OpenAI 预告了一套名为 Private Safety Processing 的新机制，可以在继续为企业客户提供零数据留存（ZDR）的前提下发现滥用行为。它不再逐条判断单次交互，而是把多轮相关的交互放在一起找危险迹象，同时该公司称其员工始终无法读取底层的提示词和回复。该机制计划于 2026 年 9 月开始提供，并同期公开技术白皮书。
只看一次交互会漏掉什么
现有的 ZDR 兼容安全机制是逐条判断的。OpenAI 认为瓶颈正在于此：最严重的风险很少会在单次请求里暴露出来。
需要识别的行为包括反复试探安全护栏以寻找缺口、把同一目的分散到多个账号，以及把有害意图包装成普通的技术调研。此外还有一类智能体特有的失效：系统逐渐偏离用户意图，即使被要求停止仍继续执行动作。
OpenAI 的产品政策负责人向记者举了一个例子。某人在一次对话中询问某公司软件的弱点，又在另一次对话中询问远程访问方式以及哪些安全产品能够察觉。分开看都像正常的技术调研，放在一起看就更像是在为网络攻击做准备。逐条判断无法把这两次对话对上号。
存着，但没人读
那么，不看内容又如何完成跨轮次的判断？这正是本次公告的核心。
在 ZDR 部署下，客户内容保存在客户自己掌控的基础设施上。OpenAI 还在准备第二种选择：内容放在 OpenAI 的基础设施上，但加密密钥只由客户持有。OpenAI 员工没有密钥副本，因此数据虽然在那里却打不开。
判断本身由自动化流程完成。一旦触发，传给 OpenAI 的只是一个范围明确的信号，说明活动的类型，并不附带提示词或回复。OpenAI 据此决定是否处置，其员工依然无法打开内容。客户在自己的系统里调查这些告警，如需申诉处置结果或协助滥用调查，也可以自愿提交相关内容。
Anthropic 给出了相反的答案
面对同一道题，Anthropic 得出了相反的结论。该公司对其性能最强的一批模型强制要求留存 30 天的提示词与输出，即便此前合同以零留存为前提，也没有例外。
Anthropic 承认这项政策不受客户欢迎，但坚持认为要发现横跨多次请求的攻击，留存不可或缺。该公司预计年内会提供一个选项，允许企业把这些数据留存在自己的云上。
两家公司对问题的判断几乎一致：危险行为出现在请求与请求的关系之中，而不在任何单独一次请求里面。分歧在于药方，Anthropic 想通过留存来发现，OpenAI 则想在不留存的前提下发现。企业能接受哪一种前提，很大程度上取决于自己处理的数据性质。
覆盖范围与例外
Private Safety Processing 面向符合条件的企业方案与 API 客户，不适用于个人版 ChatGPT。免费版、Plus、Go 和 Pro 用户的数据设置维持原样，ZDR 本来也不属于这些档位的机制。
公告的脚注里还写明了一项例外。美国法律要求 OpenAI 报告疑似儿童性虐待相关素材，因此被标记为疑似此类的图像即便在零数据留存部署下也会被保留，用于人工核查与上报，这一点与现行做法相同。
试用已随首批客户展开，参与提出意见的公司中提到了 Glean 与 Abridge。Glean 的首席信息安全官表示，正是不用于训练的承诺与 ZDR，让公司有信心在 OpenAI 的模型之上构建产品。据报道，测试对象还包括 Microsoft 与 Databricks。
能否验证要等到 9 月
目前公开的只有方针与概要，技术细节尚未披露。所谓不读内容却能追踪多轮交互之间关联的说法，究竟如何成立，只能等 9 月的白皮书。
对欧洲客户来说，这份材料关系到实际操作。由服务提供方留存数据的模式，在 GDPR 以及医疗、金融领域的行业规则下很难通过审批，而这恰恰是 OpenAI 所说的客户所处理的数据类别。近来欧洲一批以数据存放位置为卖点的初创公司增多，正是同一压力的另一面。
这次预告也为 OpenAI 安全侧动作频繁的一个月画上句号。该公司在 8 月曾表示，因下一代模型可能触及重大网络风险而暂停了部分开发。风险评估越严格，为此需要观察什么的问题就越尖锐。Private Safety Processing 正是试图用尽可能少的观察来回答这个问题。
总结
OpenAI 将从 2026 年 9 月起提供 Private Safety Processing，在保持零数据留存的同时跨多轮交互检测滥用行为。判断由自动化流程完成，传给 OpenAI 的只是说明活动类型的信号，而非提示词或回复本身，员工无法读取内容。此外还将提供把内容放在 OpenAI 基础设施、密钥由客户持有的选项。这一路线与强制留存 30 天的 Anthropic 形成对照，其实际效果要等同月发布的白皮书之后才能判断。
