OpenAI官宣：你的数据一字不留！Anthropic隔天松口：你可以自己保管

新智元报道

硅谷AI双雄之间，一场秋季隐私大战提前打响。

先是8月19日，OpenAI瞅准时机掀了桌子，甩出一句分量极重的承诺：活儿一干完，你的提示词、模型的回复，我们一个字都不留。

OpenAI这次官宣「零留存」新招，剑指Anthropic两个月前刚给企业客户立下一条规矩：

想用最强的那档模型，先交出30天数据。

第二天，Anthropic就松了口：数据虽然仍要留30天，但可以留在客户自家的云上。

紧接着，Claude Code之父Boris Cherny亲自下场，把话挑得更明：

客户可以拥有并控制自己的数据，Anthropic一点都不留，新办法今年秋天就来。

「一点都不留」。

OpenAI前一天的承诺，Anthropic照原样喊了出来。

但两家嘴里的「一点都不留」，还真不是一回事。

48小时里

双雄连掀底牌

6月9日，Anthropic的一条新规正式生效。

企业客户想调用Fable 5、Mythos 5这一档模型，就得先接受一个条件：提交进去的提示词、生成出来的输出，留存30天。

8月19日OpenAI反击，宣布预览Private Safety Processing，核心就一句：不保留客户数据。

OpenAI的意思一点也不难懂：那些对Anthropic留存数据心怀不满的企业客户，它想一把捞过来。

而Anthropic那边，新规出来之后没少被客户怼，所以一直在憋替代方案，跟100多家客户对过，其中就有Salesforce。

OpenAI这一招，更像把这个替代方案提前逼了出来。

数据留30天

Anthropic是不是蛮不讲理

Anthropic那边，为什么非要把数据留30天？

理由是安全：有些攻击，单看一次请求，什么都看不出来。

拿Best-of-N越狱举个例子。

同一个提示词，改出几百个细微的变体，一股脑发过去，赌其中总有一个能绕过防线。

这几百条里挑任何一条出来，都像正常提问，规规矩矩，挑不出毛病。只有把它们摆在一起看，意图才浮出水面。

更大规模的，比如数据勒索，从来不会在单次对话里露馅，得靠安全分类器把镜头拉远，横跨大量请求去看，才能看出一点眉目来。

而要「拉远镜头」，这些内容就需要暂时留在某个地方，能被放在一起分析，而不是一条一条孤立地过一遍。

Anthropic还划定了范围，针对的是那些原本配置了零数据留存、又想用上Covered Models的组织，并给出很细的保护措施，可它还是把一批大客户逼到了墙角。

松的是保管权

不是留存本身

Anthropic这次到底改了什么？

据知情人士透露，30天照留，一天不少。但给出一个新选项：这些数据，可以放在你自己的云上。

看着只是挪了一小步，可对企业的合规部门来说，这是刚需。

数据搁在Anthropic的机房，等于命根子攥在人家手里。

加密密钥、访问日志、谁能看、怎么看，规矩都是它定的，你只能信它写在页面上的那些承诺。

数据搁在你自己的云上，密钥归你，谁碰过、什么时候碰的，走的是你自己的审计系统。

真出了事，你自己就能查清楚。

数据钥匙归客户

OpenAI只收警报

OpenAI给出的，是另一种思路。

简单说：是把算法送到数据那边去，而不是把数据搬到算法这边来。

Private Safety Processing拆开看是三步。

第一步，原始内容有两种放法。要么留在你自己控制的基础设施上；要么放进OpenAI提供的存储，但拿你手里的密钥加密：这把钥匙OpenAI没有副本，所以它打不开。

第二步，自动系统横着看多轮相关交互，从中找风险模式，不再像过去那样一条一条孤立地判。

这正是Anthropic当初要留存30天所要解决的同一个问题。

第三步，一旦命中风险，OpenAI收到的是一个窄口径的信号：这类活动属于哪一种、严重到什么程度。

底层的提示词和回复，OpenAI的人看不到，哪怕这段内容已经被标记出来。

Private Safety Processing的内容访问控制流程。原始内容由客户加密保管，OpenAI只收到告警类别与严重程度。

客户可以在自己的系统里查这些告警。

如果想申诉、想澄清某项活动是合法的，或者愿意协助调查一起已经坐实的滥用，再自己决定要不要把相关内容交出去。

不过这套设计眼下还在早期客户测试，计划9月开始推出，技术白皮书也得等到那时才发。

留存不等于训练

这话只对企业成立

看到「你的数据被保留30天」，很多人第一反应是「所以我的对话被拿去训练模型了」。

两家在这一点上，也各有各的处置办法。

Anthropic说，Covered Models留下的提示词和输出，是用来支撑安全工作的；OpenAI说，企业数据默认不会用于训练模型，除非客户主动选择加入。

留存的目的是查滥用，不是喂模型。在技术流程和数据权限上，这是两条路。

这套说法，只对企业客户成立。Anthropic官方页面说得很明白：

消费端套餐这次不用做任何配置，因为这些界面上的输入和输出，本来就在留存。

那消费端留着的这些，会不会被拿去训练？

会。

官方页面列了三种情形：你在设置里允许了；对话被标记进安全审查；或者你主动加入了受信测试员（Trusted Tester）之类的计划。

第一条听着像你自己做的决定。

但2025年8月那次改规矩，把开关的初始设置调头：你不主动说不，就算你答应了。

弹窗里数据共享的开关预先就是打开的，当时就有人骂它是诱导性设计（dark pattern）。

2025年8月，Anthropic官方公告里展示的老用户弹窗。醒目的Accept按钮下方，允许用数据训练的开关默认打开。

第二条走的是另一条通道：对话一旦被自动系统标记进安全审查，就可能被拿去分析、被用来训练安全团队的模型。跟你那个开关关不关，是两码事。

还有一个较大的落差，是在时间上。

企业客户为了30天就吵得天翻地覆。而在消费端，你一旦允许训练，聊天记录抹掉名字之后，最长能在训练管线里躺5年。

要是哪次对话被判定违反了使用政策，你说的和AI回的会存2年，系统给你打的那个风险分，存7年。

OpenAI这边也类似。

个人版的那个训练开关，默认就是开的，得自己翻进设置里关掉。关了也只是不再拿去训练：没删的对话一直存着，删掉的再等30天才真正清掉。

这场对战中，两家公司其实在一件事上完全一致：复杂的攻击只有跨多次请求才看得见，安全监控这件事没得商量。

分歧只有一点：这份监控，要不要拿你的原始数据来换。

OpenAI的不留，是它不留，也不要求你留——请求处理完就完了，真出事，它只收一个警报。

Anthropic的不留，是它不留，但你得替它留——30天的留存义务一天没少，变的只是保管的人，从它换成了你。

有些东西已经变了。

以后挑AI，不只看跑分、性价比、上下文窗口，还得加一条：你说的话存在哪儿、谁能看、留多久。

参考资料：

https://openai.com/index/offering-zero-data-retention-for-frontier-models/?utm_source=chatgpt.com

https://privacy.claude.com/en/articles/10023580-is-my-data-used-for-model-training

编辑：元宇