注册一个AI工具，填个邮箱，看起来只是多收几封邮件的事。但邮箱地址一旦交出去，它就不再是联系方式，而是账号标识、营销记录，以及把账号数据、提示词历史、API密钥和付款记录串起来的那把钥匙。

2025年1月，Wiz Research在DeepSeek发现了一个可公开访问的ClickHouse数据库，完全没有身份验证，里面存着超过一百万行日志、明文用户聊天记录、后端API密钥和运营元数据，用浏览器就能查询。2023年3月，redis-py客户端库的一个缺陷让ChatGPT用户能看到其他用户的聊天记录标题；OpenAI披露，在九小时窗口内活跃的ChatGPT Plus订阅用户中，有1.2%的付款信息可能对陌生人可见，包括姓名、邮箱、付款地址、卡号后四位和有效期。

两起事件里，邮箱都是那个把泄露记录和可识别个人对应起来的字段。

它为什么不止是邮箱

账号创建之后，邮箱就成了这个账号每一行数据的标识符：API密钥、使用日志、提示词历史、账单记录，全都挂在它下面。所以一场被描述为"只泄露了邮箱地址"的事故，从来不只是邮箱——在泄露数据包里，邮箱正是让攻击者把各张表连接起来、把每条记录归到具体人身上的那一列。

邮箱还会成为每一个接收它的下游系统的主键。一次事故的影响范围，取决于持有这个地址的系统有多少个，而不是最初泄露的规模有多大。

大多数AI工具会在注册后立刻把新用户放进邮件序列，地址随之被复制进营销系统，往往是第三方服务，而第三方有自己的泄露史。地址的攻击面于是不再是一家公司的安全状况，而是这家公司加上所有共享该地址的服务。

用谷歌账号登录会授予OAuth权限范围，同意页面会写明应用拿到什么，通常是邮箱地址和基本资料，有些应用会要求更多，比如读取收件箱或云端硬盘。这些授权在注册完成后依然有效，只要授权还在，暴露面就一直在。

提示词是连同身份一起存储的。把含有凭据的配置文件粘贴进已登录的聊天机器人，它就躺在服务商的日志里，挂在账号邮箱下面。邮箱把一段匿名提示词变成有主的提示词，风险出在内容与标识符的组合上，而这个组合在粘贴的那一刻就形成了。

一个服务一个别名

别名分离的做法是给每个工具单独一个受管理的别名，每次注册一个地址，工具不用了就能注销。地址本身能说明一封邮件真正来自哪个服务；某个工具的数据库泄露时，别名能指认出泄露源，同时只对那一个服务有效。

一年里注册的AI工具，第二年有一半已经消失。死掉的工具域名被收购后，旧地址就开始收到来自用户从未选择过的公司的邮件；一个服务一个别名的话，停用就能终止这些邮件，不用退订、不用登录、不用提工单。

AliasFleet提供受管理的邮箱别名：每个站点一个，任何别名都可以在对端被证明对数据不上心时暂停、轮换或停用。AI工具越来越多地增加连接邮箱、摘要邮件的功能，这是对整个邮箱的权限授予；工具确实需要连接收件箱时，连接应指向别名目的地，而不是主地址。

粘贴进已登录聊天机器人的机密，别名救不了，因为粘贴这个动作本身就把机密放进了服务商日志；但一个可注销的别名能缩小随提示词一起走的身份范围。这套做法和API密钥的凭据管理是一个道理：短期有效、限定单一服务、有疑就轮换、不用就吊销——在每个密码重置流程里，邮箱地址都在扮演凭据的角色。

哪些场景不适用

金融账户是别名的例外。银行账户绑定一个永久的真实地址，只用于金融账户，部分银行直接拒收别名域名，所以银行地址从不用掩码或转发别名。雇主账号遵循雇主的政策，而不是账号持有人的偏好。

反过来，为了测试某个功能而注册的工具，正是别名被设计出来的场景：一家成立不久、数据收集范围广、履历有限的公司。Have I Been Pwned可以查询一个地址是否已出现在已知泄露中，而别名分离作用于下一次注册，不追溯上一次。