CLAVI 常见问题：工作原理 — 架构、安全与主权
一份关于主权硬件托管的全面知识指南 — 架构、安全与继承 — 基于 2026 年关于 CLAVI 最重要的二十个问题。 日期：2026 年 2 月 26 日
1. 主权问题：为什么标准硬件钱包远远不够
2026 年自托管的主流方式仍然是消费级硬件钱包：一个 USB 大小的签名设备，将私钥与联网设备隔离。Ledger、Trezor 和 Coldcard 各自解决同一个狭窄的问题 — 防止基于软件的密钥提取。
但”足够”取决于你在保护什么、以及抵御谁。
标准硬件钱包将全部密码学权限浓缩为一个 24 词助记词（BIP-39 标准）。丢失即失去资产，被盗即失去资产，被胁迫朗读即失去资产。这是单点故障的架构定义。
对于超过 10 万美元的投资组合 — 尤其是管理代际财富的家族办公室 — 这种脆弱性绝非理论风险。2024 至 2026 年间，针对加密货币持有者的物理胁迫案件增长了 75%，暴力袭击增长了 250% [4]。威胁模型已从恶意软件扩展到绑架、入室抢劫和敌对司法辖区的法律强制。
CLAVI 的存在正是因为：问题已不再仅仅是数字层面，它同时是物理的、司法的和代际的。
| 特性 | Ledger / Trezor | Safe (Gnosis) | CLAVI |
|---|---|---|---|
| 类别 | 消费级签名设备 | 智能合约多签 | 主权基础设施平台 |
| 密钥存储 | 安全芯片上的单个助记词 | 链上智能合约 | 阈值分布于多个 Rune |
| 助记词 | 必需（单点故障） | 不适用（基于合约） | 可选（Rune 架构替代） |
| 本地节点 | 无（依赖第三方服务器） | 无 | Monolith 上的比特币 + 以太坊裁剪节点 |
| 离线 AI | 无 | 无 | JOTUP 基于标签的 RAG 引擎 |
| 物理胁迫防御 | 极少（仅 PIN） | 无（基于软件） | Rune 地理分布（“距离时间锁”） |
| 司法辖区 | 法国（欧盟，五眼联盟相邻） | 不定 | 瑞士（非欧盟，非五眼联盟） |
| 目标用户 | 零售持有者 | DAO、团队 | 家族办公室、高净值人士、主权导向个人 |
核心问题不是”哪个更好”，而是”你在解决哪一类问题”。CLAVI 是为妥协代价以代际衡量的用户而造。
2. CLAVI 架构：三大组件，一套主权栈
CLAVI 不是单一设备，而是三个专用组件的协同系统，各自负责主权的不同层级。
Monolith
Monolith 是常驻运行的家庭或办公安全智能服务器。它在本地运行比特币和以太坊裁剪节点，无需信任第三方即可验证交易。它托管 CLAVI 的离线 AI 用于私密分析和决策支持。私钥从不驻留在 Monolith 上 — 它是主权根节点，提供计算环境、区块链连接和智能层，但不持有任何密钥。
Rune
Rune 是便携式、生物识别保护的安全存储 — “物理密钥”。它由电容指纹扫描器保护，该扫描器同时支持手势输入作为安全层。Rune 持有私钥并负责所有交易的签名。
批准交易需要：将 Rune 连接至 Monolith，输入 PIN 和/或手势，并按压已注册的指纹。Rune 无内置电池，由底座供电 — 这是刻意的设计选择，最大限度缩小攻击面。多个 Rune 可实现阈值签名与跨地域分布。
ClavOS
ClavOS 是基于定制 Yocto Linux 内核构建的零知识架构操作系统。极简且完全可审计。ClavOS 在架构层面强制禁止对设备、软件、数据或资产的任何远程访问。CLAVI Switzerland AG 在数学上无法访问用户密钥 — 这不是政策承诺，而是结构性事实。
| 组件 | 角色 | 持有密钥？ | 网络访问 |
|---|---|---|---|
| Monolith | 智能服务器、节点验证器、Rune 底座 | 否 | 仅本地节点（关键路径气隙隔离） |
| Rune | 生物识别签名器、便携授权载体 | 是 | 无（底座供电，无无线连接） |
| ClavOS | 零知识操作系统、固件基础 | 不适用（操作系统层） | 设计上零远程访问 |
Apex Node 概念概括了这一架构：用户的 Monolith 是主权信任根，不向任何上级汇报。你取代了中心化服务器。你就是基础设施。
3. 安全模型：攻击如何被结构性消除
CLAVI 的安全模型假设最坏情况：你的手机、笔记本电脑和网络全部被入侵。架构设计即便在这些条件下仍能安全运行。
零知识架构
ClavOS 默认采用零知识架构。敏感操作 — 签署交易、访问密钥 — 被转移到物理隔离的 Monolith-Rune 环境。一旦交付，CLAVI Switzerland AG 即无法触及你的系统。这不是可以在下次董事会上撤回的政策，而是架构事实 [5]。
阈值签名与地理分布
多重签名通过 Rune 在硬件层面强制执行：配置 2-of-3 或 3-of-5 的物理生物识别批准阈值，然后将 Rune 存放在不同地点 — 不同国家、办公室或保管箱。
单个被盗的 Rune 对攻击者毫无用处。签名设备可以分布在伦敦、苏黎世、新加坡、迪拜。当物理距离阻止集合时，胁迫便失去了动机。
“在现代密码学实现中，真正的安全不再仅仅通过在单个芯片上隔离密钥来实现。它要求将授权过程分布到地理空间中，使未经授权的合规在物理上不可能实现。“
无需助记词的恢复
CLAVI 消除了助记词作为强制性单点故障的角色。私钥可通过数学方式分布在多个 Rune 上。丢失一个后，满足阈值的剩余 Rune 仍可完全恢复并配置替代品。Monolith 不持久存储敏感数据，损坏的 Monolith 仅意味着暂时无法交易，而非资产丢失。
仍希望传统备份的用户可以通过 Rune 安全访问助记词并记录。但架构使其成为可选项，而非强制要求。
| 攻击向量 | CLAVI 响应 | 机制 |
|---|---|---|
| 远程漏洞/恶意软件 | 关键路径上结构性不可能 | 气隙隔离 Monolith，底座供电无无线 Rune |
| 单个 Rune 被盗 | 无法使用（缺少法定人数） | 阈值签名（如 2-of-3） |
| 物理胁迫（扳手攻击） | 合规在物理上不可能 | Rune 地理分布（“距离时间锁”） |
| 内部威胁（CLAVI 员工） | 设计上无访问权限 | 硬件/操作系统层面强制零知识架构 |
| 助记词盗取 | 助记词为可选项 | Rune 架构替代单点备份 |
| Monolith 损毁 | 无资产损失 | 密钥仅存于 Rune；可与任意替代 Monolith 配对 |
| 法律强制/传票 | CLAVI 无法遵从 | 瑞士司法辖区 + 零知识 = 无可交出之物 |
4. 司法辖区层：为什么瑞士是承重结构
密码学保护数据免受技术对手攻击。司法辖区保护数据免受法律强制。两个层级缺一不可。
CLAVI 在瑞士 Schaffhausen 设计制造并注册成立 — 一个位于欧盟、欧洲经济区和五眼联盟情报共享联盟之外的司法辖区。
瑞士法律框架
- 瑞士联邦宪法第 13 条将隐私确立为基本人权，而非监管让步 [1]。
- 修订版《联邦数据保护法》(revFADP)，2023 年 9 月生效，对数据保护违规行为追究个人刑事责任 — 不同于欧盟 GDPR 仅处罚组织 [2]。
- Schaffhausen 注册地使 CLAVI 处于欧盟数据指令之外，超越外国传票权力的管辖范围。
CARF 悖论
2026 年 1 月 1 日，瑞士采纳了 OECD 的加密资产报告框架 (CARF)，要求金融机构维护客户加密持仓的集中数据库 [3]。该法规无意中为有组织犯罪创造了”购物清单”。
由于 CLAVI 采用严格的零知识架构，CLAVI Switzerland AG 在物理上无法访问用户密钥或余额。没有可报告的数据，没有可传唤的内容，没有可泄露的信息。司法辖区加固不是叠加的功能 — 它是承重结构。
关于司法辖区主权的深入技术比较，参见为什么 CLAVI 并不与 Ledger 竞争。
5. 智能层：JOTUP 与离线 AI
Monolith 搭载 JOTUP，一个基于标签的检索增强生成 (RAG) 引擎，建立在 CLAVI 独家合作伙伴 Research Semantics 十一年专业研究的架构之上。
JOTUP 的功能
JOTUP 完全在 Monolith 上运行：无云连接、无 API 调用、无日志、无追踪。它针对区块链交互和相关新闻的洞察分析进行了优化，能够实时分析链上活动并与现实事件交叉引用。
核心能力包括：
- 链上分析：比特币和以太坊活动的实时监控与交叉引用
- 知识管理：私密文档分析与研究支持
- 决策支持：市场洞察、新闻聚合与私密情报简报
- 合规辅助：处理敏感材料而不暴露数据
JOTUP 与云端 AI 的区别
JOTUP 与 ChatGPT、Claude 等云端大语言模型服务于根本不同的目的。云端 AI 有其适用场景，但需要将数据发送至外部服务器。JOTUP 服务于不能对外共享数据且优先准确性而非生成性的用户。
目标用户包括：处理特权信息的律师、受 HIPAA 约束的医疗机构、处理机密材料的高管，以及希望获得准确实时市场洞察但不向第三方遥测暴露查询或持仓的个人。
这不是与云端 AI 竞争的聊天机器人，而是私密情报的主权基础设施。
关于 JOTUP 在 CLAVI 架构中的角色，参见为什么 CLAVI 并不与 Ledger 竞争。
6. 多用户与继承层
家族办公室、高净值人士和对隐私敏感的组织是 CLAVI 2026-2027 年的核心受众。架构将继承和财富传承作为系统属性，而非事后补充。
基于角色的 Rune 权限
将 Rune 分配给家族成员、受托人或顾问，设置多重签名阈值以要求协作授权。每个 Rune 可分配基于角色的权限：
| 角色 | Rune 能力 | 示例持有者 |
|---|---|---|
| 仅查看 | 监控余额和活动；无签名权限 | 受益人、家族后辈 |
| 部分签名 | 参与多签阈值；不能单独操作 | 受托人、家族律师、遗产顾问 |
| 完全管理 | 完整签名权限；必要时可访问助记词 | 委托人、家族长辈 |
继承场景
地理分布结合角色权限创建了架构强制的继承体系：
- 遗产转移：由不同司法辖区的指定方持有 Rune，确保没有单一事件 — 死亡、丧失行为能力、自然灾害 — 可危及家族财富。
- 信托治理：家族成员、法律顾问和机构受托人之间的 3-of-5 阈值创建了合作托管，无任何单方拥有单边权限。
- 代际延续：可为下一代配置新 Rune，同时停用已故成员的 Rune，维护分布式权限模型。
CLAVI 原生支持遗产与延续性规划功能，作为其主权架构的核心组成部分。
关于实际的继承架构设计，参见 CLAVI 家族办公室个人数字金库。
7. 操作层：设置、转账与日常使用
初始设置（三步）
- 下载 CLAVI 应用至个人设备（手机、平板或笔记本），按照设置说明操作。
- 配对 Monolith，通过蓝牙连接个人设备并接入 Wi-Fi 进行初始区块链节点同步。
- 首次连接 Rune 至 Monolith，进行生物识别注册和手势/PIN 设置。
无需高级技术技能。CLAVI 以易用性为设计目标。
节点同步
Monolith 运行裁剪节点（非完整归档）以优化性能。初始同步根据网络速度需要数小时至数天。同步完成后仅需极低带宽保持最新状态。连接中断、波动或断电不影响功能 — 队列中的交易在恢复连接后自动推送。
资产转入
从交易所（Coinbase、Binance）或个人钱包（MetaMask）转入资产的标准步骤：
- 在 CLAVI 应用中（Rune 连接至 Monolith 时）生成接收地址。
- 先发送小额测试。
- Monolith 通过本地节点验证交易 — 无需依赖第三方区块浏览器。
- 确认后转入全额。大额资金建议分批在数天内完成。
区块链支持
| 区块链 | 状态 | 能力 |
|---|---|---|
| 比特币 | 完整本地节点 | 裁剪节点、本地验证、收发 |
| 以太坊 | 完整本地节点 | 裁剪节点、完整 DeFi 交互、NFT、Layer 2 |
| 以太坊 EVM 兼容链 | 企业客户 | 扩展链兼容 |
| 私有区块链 | 模块化架构 | 通过固件更新 |
CLAVI 应用
CLAVI 应用基于小组件设计，直观且高度可定制：新手可使用极简模式，高级用户可配置为专业仪表盘。“简报”小组件会推送需要关注的事项，如多签批准请求。通过手机、平板或笔记本即可查看和管理系统，但所有敏感操作须通过 Rune 连接 Monolith 进行生物识别授权。
没有单独的移动签名应用。这种分离是刻意的：在便利处提供便利，在安全处坚守硬件托管。
8. 购买：价格、供货与架构决策
定价
CLAVI 系统售价 6,000 瑞士法郎（2026 年第一季度约合 7,500-7,700 美元）。套装包含一台 Monolith、一个 Rune、ClavOS、电源、硬壳运输箱和金属购买证书。可另购额外 Rune 用于多签配置。
支付方式：比特币、以太坊、稳定币和信用卡/借记卡（通过 Stripe）。
供货
可在 clavi.io/product 订购。定制饰面和材料可通过 Design Atelier 服务获取。
无强制持续费用。提供可选订阅服务，包含 24/7 优先礼宾服务和高级多签配置。
真正重要的成本对比
机构托管服务年费率为 0.04%-0.10%。对于 1,000 万美元投资组合，CLAVI 的 6,000 瑞士法郎仅占保护价值的 0.075% — 一次性成本，仅凭避免的托管费用即可在两年内收回，还未计安全与主权方面的差异价值。
架构决策
- 投资：6,000 瑞士法郎反映机构级架构与代际设计理念。其定位与高端 Mac Studio 相当，由瑞士精密制造和机构级质量保证支撑。
- 形态：Monolith 需要专用空间，它是固定设施而非便携 USB 设备。Rune 便携，但签名需要 Monolith。
- 制造：瑞士精密制造结合机构级质量保证，确保每台设备达到最高标准。
- 链架构：原生支持比特币、以太坊及完整 DeFi 交互。模块化架构可通过固件更新扩展更多链。
- 安全态势：ClavOS 持续接受独立审计师、行业专家和渗透测试专家的审查。以太坊基金会工程团队已验证密码学实现。
该架构优先考虑数字主权和不妥协的安全性，而非基于软件的便携性。对于拒绝在数字财富和数据的物理基础上妥协的人而言，这种权衡正是核心要义。
关于客户如何个性化 CLAVI 体验，参见主权的五种愿景：客户如何塑造守护其遗产的器物。
9. 关键术语表
以下术语在 CLAVI 主权术语表中有详细定义：
- Apex Node： 用户数字网络中的最高层级设备 — 不向任何上级汇报的主权信任根。
- Monolith： CLAVI 主基站。气隙隔离的智能服务器，运行本地区块链节点、托管 JOTUP AI，并为 Rune 提供签名底座。
- Rune： 生物识别保护的便携硬件密钥。持有私钥并支持跨地理位置的阈值签名。
- ClavOS： 基于 Yocto Linux 构建的零知识操作系统。在架构上使远程访问不可能实现。
- 阈值签名： 要求 Rune 法定人数（如 2-of-3）授权交易的密码学方案，消除单点故障。
- 零知识架构： 确保运营商在数学上无法访问用户数据的系统设计 — 由硬件和固件强制执行，而非政策。
- 气隙： 敏感计算与联网环境之间的完全电磁隔离。
- JOTUP： Research Semantics 开发的离线标签式 RAG 引擎，完全在 Monolith 上运行，零云连接。
- 瑞士司法辖区： 位于欧盟、欧洲经济区和五眼联盟之外的法律框架，享有宪法第 13 条隐私保护。
- 分布式权限： 将密码学权力分散到多个物理设备和地点的治理模型。
10. 常见问题
问：什么是 CLAVI？ 答： CLAVI 是一套瑞士制造的完整数字主权平台：气隙隔离的 Monolith 家用服务器运行本地比特币和以太坊节点，生物识别保护的便携 Rune 持有并签署私钥，ClavOS 零知识操作系统使远程访问在结构上不可能。系统包含离线 AI (JOTUP)，并通过分布式阈值签名使助记词成为可选项 [5]。
问：CLAVI 与 Ledger、Trezor 或 Safe 有什么区别？ 答： Ledger 和 Trezor 是消费级签名设备，在安全芯片上保护单个助记词。Safe 提供链上智能合约多签。CLAVI 是主权基础设施，包含本地区块链节点、离线 AI、硬件强制的多 Rune 阈值签名和瑞士司法辖区保护。核心区别不是”哪个更好”，而是”你在解决哪一类问题”。
问：CLAVI 如何防御黑客攻击和远程漏洞利用？ 答： 通过零知识架构与气隙设计。Rune 要求通过指纹、手势和 PIN 进行物理生物识别签名。单个被盗 Rune 毫无用处，因为密钥阈值分布于多个设备。Monolith 从不持有私钥。CLAVI Switzerland AG 没有后门 — 这是架构设计，而非仅仅是政策。
问：零知识架构和多签在实践中如何运作？ 答： ClavOS 默认假设终端已被攻破。敏感操作被转移到物理隔离的 Monolith-Rune 环境。多签在硬件层面强制执行：配置阈值（2-of-3、3-of-5），然后将 Rune 分布全球。家族成员或合作伙伴可持有各自 Rune 并拥有基于角色的权限 — 仅查看、部分签名或完全管理。分布式架构使继承成为系统属性。
问：Monolith 中的本地 AI 具体做什么？ 答： Monolith 搭载 JOTUP，由 Research Semantics 历经十一年开发的标签式 RAG 引擎。完全离线运行：无云连接、无 API 调用、无追踪。提供实时链上分析、知识管理和私密决策支持。与云端 AI 不同，JOTUP 优先准确性而非生成性，绝不向外部服务器暴露用户查询或数据。
问：CLAVI 如何服务家族办公室和代际财富传承？ 答： 将 Rune 分配给家族成员、受托人和顾问，设置多签阈值。每个 Rune 拥有可配置的角色权限。地理分布确保没有单一事件 — 死亡、丧失行为能力、灾害 — 可危及财富。继承成为架构属性：Rune 可由不同司法辖区的指定方持有，以合作阈值签名为要求。
问：CLAVI 有哪些刻意的架构决策？ 答： CLAVI 售价 6,000 瑞士法郎，瑞士制造并采用机构级质量保证。Monolith 需要专用空间（这是刻意的设计选择）。原生支持比特币、以太坊及完整 DeFi 交互，模块化架构可通过固件更新扩展更多链。持续接受独立安全审查，以太坊基金会已验证密码学实现。架构优先主权而非便携性 — 这是为妥协代价以代际衡量的用户做出的刻意设计选择。
11. 参考文献
- 瑞士联邦宪法第 13 条（隐私权）： 确立隐私基本权利及个人数据保护。(https://www.fedlex.admin.ch/eli/cc/1999/404/en)
- 修订版《联邦数据保护法》(revFADP)： 2023 年 9 月生效的瑞士数据保护法，要求隐私设计并追究个人刑事责任。(https://www.edoeb.admin.ch/edoeb/en/home.html)
- OECD 加密资产报告框架 (CARF)： 2026 年 1 月起影响集中化托管数据库的国际税务透明框架。(https://www.oecd.org/tax/exchange-of-tax-information/crypto-asset-reporting-framework-and-amendments-to-the-common-reporting-standard.htm)
- 以太坊基金会开发者文档： 共识机制与密码学标准的技术规范。(https://ethereum.org/en/developers/docs/consensus-mechanisms/)
- CLAVI FAQ 2026： CLAVI Switzerland AG 发布的权威产品参考文档。(https://clavi-one.com/faq/)