit は 会話をローカルデータベースに保ち、あなたのアカウントを一切持たず、バックグラウンドで テレメトリーを走らせません。これはコンプライアンス認証ではなく、そもそも認証すべきことを 減らすように作られたアプリです。
- Conduit のアカウントやサーバーなし
- バックグラウンドのテレメトリーなし、アプリ内アナリティクスなし
- ローカルモデルなら完全にオフラインで動作
問題
「顧客の資料は ChatGPT に入れない」というのは多くの企業のポリシーであり、理にかなっています — hosted のチャットアカウントは他人のサーバーであり、他人の保持期間であり、学習データについての 他人の細かい規約です。 よくある解決策は、その業務には単に AI を使わないことです。つまり、最も機微なファイルを 抱えている人ほど、この技術から得られる助けが最も少なくなります。
プライベートである理由
プライバシーバッジではなく、正確な主張
以下の各行は、意図についての約束ではなく、具体的で検証できる設計上の選択です。
機能が必要としない限り何も出ていかない
会話、ドキュメント、成果物はローカルの SQLite データベースと blob ストアに収まります。それらが同期する先の Conduit アカウントや Conduit サーバーはなく、アプリの内部でバックグラウンドのテレメトリーやアナリティクスが走ることもありません。
air-gapped な業務のための本物の切り替え
ローカル専用モードは、クラウドプロバイダーを拒否し、web 検索、クラウドでのドキュメントインデックス作成、ページのネットワークアクセスを 1 つの切り替えでオフにします。Ollama や LM Studio のローカルモデルと組み合わせ、更新の確認もオフにすれば、Conduit はインターネットへ一切リクエストを送りません — ネットワークケーブルを抜いた状態でも動きます。
仕組み
機微な業務向けに、3 ステップで設定する
設定ファイルもコマンドラインも必要ありません。
-
ローカル専用モードをオンにする
新規インストールではすでにオンになっており、セットアップ中にクラウドプロバイダーを選ぶとオフになります。設定 → プライバシーとデータでオンに戻せば、クラウドプロバイダーが拒否され、web 検索とクラウドでのインデックス作成、ページのネットワークアクセスがオフになります。
-
ローカルモデルに向ける
Ollama か LM Studio をインストールしてモデルを選び、キーも請求もなしで Conduit に追加します。一部のタスクでどうしても最先端モデルが必要なら、あとでそのキーを追加し、切り替えるときにローカル専用モードをオフにしてください — オンのままではクラウドプロバイダーは拒否されます。
-
更新の確認は手動のままにしておく
確認はすでに既定で手動です。更新ポリシーを
manualのままにしておけば、「今すぐ確認」を押さない限り何にも接続しません — インターネットへの経路が一切ないマシンにとって、最後の要件です。
曖昧な約束ではなく、すべての通信を
マシンから何が、どこへ出ていくか
これはアプリが行いうる通信のうち 5 つを短くまとめたものです。完全な表は プライバシーページにあり、MCP や diagnostics も含まれます。
| 通信 | 送信先 | 既定 |
|---|---|---|
| チャットのメッセージと添付ファイル | そのチャットで選んだプロバイダー | プロバイダーが必要 — Ollama や LM Studio ならマシンに留まります |
| ドキュメントの埋め込み | OpenAI、Gemini、OpenRouter のいずれか — Ollama はオンデバイスのまま | コレクションを作るまでは動作せず、プロバイダーごとに確認を求め、ローカル専用モードでは Ollama が強制されます |
| web 検索のクエリ | Anthropic/OpenAI/Gemini/OpenRouter 自身の検索、または Exa（既定）、Tavily、Brave、自分の SearXNG、DuckDuckGo | 既定はオフ。ローカル専用モードでは完全に無効 |
| 更新確認 | 更新マニフェストのホスト、その後 GitHub のリリースアセット | 手動 — 「今すぐ確認」を押すまで何にも接続しません |
| diagnostics のエクスポート | どこにも送られません — ローカルファイルに書き出され、home path はマスキングされます | 要求したときだけ |
クラウドプロバイダーに送ったものは、そのプロバイダー自身のポリシーの対象になります — Conduit は そのやり取りの中に入りませんが、それはつまり、そこから守ることもできないということです。 Google Analytics を使っているのはアプリではなくこのウェブサイトです。詳しくは プライバシーページの説明をご覧ください。
限界
できること、できないこと
できること
- 会話、添付ファイル、成果物をローカルの SQLite データベースと blob ストアに保存します — Conduit のアカウントも Conduit のサーバーもありません。
- API キーをインターフェース層から完全に締め出します。キーは OS のキーチェーンにあり、読み取れるのは Rust core だけです。
- アプリの内部でバックグラウンドのテレメトリーもアナリティクスも走らせません。
- 更新の確認は既定で手動であり、ペイロードを適用する前に必ず署名を検証します。
- ローカル専用モードの 1 つの切り替えで、クラウドプロバイダーを拒否し、web 検索、クラウドでのドキュメントインデックス作成、ページのネットワークアクセスをオフにします。
- ローカルモデルを使い更新の確認をオフにすれば、インターネットへのリクエストを一切発生させません — 本当に air-gapped で使えます。
- オプションで AES-256-GCM による保存時暗号化を提供し、鍵は OS のキーチェーンでラップされます。
- diagnostics は要求したときだけ、マスキングされたうえで明示的な確認のあとにローカルファイルへ書き出します。
できないこと
- HIPAA、GDPR、SOC 2 のいずれの認証も受けておらず、それだけであなたの組織を準拠させることはできません。
- オンにしない限り保存時暗号化は行いません — 既定でオフであり、オンにしてもメッセージ本文、イベントログ、compaction summary、検索インデックスはまだ対象外です。
- クラウドプロバイダーが送ったものをどう扱うかは制御できません — それはプロバイダーのポリシーであり、Conduit の設定ではありません。
- 埋め込みに Ollama を選ばない限り、ドキュメントを完全にローカルに保てません — ほかの 3 つの選択肢はインデックス作成のために全文を送信します。
- web 検索のクエリを、送信先の検索バックエンドから非公開に保つことはできません。
- デバイス間で何も同期しません — 同期の元になるアカウントがありません。
- まだコード署名済みのインストーラは提供していません — release candidate 段階であり、SmartScreen や Gatekeeper の警告が出ることがあります。
プライベート AI アシスタントに関する質問
Conduit はプライベートな AI アシスタントですか
ローカルファーストであり、アーキテクチャ上プライベートです。プライバシー認証を受けているわけではありません。会話はあなたのマシン上のローカル SQLite データベースに残り、Conduit のアカウントやサーバーはなく、インターフェース層が API キーを保持することは一切ありません — それを保持するのは別の Rust core です。アプリにバックグラウンドのテレメトリーやアナリティクスはありません。ただし、クラウドのモデルプロバイダーに送ったものは Conduit のポリシーではなく、そのプロバイダー自身のポリシーの対象になります。Conduit はそのやり取りの間に入りませんが、それを保護する存在でもありません。
Conduit は完全にオフラインで、air-gapped でも動きますか
はい。Ollama か LM Studio でローカルモデルを選び、ローカル専用モードをオンにし、更新の確認は既定の手動のままにしておきます。ローカル専用モードはクラウドプロバイダーを完全に拒否します — 誤って選んでしまっても応答できません — そして web 検索、クラウドでのドキュメントインデックス作成、ページのネットワークアクセスをオフにします。この 3 つをすべて設定すれば、Conduit はインターネットへ一切リクエストを送りません。
Conduit にテレメトリーはありますか。使用データをどこかへ送っていますか
いいえ。アプリの内部にバックグラウンドのテレメトリーやアナリティクスは走っておらず、私たちにも他の誰にも使用状況を報告しません。更新の確認は既定では手動で、「今すぐ確認」を押すまでどこにも接続しません。更新のペイロードは適用前に必ず署名検証されます。アプリが行いうるすべての通信とその既定値は プライバシーページに一覧があります。
データは保存時に暗号化されますか
オプションで可能ですが、既定ではオフです。Settings でオンにすると、OS のキーチェーンでラップされた鍵を使う AES-256-GCM が適用され、添付ファイルと成果物の blob、ドキュメントの chunk、保存済みの memory、保存したプロンプト、カスタムインストラクション、tool の実行結果を対象にします。メッセージ本文、イベントログ、compaction summary、検索インデックスはまだ対象外です — 設定がオフの間は、これらすべてが他のローカルデータベースと同じ、ただのプレーンな SQLite です。
HIPAA や GDPR 対象の業務に使えますか
Conduit は HIPAA、GDPR、SOC 2 のいずれの認証も受けておらず、どのソフトウェアベンダーのマーケティングページも、それ単独であなたを準拠させることはできません — それはアプリの中のチェックボックスではなく、あなたの組織が運用するプログラムです。Conduit が正直に言えるのは、データを既定で第三者のサーバーから遠ざけるように作られているということです — Conduit のアカウントはなく、保存はローカルで、何もマシンの外に出したくないときはローカルモデルを使えます。それがあなたの義務にとって十分かどうかは、あなたの職場でコンプライアンスを担う人が判断することです。
自分のドキュメントもプライベートなままですか
ローカルの埋め込みモデルを選んだ場合だけです。ファイルをドキュメントコレクションに追加するのは、Ollama を使えば完全にオンデバイスです。OpenAI、Gemini、OpenRouter を使う場合は、インデックスを作るためにドキュメントの全文がそのプロバイダーへ一度送られます。これはプロバイダーごとに同意したあとです。ローカル専用モードでは Ollama が強制され、クラウドの選択肢は拒否されます。詳しくはドキュメントチャットの仕組みをご覧ください。
関連
Conduit のほかの使い方
自分のマシンで試す
無料でオープンソース。アカウントなし、テレメトリーなし、完全にオフラインにできる切り替えつき。
まだ release candidate です。インストーラは OS のコード署名を受けていないため、初回起動時に SmartScreen や Gatekeeper の警告が出ることがあります。