Where your data actually lives. ข้อมูลของคุณอยู่ที่ไหนจริง ๆ

What stays local. What leaves. อะไรอยู่บนเครื่อง · อะไรออกข้างนอก

Cosmos is a Tauri app + Python sidecar bundled together. Everything below the dotted line runs on your machine with zero network requests — verifiable by running lsof -i -P on the running process. macOS today; Windows + Linux later.

Cosmos คือ Tauri app + Python sidecar bundle รวมกัน. ทุกอย่างใต้เส้นประใน diagram ทำงานบนเครื่องคุณ network request เป็นศูนย์ — verify ได้โดยรัน lsof -i -P กับ process. ตอนนี้ macOS; Windows + Linux ตามมาทีหลัง

┌─ YOUR MAC ─────────────────────────────────────────────┐
│                                                        │
│   Tauri shell (Rust)  ◄──IPC──►  Python sidecar        │
│        │                          │                    │
│        │                          ├─ SQLite + FTS5     │
│        │                          │  ~/Library/...     │
│        │                          │  /brain.db         │
│        │                          │                    │
│        │                          ├─ embedding model   │
│        │                          │  (Tier 1 MiniLM    │
│        │                          │   on-device)       │
│        │                          │                    │
│        │                          └─ MCP server (stdio) ──── used by Claude
│                                   Code / Cursor /      │
│                                   Cline locally        │
└────────────────────────────────────────────────────────┘
                       │  (only if you opt in)
                       ▼
┌─ CLOUD (Pro only) ─────────────────────────────────────┐
│                                                        │
│   Supabase Auth  ───────► email + hashed password      │
│   Supabase Storage ─────► backup blobs (TLS, RLS,      │
│                            plaintext at rest until Q3)  │
│   Stripe ───────────────► billing token (no card #)    │
│                                                        │
│   ── nothing else. no telemetry. no analytics. ──      │
└────────────────────────────────────────────────────────┘

BYOK (Anthropic / OpenAI / Google) calls go from your machine directly to the model vendor — Cosmos doesn't proxy them. The planned Pro hosted AI bridge (post-launch, opt-in) is the exception by design: it proxies your prompt through our infrastructure so you don't have to manage a key. If you're on BYOK, your traffic doesn't touch our servers; if you opt in to the hosted bridge, it does.

BYOK (Anthropic / OpenAI / Google) call ไปจากเครื่องคุณตรงไปยัง model vendor — Cosmos ไม่ proxy ผ่าน. ยกเว้นกรณี hosted AI bridge ใน Pro ในอนาคต (เลือกเปิด): proxy prompt ผ่าน infrastructure ของเรา เพื่อให้ไม่ต้องจัดการ key เอง. ถ้าใช้ BYOK · traffic ไม่ผ่านเซิร์ฟเวอร์เรา; ถ้าเปิด hosted bridge · traffic ผ่าน

The local SQLite database. SQLite database บนเครื่อง

What Supabase actually sees. Supabase เห็นอะไรจริง ๆ

When you click Backup Now (or auto-backup fires every 24h), Cosmos uploads a single .db snapshot to Supabase Storage. Today the snapshot is sent over TLS but stored as-is. This is the biggest honest gap in the current product and is what we are working on next:

เมื่อคุณกด Backup Now (หรือ auto-backup ยิงทุก 24 ชม.) Cosmos upload .db snapshot ไฟล์เดียวไป Supabase Storage. ตอนนี้ส่งผ่าน TLS แต่เก็บแบบไม่ encrypt. นี่คือ gap ที่ตรงไปตรงมาที่สุด ในตัว product ปัจจุบัน และคือสิ่งที่เรากำลังทำต่อ:

Today's backup setup uses Supabase Storage with these RLS policies on the cosmos-backups bucket (taken from migration 0006):

ปัจจุบัน backup ใช้ Supabase Storage กับ RLS policy เหล่านี้ บน bucket cosmos-backups (มาจาก migration 0006):

-- Read: only the owner of the file path
create policy "owner_read"  on storage.objects for select
  using ( bucket_id = 'cosmos-backups'
          and (storage.foldername(name))[1] = auth.uid()::text );

-- Write: only into your own folder
create policy "owner_write" on storage.objects for insert
  with check ( bucket_id = 'cosmos-backups'
               and (storage.foldername(name))[1] = auth.uid()::text );

-- (delete + update mirror the same predicate)

Storage paths are /{user_uuid}/{device_id}/{ts}.db. Even with a misconfigured client, RLS forces the bucket prefix to your auth user — cross-tenant reads are rejected at the database layer, not the application.

Storage path คือ /{user_uuid}/{device_id}/{ts}.db. แม้ client จะ config ผิด RLS จะบังคับให้ bucket prefix ตรงกับ auth user ของคุณ — cross-tenant read ถูกปฏิเสธที่ database layer ไม่ใช่ที่ application

When Claude / Cursor sees your code. เมื่อ Claude / Cursor เห็น code ของคุณ

Cosmos itself doesn't send your code anywhere. But your AI coding tool does — that's the whole point of using one. The MCP integration changes when and how much code is sent to the model:

ตัว Cosmos เองไม่ส่ง code คุณไปไหน. แต่ AI coding tool ของคุณส่ง — นั่นคือเหตุผลที่ใช้มัน. MCP integration เปลี่ยน เมื่อไหร่ และ มากแค่ไหน ที่ code ถูกส่งไป model:

Anthropic's data policy applies to anything Claude reads — Cosmos cannot change that, but Cosmos's per-symbol retrieval gives you a finer-grained way to control what reaches them.

Data policy ของ Anthropic มีผลกับทุกอย่างที่ Claude อ่าน — Cosmos เปลี่ยนสิ่งนั้นไม่ได้ แต่ retrieval ระดับ symbol ของ Cosmos ทำให้คุณคุมว่าอะไรไปถึงพวกเขาได้ละเอียดกว่า

Email, password, and Stripe tokens. Email, password, และ Stripe token

If you subpoena Atitechs, you get… ถ้าคุณ subpoena Atitechs จะได้…