该论文研究消费者本地 LLM 推理服务中"提示词机密性"的真实边界。业界普遍认为本地推理比云端推理更私密，因为提示词始终留在设备上。作者提出的核心问题是：推理本地化本身是否足以保证提示词机密性？结论是否定的——提示词机密性还取决于周边服务软件在推理之前、之中、之后如何处理提示词数据。 作者将本地 LLM 服务的机密性失效归纳为四个边界：(1) 模型加载；(2) 运行时内存；(3) 封装层（wrapper）持久化；(4) 服务接口。为系统化研究，他们开发了测量框架 LLAnalyzer，对每个边界单独测试，并把观测到的失效追溯到具体的软件组件。 实验覆盖四类开源权重模型家族与两个消费者部署平台，各边界表现差异显著。在 24 小时、超过 1200 万次执行的 AFL++ 模糊测试活动中，未发现解析器崩溃，也未在探索的状态空间内实现畸形 GGUF 加载成功——说明模型加载边界相对稳固。运行时内存则给出不同结论：推理结束后仍可从分配器管理的内存中恢复提示词，因为存在多份明文表示；清理操作只能减少残留而无法彻底消除。封装层方面，消费者级封装可通过明文持久化显著延长提示词生命周期。服务边界上，作者在 llama.cpp 中发现一个此前未被记录的授权缺陷，使一个已认证客户端能够恢复另一租户保存的会话状态，该问题在 200/200 次受控实验中均成功。此外，共享提示词前缀缓存构成一个远程时间侧信道，在广域网条件下仍可被区分识别。作者据此主张：本地 LLM 系统需要为提示词生命周期、持久化存储以及租户隔离提供显式安全保证，而不能默认"本地即私密"。 论文同时提供了方法论层面的贡献：把模糊测试、内存取证、封装层行为分析与协议侧信道测量整合到统一测量框架中，适合 LLM 应用开发者、终端隐私工程团队与多租户推理平台运维方阅读。