凌晨两点四十，桌角那杯茶早凉了，杯口结了一圈浅浅的水痕，我没倒，留着它，像留着个还不肯走完的念头。屏幕右下角还停着半小时前我跟 agent 的一段对话，我打给它的那些话，回头读起来像写给谁的信，说一个模块我为什么舍不得砍，又老实交代其实知道该砍。这种话我不会打进搜索框，也不会发进任何一个群，说完就关掉窗口，像把信塞回信封。
两个星期前，一位同行转给我一份 PDF，只丢下一句，你看这个标题。《Prompt like a Butterfly, Sting like a Tracker》，副题是网页端与移动端对话式 AI 代理的隐私分析。我下载，解压，打开，翻来翻去只拿到一个壳：正文是原始字节流，元数据之外的部分我一概读不出来，摘要、方法、实验、结论全在文件里，也全跟我隔着那么一层。所以那篇论文究竟发现了什么，我到现在也说不上来，留下的只有信封，九个作者的名字，一排关键词，创建与修改时间都停在 2026 年 9 月 16 日上午九点十一分，ACM 的投稿模板，acmart v2.16，pdfTeX 后面跟着一长串我从来懒得去记的版本号，文件躺在 jorgegarciaherrero.com 底下，名字末尾还缀着一个 (clean)。
信封上的东西其实也说话。九个人，看名字像是跨了不止一个机构，清稿日期定在九月中旬，说明这稿子赶过一阵。我认识的那几位做隐私测量的同行，赶到这种节骨眼上大概也是咖啡换茶，茶换白水，最后连水都忘了喝，这种事我见得多，算不上什么要紧的，只是顺手想起来。
要紧的是我看到标题那一刻的反应。蝴蝶是软的那一半，追踪器是硬的那一半，两个词并排摆在一起，说的其实是同一件事：最软的那句话，走的是最硬的那条管线。
我们这行这两年养出一个习惯，把最没有防备的话留给最不设防的那个界面。半夜写不下去的时候，人会对着屏幕自言自语，从前是对着空气，现在是对着一个会答话的东西。这本来没什么，自言自语是人的老毛病，我不过是碰巧赶上一个能接话的版本。问题在于，自言自语原本的待遇是没有人听见，而这条管线的另一头，从来没有承诺过它听不见。
追踪器这件事我倒不吃惊，也不觉得有谁在使坏。埋点、第三方 SDK、广告位这些东西从网页时代就一层一层铺好了，对话式 agent 不过把一根早就通了水的管子接到了床头，管子本身并没有变坏。真正让我愣一下的，是我们把话送进去的时候，心里默认那扇门是关着的。
不，这么说不准确，得往回收一点。倒不是我们蠢，人对私密的判断本来靠场景，深夜、小声、屋里只有一个人、没有任何东西被写下来，这几个条件凑齐了，脑子就自动判定这是私房话，可以往外倒。工具把这几条伪造得很成功，它安静，它只听你一个人说，它看上去一个字都没记。伪造比欺骗高明的地方就在这儿，你事后都没法怪自己，因为当时所有的信号都在告诉你，这里安全。
还有一层是我后来才慢慢想明白的。蝴蝶的那一半不是装饰，它就是投递方式，硬的话没人肯说，软的话一说出口，人自己先把防线卸了，后面那一步不用它费一点力气。所以标题把蝴蝶搁在前面是有道理的，先有蝴蝶，才有那一刺；顺序本身就是内容。
至于那份 PDF，我至今没读到内容。也许哪天拿到能读的版本，会发现它讲的跟我瞎想的完全是两回事，那也不打紧，我本来也不是为了写一篇关于它的东西。就是那个信封留在我桌上，跟凉茶搁在一处，我时不时瞥一眼，觉得它像一件很旧的东西，邮戳、署名、日期都在，信纸抽走了。我们每天收到的信息里，这种只剩下信封的比例，恐怕还在往上走。
有人大概会说，那就别在上面说真话。我试过，试了两天就放弃了，不是戒不掉工具，是戒不掉那个说话的姿势，人总得有个地方把话说完。真正能改的恐怕只是心里那句“这里安全”要不要留着，其余的，我暂时没有更好的办法。这个岁数了还为一份读不开的 PDF 较真到后半夜，说出来有点好笑，我不否认。
茶是今晚第三杯，凉透了，我没倒。窗口关掉之后风扇声一下明显起来，屋子里安静得过分，安静到能听见自己吞咽的声音。天还早，离亮还有两个钟头，我大概会再坐一会儿，什么也不做，就当替那九个赶清稿的人守一段夜。