代码不能出内网，还有哪些 AI 编程工具能用
本文要点
- 「数据不出境」和「数据不出内网」是两件完全不同的事。前者只要多付一笔加价、接受一份模型白名单；后者意味着模型本身必须跑在你控制的网络里。
- Cursor 官方写明：选择区域数据驻留会在模型价上产生 10% 的加价；而且美国驻留下只有 GPT 系列、Claude 4.6 及以上、Gemini 2.5 Flash、Composer、Grok 4.5 可用，选其他模型直接报错。
- Claude Code 官方给出的数据驻留系数是 1.1×；在 Amazon Bedrock、Google Cloud’s Agent Platform、Microsoft Foundry 上「按 token 计费到你的云账户」，同时官方明确它「不回传指标给 Anthropic」。
- Devin 定价页把「部署在你自己的 VPC 里」列为 Enterprise 能力，但官方部署文档写明：Devin 的 brain 始终在 Cognition 云里，只有 Devbox 进入客户的单租户 VPC，且不支持自带 LLM key。
- Cursor 的隐私模式解决的是「是否用于训练」，不是「是否离开你的网络」。官方同一份文档写着「we send prompts and code context to language model providers like OpenAI, Anthropic, and Google」。
「代码不能出内网」是一条很常见的采购硬约束，但它经常被写成一句含糊的话，然后被含糊地满足。最常见的混淆是把它和「数据不出境」当成同一件事——两者都叫「合规」，但一个只需要多付 10%，另一个意味着你要自己承担模型的部署与运维。
差别有多大？举个例子：Cursor 的区域数据驻留让推理、处理、存储都留在选定区域，但代码仍然是发到 Cursor 和它的模型供应商那里的，只是地点被限定；而如果约束是「一个字节都不能离开我们自己的网络」，那这条路线从一开始就不成立。买错了这一层，钱花了，约束还是没满足。
这篇把 Cursor、Claude Code、Devin 与两个开源客户端（Cline、Aider）的官方文档对齐，把「数据边界」拆成三道门，再逐条列出每道门对应的官方能力、价格系数与功能损失。数据于 2026 年 9 月 24 日重新核对官方文档。站内此前整理过数据政策与数据保留规则，这一篇补的是「数据放在哪张网络里」。
本文方法：官方公开数据交叉核对，未做本地实测。所有数字均标注来源，核对日期见文末。
一、先分清三道门：不出境、不出厂商、不出内网
把「数据边界」当成一个开关，是这一轮采购里最常见的错误。官方文档里其实存在三种不同强度的边界，它们对应的产品能力、价格与损失完全不同。下面这张表是全文的骨架。
| 边界 | 约束的是什么 | 官方能力落点 | 数据是否离开你的网络 |
|---|---|---|---|
| 第一道 · 不出境 | 数据仍发往厂商，但限定在选定区域处理与存储 | Cursor 区域数据驻留；Claude Code 数据驻留费率 | 是，仍离开 |
| 第二道 · 不出厂商 | 不经过厂商的计费与数据通道，走你自己的云账户 | Claude Code 走 Amazon Bedrock / Google Cloud’s Agent Platform / Microsoft Foundry | 是，仍离开 |
| 第三道 · 不出内网 | 模型推理与代码都不经过任何外部网络 | 开源客户端（Cline、Aider）+ 本机模型 | 否 |
这张表最需要记住的是最后一列：只有第三道门做到了「数据不离开你的网络」。前两道门解决的是「数据在哪里」和「经过谁」，不是「数据出没出去」。很多采购文档把前两道门写成了「内网部署」，这是后面所有误解的源头。
二、第一道门：数据驻留的官方价格与代价
先看「不出境」这一层，因为它是三家里披露得最完整的。两家主流工具都给出了明确的加价系数，而且都把「更大的合规范围」当成收费项。
| 方案 | 官方价格系数 | 官方限制 | 最低档位 |
|---|---|---|---|
| Cursor 区域数据驻留 | 模型价 +10% | 仅符合条件的模型可用，选其他模型直接报错 | Enterprise |
| Claude Code 数据驻留 | list price × 1.1 | v2.1.239 之前该系数未计入会话成本显示 | 官方未在该页披露 |
| Cursor 隐私模式（对照项） | 不加价 | 解决的是是否用于训练，不改变数据流向 | Teams（可团队级强制） |
| Devin 专属部署（对照项） | 需询价 | Brain 仍在 Cognition 云，不支持自带 LLM key | Enterprise |
Cursor 的官方表述是：「Opting in to regional data residency incurs a 10% uplift on Model pricing for eligible Models.」注意两个限定词——加价是叠加在「模型价」上的，而且只适用于「符合条件的模型」。官方在隐私与数据治理文档里给出了美国驻留下的可用模型清单：GPT 系列、Claude 4.6 及以上、Gemini 2.5 Flash、Composer、Grok 4.5。
Claude Code 的系数写在成本文档里：「For a response from the Claude API billed at the 1.1× data residency rate, Claude Code multiplies the list price of that response’s tokens by 1.1 in the session cost figure.」这里乘的是 list price，也就是模型的标准单价，而不是你实际付的折扣价。同页还留了一条版本相关的显示误差：在 v2.1.239 之前，Claude Code 没有把这个 1.1 倍计入会话成本显示，所以当时界面上看到的数字低于实际账单。
把两个系数放到一起看，会发现它们虽然都是「多付一成」，但计费基数并不相同：Cursor 加在模型 API 价上，Claude Code 乘在 list price 上。更重要的差别在可用模型——Cursor 的驻留是白名单制，这直接决定了驻留开启后你还能不能用上最新模型。
坑一：数据驻留有模型白名单，选错模型直接报错
Cursor 官方对这条限制写得很硬：「Selecting a model that isn’t eligible returns an error, and the model is unavailable while data residency is enabled.」而且 Auto 模式也只能从白名单里挑（「Auto will select from only models on this list.」）。
这意味着开启数据驻留不是一个纯合规动作，它会同时冻结你的模型选择。当新模型发布时，能不能在驻留区域里用上，取决于该模型是否已经进入符合条件清单——这个时间差官方没有承诺。
另一个细节：官方目前只提供美国驻留（推理、处理、存储全在美国），欧盟加冰岛的方案是「inference-only」且需要单独申请，更广的欧盟支持官方称仍在开发中。所以「数据留在欧盟」这件事在 Cursor 上目前只有推理环节可满足。
三、第二道门：走自己的云账户
第二道门的思路完全不同：不去要求厂商把数据放在哪个区域，而是根本不走厂商的数据与计费通道。Claude Code 官方列出的三条路径是 Amazon Bedrock、Google Cloud’s Agent Platform 和 Microsoft Foundry。
官方原文：「On Amazon Bedrock, Google Cloud’s Agent Platform, and Microsoft Foundry, Claude Code is billed per token to your cloud account, and spend controls live in your cloud provider’s billing console.」也就是说，token 计费和预算控制都在你自己的云账户里，走的也是你和云厂商之间的既有合同与网络路径。
更关键的一句在紧接着的段落里：「Claude Code does not send metrics from your cloud back to Anthropic, so the analytics dashboards and the Claude Code Analytics API do not cover this usage.」这句话有两层含义。第一层是读者想要的：用量指标不会回流到 Anthropic。第二层是官方顺手说出的代价：Anthropic 侧的分析面板和 Analytics API 看不到这部分用量，你要自己搭监控。
官方给出的三种归因方案也印证了这个代价：OpenTelemetry 导出指标到你自己的可观测性栈、自托管 Claude apps gateway、或者用 LLM 网关（官方点名了 LiteLLM，并注明该项目与 Anthropic 无关、未经安全审计）。换句话说，第二道门省下的是数据通道，换来的是你自己要补上一整套用量可见性。
需要说明的是，这一层仍然不满足「不出内网」：代码还是要发到 Bedrock、Agent Platform 或 Foundry 的端点，只是端点属于你自己的云账户。这是它和第三道门的分界线。
四、第三道门：真正部署在自己内网
第三道门只有两条路：把模型放到你控制的网络里，或者把整个 agent 放到你控制的网络里。官方文档对这两条路的描述差别很大，而且其中有一条存在明显的表述落差。
先说那条落差。Devin 的定价页把「Dedicated deployment option」和「Deploy in your virtual private cloud (VPC)」列为 Enterprise 能力，读起来像是「部署在你自己的 VPC 里」。但 Devin 的官方部署文档把架构拆成了两个组件：
| 部署模型 | Brain 位置 | Devbox 位置 | 网络方式 |
|---|---|---|---|
| Enterprise Cloud | Cognition 云 | Cognition 云 | 公网或 IP 白名单 |
| Customer Dedicated Deployment | Cognition 云 | 客户专属单租户 VPC | AWS Private Link 或 IPSec 隧道 |
这张表是从官方部署文档里直接读出来的。官方对 brain 的位置写得很明确：「Devin’s workspace operates under the control of its brain, which always resides within Cognition’s Cloud.」即使选择客户专属部署，落进你 VPC 的也只是 Devbox——那个执行代码、连接资源的虚拟环境。
而且还有一条更硬的限制。官方 FAQ 里的问题是「Can we use our own LLM API keys?」，答案是：「Devin is a compound AI system and does not currently support third-party LLM API keys.」也就是说，你既不能把推理换成自己的模型，也不能把 Devbox 里跑出来的内容限制在自有模型上。
坑二：「部署在你自己的 VPC 里」可能只覆盖一半
官方部署文档给出的架构是 Brain + Devbox 两件套，并且明确 Brain「always resides within Cognition’s Cloud」。所以在 Customer Dedicated Deployment 下，你得到的是单租户隔离的执行环境 + 私有网络通道，不是「推理不出内网」。
读官方描述时还要注意两处细节。一是连接方式：「Your VPC connects via AWS Private Link (or IPSec tunnel), allowing Devin to securely access your privately networked resources.」——这是让 Devin 进到你的网络，不是让你把模型留在网络里。二是终端用户侧的网络要求：「End user workstations must have connectivity to *.devinapps.com (HTTPS/443)」，官方注明如果被企业代理或防火墙拦掉，IDE 与 Desktop 就用不了。
另外官方写明「MFA VPNs are not compatible with Enterprise Cloud deployments」，需要 MFA VPN 接入内部资源的组织只能走客户专属部署。这些约束在定价页上都不会出现，只有读部署文档才能看到。
再说真正能落在内网的那条路：开源客户端加本机模型。Cline 的官方 README 把定位写成「The open source coding agent in your IDE, terminal, & desktop.」，许可证是 Apache 2.0；它的模型提供商表里明确列出了「Ollama / LM Studio | Run local models on your machine」，并且支持「Any OpenAI-compatible API」，也就是自建端点。Aider 的官方 README 则写着它「can connect to almost any LLM, including local models」。
这条路线在数据边界上是唯一干净的：客户端是开源的，模型跑在你自己指定的端点上，代码不需要经过任何厂商网络。代价也同样明确，而且官方不会替你算——模型能力取决于你自托管的是什么模型，GPU 与运维成本由你自己承担，官方未披露任何相关的成本基准。对比之下，Claude Code 官方给出的企业部署基准是「around $13 per developer per active day and $150-250 per developer per month」，这是买托管服务的价格锚点，自托管没有对应数字可比。
坑三：隐私模式解决的是「是否训练」，不是「是否离开网络」
Cursor 的安全页把隐私模式的效果写得很清楚：「When enabled, we will not train on your data.」在隐私与数据治理文档里，同一件事的表述是「With Privacy Mode enabled your code is never used for training by Cursor or other AI model providers.」这两句解决的都是训练问题。
而同一份文档开篇就写明了数据流向：「When you use AI features, we send prompts and code context to language model providers like OpenAI, Anthropic, and Google.」所以「开了隐私模式」和「代码不出内网」之间没有任何推导关系。隐私模式是可以团队级强制的——官方原文是「Privacy Mode can be enabled at the team level to ensure all team members benefit from ZDR guarantees」，而这项能力在 Teams 档就有，不需要 Enterprise。
这就是最容易被误读的一处档位错配：隐私模式是 Teams 档（$40/用户/月）就有的功能，数据驻留要 Enterprise 档。一个团队如果只买了 Teams，它买到的是「不被训练」，不是「数据不出境」。需要更高等级加密控制的，官方提供的是 Enterprise 客户可用的 CMEK（客户自管加密密钥）。
五、按场景怎么选
- 约束是「数据不能出境」：选第一道门。Cursor 需要 Enterprise 档加 10% 的模型价加价，并且要接受可用模型白名单；Claude Code 一侧是 1.1× 系数。两家都要预留开通时间——Cursor 官方写明「plan for up to two weeks」。
- 约束是「不能经过厂商的数据与计费通道」：选第二道门，用 Amazon Bedrock、Google Cloud’s Agent Platform 或 Microsoft Foundry。要同时准备自己的用量监控，因为官方明确 Analytics API 覆盖不到这部分。
- 约束是「代码一个字节都不能出内网」：只有第三道门成立，也就是开源客户端加本机模型。Cline 与 Aider 都官方支持本机或自建端点，许可证分别是 Apache 2.0 与 Apache 2.0。托管型产品在这一层没有对应选项。
- 想用 Devin 但要求 VPC 隔离：把预期定在「单租户执行环境 + 私有链路」而不是「推理在内网」。Brain 始终在 Cognition 云，且不支持自带 LLM key，这两条是官方写死的。
- 只是担心代码被拿去训练：那不需要动数据边界，开隐私模式即可，Teams 档就有团队级强制。这一条和上面几条不是同一个问题。
- 要买的是合规材料（审计、加密、认证）：看认证与加密能力而不是数据流向。Cursor 官方列出 AIUC-1、ISO/IEC 27001:2022、ISO/IEC 42001:2023 与 SOC 2 Type II，Enterprise 客户可用 CMEK；档位差异见我们关于企业版与席位计费的整理。
- 团队席位怎么配：数据边界与席位档位是两条独立的线。Cursor 的席位是 Standard $40 与 Premium $120，Claude Code 的席位配额与聊天、Cowork 共享。买之前先把「边界要求」和「席位要求」分开列，否则很容易为了一个隐私模式去买不需要的档位。
回到最开始那句硬约束。「代码不能出内网」这句话如果要写进采购文档，建议拆成三句来写：数据能不能离开本组织网络、能不能离开所在法域、能不能用于训练。官方文档对这三件事分别有明确的能力与价格，混在一句话里，最后一定是花了钱却没满足约束。三家主流工具的官方口径也都指向同一个事实：越靠近「不出内网」，越不像是买一个订阅，越像是自己搭一套系统。
数据来源与核实说明
文中数据驻留与部署能力数据于 2026 年 9 月 24 日复核更新，来源为各厂商官方文档。本文未做本地实测，所有数字来自公开官方来源。需要说明三处口径：
- 「数据不出内网」是本文对官方能力边界的归纳，不是厂商的官方术语。各厂商官方文档中并无这一分类，本文依据的是官方对数据流向、部署位置与计费通道的原文描述。分类方式与结论由本文整理。
- Claude Code 数据驻留的档位要求与具体区域清单官方未在该页披露。本文只引用成本文档中的 1.1× 系数与版本说明，不推测其档位门槛。
- 自托管路线的成本官方未披露。Cline 与 Aider 的官方 README 均未给出任何成本基准，本文不提供估算值；文中引用的 $13/活跃日与 $150-250/月来自 Claude Code 官方文档，属于托管服务口径，不可直接与自托管对比。
数据驻留区域、可用模型清单与部署方式会随版本与合同调整，请以官方文档为准。发现数据错误欢迎联系我们。
- Cursor 隐私与数据治理（数据流向、隐私模式强制、数据驻留 10% 与模型白名单、CMEK）：cursor.com/docs/enterprise/privacy-and-data-governance
- Cursor 模型与定价（区域数据驻留 10% 加价原文）：cursor.com/docs/models-and-pricing
- Cursor 安全页（隐私模式定义、认证清单）：cursor.com/security
- Claude Code 成本文档（数据驻留 1.1×、云账户计费、不回传指标、企业部署成本基准）：code.claude.com/docs/en/costs
- Devin 定价页（Enterprise 能力清单、专属部署与 VPC）：devin.ai/pricing
- Devin 企业部署文档（Brain 与 Devbox 位置、单租户 VPC、Private Link、不支持自带 LLM key）：docs.devin.ai/enterprise/deployment/overview
- Cline README（开源许可证、本机模型与自建端点支持）：github.com/cline/cline
- Aider README（本地模型支持）：github.com/Aider-AI/aider