WorkBuddy的端到端加密并不是默认开启的——这是个很关键的细节。你得手动启用“端到端加密同步”，才能确保任务内容、文件路径、执行日志这些全量数据在设备间传输时，云端完全没法解密查看。如果不启用，数据虽然走TLS 1.3保护，但腾讯云服务端仍然可以对指令和中间产物进行明文处理。简单说，默认状态下，云端有钥匙，你只是上了把锁；启用了E2EE，钥匙就只在你手里。

启用端到端加密同步

这一步是激活全量数据AES-256双向加密的前提，不做这一步，所有同步内容依然走TLS 1.3，但服务端能解密并参与语义解析。操作流程很直接：

登录成功后，点击左下角的齿轮图标，进入“设置”面板。切换到“同步与隐私”选项卡，找到“启用完整数据同步”开关，把它打开。

系统会弹出一个提示框，要求输入六位数字恢复码。【这个代码在首次绑定账户时就已经生成并显示在屏幕上，如果你没保存，必须立刻去账户安全页重新生成并抄录】。注意，输入错误三次会触发15分钟锁定，而且绕不过去。

验证端到端加密是否生效

加密通道激活之后，要确认它真的在起作用，不能光凭感觉。需要通过本地行为和界面反馈双重验证，避免你以为启用了实际上走的还是默认路径。

先打开任意一个已创建的任务，点击右上角的「详情」，查看「同步状态」栏。如果显示“E2EE: Active（AES-256）”，说明端到端加密已经就绪。

再做个实际测试：在手机端修改该任务的截止时间，观察电脑端能否秒级同步。如果延迟超过8秒，或者出现“等待云端确认”的提示，那就说明Claw协同并没有走加密信道，你需要返回上一节重新校验恢复码的输入。

有意深入的话，还可以做抓包验证（进阶操作）：用Wireshark过滤copilot.tencent.com的流量，检查TLS层之上是否有明文JSON字段。启用E2EE后，所有payload应该都是base64编码的密文块，而且Client Hello中的extension字段会包含encrypted_client_hello。

不同场景下的加密路径差异

WorkBuddy并没有采用一套统一的加密策略，而是根据使用场景动态选择加密机制。理解这些差异，可以避免对安全等级产生误判。

方法一：远程控制指令流
走Claw协议栈 → 强制TLS 1.3 + 国密SM4-GCM封装 → 指令载荷级加密 → 服务端只能路由，不能解密。

方法二：IM绑定触发任务
企业微信或飞书的消息先经过IM平台的TLS加密，然后被Claw二次封装，客户端接收后在沙箱内解密执行。【注意：文件内容落地到本地就是明文了，这个环节没有静态加密】。

方法三：AI任务上传文件
文件上传到混元API之前，先用AES-256-CBC在本地加密，上传后由混元服务端解密，缓存有效期严格限制为2小时，过期自动清空并覆写内存页。

关闭端到端加密的后果

关闭操作看起来简单，但后果很严重。不是所有人都能接受那个结果：

第一步：进入「设置」→「同步与隐私」，关闭“启用完整数据同步”开关。

第二步：系统会弹出一个红色警告框，明确告诉你：“关闭后，所有任务标题、描述、附件路径、执行日志将恢复为云端可读模式，且无法回溯历史加密版本。”

第三步：点击确认后，本地数据库会立即清除当前的E2EE密钥材料。【此前所有已同步的加密数据将永久不可解密，除非你提前导出过密钥备份】。

第四步：重启WorkBuddy，任务看板顶部状态栏中的“E2EE”标识会消失，同步状态会变成“Cloud-Managed Sync”。换句话说，你的数据从此完全暴露在云端视野下。