IOSG：AI的十字路口，华尔街为何拒绝接纳ChatGPT与Claude

正文：

原文作者：Jeff，IOSG Ventures

在7月1日，Palantir的首席执行官Alex Karp在CNBC上进行了长达20分钟的采访，媒体对此称其为“精神崩溃”。Karp指出，企业正在为前沿实验室支付token溢价，同时担心自家知识产权流向模型供应商。他称这种现象为alpha的转移，这一转移正在架构层面上发生：每个发往闭源模型的请求都以明文形式发送到服务商的服务器。就在节目播出前，Palantir刚刚宣布与NVIDIA的合作，计划在客户自控环境中运行开放的Nemotron模型，并发布了一份包含九条的AI主权宣言。节目播出后，PLTR的股价上涨了8%。

在过去的二十年中，企业依靠协议层面的信任来采用云软件，这一模式一直有效。每家SaaS供应商仅能看到企业数据的一小部分，并且大多数没有动力将客户数据用于核心产品的改进。例如，Salesforce关注销售渠道，Workday分析人事数据，Jira专注于开发过程，而AWS则提供存储和计算基础设施。然而，当前的AI工作流要求一次性上传所有数据，包括跨部门的结构化上下文，以此来实现最大化的生产力。抛开善意不谈，现阶段的上游服务商可以利用这些数据开发新功能，而不是让它们闲置在服务器上。

没有人选择减速，Anthropic在5月的年化营收达到了470亿美元，相较于2025年底的90亿美元大幅提升；OpenAI在2月的周活跃用户数突破了9亿。这两家公司在今年春季完成了新一轮融资，估值接近1万亿美元，并预计将以更高的市值进行IPO。多年的隐私与知识产权指控并未对这两家公司造成任何势头上的损失。

一些企业已经采取了行动。2023年2月，ChatGPT发布后不到三个月，华尔街的主要银行便限制了该工具的使用。2023年5月，在三星一名工程师将芯片源代码泄露至ChatGPT后，该公司全面禁止生成式AI的使用。作为回应，OpenAI于当年8月推出了ChatGPT Enterprise，承诺不使用商业数据进行训练，并引入零数据留存协议（zero-data-retention, ZDR），后者随后成为企业采购的标准要求。

然而，这些合同仅能锁定公司账户。IBM发现，到2025年，影子AI（员工通过个人账户将公司数据输入未获批准的AI工具）已导致五分之一的数据泄露事件，重度使用影子AI的情况下，泄露的平均成本增加了67万美元。在安全培训公司Anagram的一项2025年调查中，四分之一的员工表示，他们愿意为了更快完成任务而违反AI使用政策。

企业可以通过购买ZDR合约和不进行训练的服务档案来获得某种程度的安全保障，但对于广大普通用户来说，隐私AI的重要性仍存在争议，直到法院传票找上门来。

2025年5月，一份法院命令迫使OpenAI保留用户已删除的消费级聊天记录，而在11月，法官又下令将其中2000万条记录移交给《纽约时报》的律师作为证据。接着，刑事案件中，Palisades大火纵火案的被告ChatGPT记录被作为证据，佛罗里达一起双尸命案的宣誓书中引用了嫌疑人关于处理尸体的提问。2025年7月，Sam Altman在一次访谈中承认，ChatGPT的对话不受法律特权保护，OpenAI“可能被要求交出”用户的聊天记录。

问题在于，并非只有罪犯需要保密对话。人们与AI的对话被记录并可被传唤，这是一种大多数用户未意识到的监控现象。根据2025年10月对1000名美国AI用户的调查，Kolmogorov Law发现，50%的人不知道他们的对话可能被传唤，同时三分之二的人认为这些聊天应当享有与律师或医生沟通相同的保护。

自托管或在可验证环境中运行的开源模型正在迅速追赶，但在通用能力方面，最先进的闭源模型仍领先约四个月。这使得追求隐私的企业和个人面临选择：是为了隐私而放弃几个月的模型质量，还是继续将敏感数据上传至Anthropic的服务器，因为竞争对手正是通过这种方式来抢占生产力。

市场上并没有完美的解决方案，某份报告总结了各方在缩小差距方面的尝试，观察可证明隐私的前沿智能距离交付给企业和普通用户还有多远。

隐私AI并非单一工程，但目前市场上每种机制都在处理同一个问题：一条prompt从你的设备发出，穿过网络，抵达运行模型的机器，再返回一条回复。机制之间的差异在于明文数据在这一过程中存在的位置，谁能读取这些数据，以及如何验证回复的私密性。

在这一层面，除了你之外，还有其他人能读取你的明文prompt，接下来的事情全凭承诺。

机器间的每段通路都在TLS上运行，这仅加密数据通道，接收方可以读取所有信息。中继通常使用Oblivious HTTP (RFC 9458)将知情权拆分，原理类似于朋友递纸条，朋友知道是谁递的但无法读懂内容，收件人能读懂内容但不知道是谁写的。OHTTP自2024年1月起成为IETF标准，目前已有许多公司在Cloudflare和Fastly租用的OHTTP中继上运行流量。

这也是访问闭源模型所能获得的隐私上限，原因在于这是一个算术问题。一次旗舰级训练的成本接近十亿美元，而这些实验室的估值接近万亿美元，其中押注的正是模型权重的独占。模型能力的差距维持多久，溢价就能维持多久，因此实验室将权重文件视为国家机密。

Meta曾被动进行过这项实验。2023年2月发布的LLaMA最初仅向研究人员开放，但不到一周，权重便以种子形式泄露到4chan。又过一周，llama.cpp使得最小的7B模型在一台MacBook上本地运行，三天后，斯坦福利用同一模型以不到600美元的成本微调出了聊天助手Alpaca。这一泄露使LLaMA的运行成本降至电费，任何人只要获得文件即可在家中运行。2023年7月，Meta正式以附带7亿月活跃用户排除条款的商业许可开源了LLaMA 2。权重被泄露，溢价也随之消失。

理论上，前沿实验室可以为闭源模型的推理提供attestation（远程证明），但attestation只能证明哪段代码读取了prompt，而无法证明这段代码对数据做了什么。要弄清服务器是否保留了数据，我们需要审计服务代码并将其重构到硬件报告的哈希值上。一旦交出服务代码，实验室也就失去了支撑利润率的批处理和缓存技巧，而这些技巧将转移到未来的每一代模型上。Apple和Meta之所以能够为iPhone和WhatsApp背后的服务栈做远程证明，是因为它们的利润来自设备和广告，公开服务代码几乎没有成本。

这就是旗舰模型的权重和服务代码无法交到外部运营方手中的原因。没有外部运营方，就没有第三方的attestation，缺乏attestation，可验证的隐私就只能存在于开源模型之上。

这一类的每种机制，都用基于硬件、密码学或物理的证明来取代信任承诺，但各自为隐私升级所需付出的代价不同，首要的就是它们只能在开源模型上运行。

TEE（可信执行环境）机密计算将推理放在硬件enclave（芯片上一个连机器运营方都无法打开的密封舱）中运行，芯片会签署一份attestation，