内容用客户密钥加密、只回传有限安全信号，白皮书 9 月发布；同一道题，Anthropic 给出的答案是 30 天强制留存
零数据留存（Zero Data Retention，ZDR）本身不是新东西，OpenAI 对部分企业与 API 客户提供「请求处理完即丢弃」的选项已经有一段时间了。这次公告真正的新内容有两块：一是把这个承诺明确套在了「前沿模型」上，二是配了一套让承诺和安全监控能同时成立的机制。
按官方与外媒梳理出的口径，这轮 ZDR 的适用面是有边界的：
把「前沿模型」四个字加进来是有讲究的。模型越强，一旦被用来干坏事后果越大，安全团队要看的东西自然越多——过去几家厂商解决这个矛盾的办法，基本都是让客户在「用最强的模型」和「我的数据不被留存」之间二选一。OpenAI 这次想说的是这道选择题可以不做。
这才是整件事的技术难点。安全团队最不怕的其实是单条明目张胆的恶意请求，那种模型自己就会拒。麻烦的是有人把一次攻击拆成几十条各自看上去都无害的请求，分散在几个小时里慢慢喂进去——要认出这种模式，系统必须能把相关的请求串起来看，而「串起来看」天然要求把内容留着。零留存和跨请求安全检测，在设计上是互相打架的。
OpenAI 给的解法是把这两件事拆进不同的信任层：自动化的检测系统在那个由客户密钥圈起来的封闭域里跑，发现可疑模式时，往外只送「范围被严格限定的安全信号」，不带原始提示词和回复。按官方说法，哪怕一次交互被标记，OpenAI 的员工也调不出原文。
说白了，被交出去的是结论，不是证据。这套设计成不成立，全看那个「安全信号」的粒度拿捏得如何：做得太粗，什么都抓不住，机制就是摆设；做得太细，反过来就能从信号一点点反推出内容，等于绕开了零留存。9 月那份白皮书里最值得看的，就是这一段怎么写。
放在竞争语境里，这条公告的指向性很明显。Anthropic 对自家最强的一档模型要求 30 天数据留存，理由和 OpenAI 认的是同一个技术前提——多请求拼装的复杂攻击必须靠跨请求上下文才能识别；Anthropic 自己也公开承认这条规定「不会受客户欢迎」，配套做法是受控的访问路径加上防篡改日志：人可以看，但每次看都留痕。
所以两家的分歧不在技术判断，而在把信任交给谁。Anthropic 交给流程，允许人接触内容、用审计来约束这件事；OpenAI 交给密码学和信号最小化，干脆让人接触不到内容。前者的软肋是流程可能被绕过，也可能被法律程序整体调取；后者的软肋是自动化系统未必有人聪明，漏判和误判都要自己扛。企业客户最后选谁，多半取决于自家合规部门更怕哪一种。
这个对照眼下有分量，是因为一批行业客户的处境很实在：律所的案卷、医院的病历、公司未公开的代码库喂进模型，本来就压着一堆保密义务，「为了安全监控请允许我们留存三十天」这句话在他们的采购流程里是直接卡死的条款。OpenAI 挑这个时点把 ZDR 端上台面，商业意图不难看懂。
代价当然没有消失，只是换了地方。据外媒引述的数字，这类增强监控大约给推理算力成本增加两成，这笔钱最终要么摊进企业合同价，要么体现在额度和限速上。结合它上周刚因为内部模型触及网络安全能力红线而短暂停掉一轮强化学习训练，安全开支在这家公司的成本结构里正在明显变重。
需要说清楚的是，上面这一整套讲的都是企业与 API 侧的事。用网页版 ChatGPT 和订阅档的人不在适用范围内，对话照旧按现行政策处理，滥用判定也仍然是内容加环境信号一起看——账号在什么网络下登录、出口 IP 属不属于机房段、是不是一大群人共用同一个出口，这些一直是触发人机验证和「异常活动」拦截的高频原因，具体口径可以对着 ChatGPT「异常活动」自查那篇 核。企业客户现在谈的是加密密钥归谁保管，个人用户能管的边界要窄得多，大概也就是先搞清楚自己当前的出口长什么样——这一步 GPT / Codex IP 检测 页面能直接给出答案。