英伟达限制前沿模型后，ZDR 到底证明了什么

先分清报道、公告和因果

9 月 14 日，路透社转述《The Information》报道：英伟达把 Anthropic 的模型限制在较低敏感度任务，Palantir 要求不可撤销的零数据保留安排，Booz Allen 则限制相关模型用于专有网络安全工作。报道涉及企业对 Anthropic、OpenAI 的数据担忧，但没有提供英伟达全面禁用两家公司模型的正式通知，各方也未立即回应置评请求。路透社转述

另一个已经公开确认的事实，是英伟达与 Palantir 在 9 月 10 日宣布供应链智能合作，从英伟达自己的运营部署开始，使用 Nemotron 并强调专有数据控制。联合公告

这两件事可以放在一起分析，却不能被接成未经证实的因果链：“因为 Claude 的留存政策，英伟达才改用 Nemotron。”自有模型部署可能同时考虑业务定制、成本、数据治理和产品战略；部署公告并没有替媒体报道确认全部动机。

英伟达也不是一向拒绝外部模型。它在 4 月公开介绍 GPT-5.5 Codex 的内部应用，称超过一万名员工已经使用，采用获批云端虚拟机、每名员工独享环境、生产系统只读权限，并受 ZDR 政策约束。这是企业自身披露，不能当作独立审计，但足以说明问题并非“外部模型能不能用”，而是允许它通过什么路径接触哪些数据。英伟达部署说明

30 天为什么会改变采购决定

6 月 9 日，Anthropic 发布 Fable 5 和 Mythos 5，同时说明这类模型需要保留 30 天的商业流量，以检测跨交互的复杂滥用。公司强调其用途是安全防御，而非训练新的 Claude 模型。发布与留存说明

对供应商来说，只看一次请求，可能看不出多次请求拼在一起的攻击。对客户来说，保留完整内容意味着未来一个月内存在新的存储位置、访问流程和事件暴露面。双方可以都在追求安全，却对“安全需要什么”得出不同要求。

这不是把“不用于训练”推翻了，而是说明它从来没有回答全部问题。即使数据不改变模型权重，也仍可能进入日志、滥用调查、故障诊断或其他服务状态。敏感设计、未公开财务和供应链信息的风险，不以是否进入训练集为唯一判断标准。

9 月 1 日，Anthropic 宣布 Enterprise Frontier Safeguards，提出把安全信号存放在客户控制的云存储中，由客户管理密钥、权限和审计，并计划在当年秋季稍后分阶段推出；符合资格的客户在此之前可获得临时 ZDR 安排。宣布一个方案、客户获得资格、具体系统完成部署，是三个不同状态，不能在 9 月中旬就把它写成所有客户已经得到的保证。EFS 公告

ZDR 不是四种承诺的总称

零数据保留首先是带范围的服务安排：哪个组织、哪个端点、哪种内容、保存到什么时候。把它压缩成“供应商完全不碰数据”，反而无法验收。

OpenAI 的数据控制文档明确区分训练用途、滥用监测日志和应用状态。API 默认不训练，不代表所有功能无状态；申请 ZDR 也需要核对端点资格，文件、会话、向量存储等能力不能凭一次普通请求的设置自动获得同样保证。OpenAI 数据控制文档

这条区别尤其影响 Agent。一次调用可能不留内容，但 Agent 使用的文件库、会话历史、工具日志和第三方搜索服务仍然可能保存信息。只审查模型入口，不能覆盖整条工作链。

过去靠什么证明“没有留下来”

客户无法从一个正常返回的回答里，看出服务器有没有另存一份日志。网络抓包能看到发出了什么，不能穷尽供应商内部做了什么。过去可信的 ZDR 因而依赖一组相互对应的证据，而不是一个能显示“零”的仪表盘。

合同首先规定范围和责任：保留期限、允许用途、分包商、例外、变更通知与审计权。账户配置再把这些承诺落实到组织、项目、模型和 API。架构说明解释数据经过哪些系统，运行记录显示访问、删除和异常流程是否按约执行。独立审计则对特定期间、特定控制提供保证。

SOC 2 或 ISO 认证本身也不能替代这一步。企业需要看报告是否覆盖所购买的服务和相关控制，而不是只确认供应商网站上有徽标。合同承诺和技术实现之间出现缝隙时，最容易留下的正是错误日志、缓存和被忽略的中间层。

模型升级还会让问题重新出现。原来获准调用的模型不需要某类留存，新模型却要求安全审查；如果系统自动切换，客户可能在没有作出新决定的情况下越过原先边界。不可撤销的承诺之所以成为谈判焦点，是因为客户要的不只是今天的设置，还包括规则变化时的拒绝权。

严格模式的价值，是条件不满足时停下来

工程上的零留存不能靠“尽量少记日志”。它需要明确失败行为：当模型或功能不符合约束时，调用被拒绝，还是悄悄换到默认留存。

AWS Bedrock 的数据留存文档提供了一个有用的实现例子：严格的无留存模式可以阻止需要保存数据的模型；请求中的 store=false 本身并不替代平台留存政策。具体支持模式会更新，但这个设计原则很清楚——约束不满足，就不要继续调用。Bedrock 留存文档

企业可以据此设计自己的准入，而不必押注所有供应商永远使用同一规则。公开材料可以进入一般服务，受限数据只进入获批路径；文件和工具分别审核；模型版本变化触发复核。关键是这张清单能约束真实请求，而不只是写在采购附件里。

自有模型可以缩短数据跨组织的路径，却不会自动消除风险。密钥、补丁、权限、备份和安全响应的责任随之回到企业。自己运行一套没人维护的服务，也可能比成熟供应商的受控服务更脆弱。

企业需要能回答的具体问题

与其问“支持 ZDR 吗”，不如要求供应商和内部平台共同说明：

• 本次调用经过哪个组织、区域、模型版本、端点与中间服务。
• 输入、输出、元数据、文件、缓存和工具日志分别保存在哪里、多久。
• 哪些自动系统和人员能够访问，例外由谁批准，如何留下证据。
• 模型升级或安全政策变化时，谁通知客户，客户能否继续拒绝留存。
• 条件不再满足时，系统会拒绝、提醒，还是切换到另一种模式。

这条证据链不会提供“世界上从未出现过任何副本”的绝对证明，但能把一次模糊承诺变成可检查、可拒绝和可追责的安排。

前沿模型把冲突放大了：安全系统希望看得更久，企业希望原始数据尽快消失。采购决定的关键因此不只是模型有多聪明，而是两种要求无法同时满足时，企业是否仍然能守住自己批准的边界。

参考资料

• Reuters：Palantir、英伟达和 Booz Allen 因数据担忧限制模型使用的转述
• The Information：Anthropic 数据政策变化引发企业限制模型使用
• Anthropic：Fable、Mythos 的访问与数据留存政策
• Anthropic：Covered Models 数据留存实践
• Anthropic：API 与数据留存
• Anthropic：Enterprise Frontier Safeguards
• OpenAI：平台数据控制
• OpenAI：安全与隐私
• 英伟达：GPT-5.5 Codex 在企业内部的部署
• 英伟达与 Palantir：关键供应链的主权智能
• AWS Bedrock：数据留存模式