8 月 19 日，OpenAI 预览了一项名为 Private Safety Processing 的新服务，宣称能在不保留客户数据的前提下跨会话识别滥用；次日（8 月 20 日），路透援引知情人士报道，Anthropic 计划调整其 6 月 9 日起对 Fable、Mythos 级「覆盖模型」实施的 30 天强制留存政策——仍要求留存，但允许企业把数据放在自己的云上。两家都在筹备 IPO，这两项进展也让企业客户有了新的比较对象：安全监控需要保留哪些数据，又由谁控制。
两家公司都认为需要安全监控，但对留存时长、数据位置和访问权限，提出了不同方案。
多个请求合在一起，才可能显露攻击意图
两家公司对威胁的判断一致：有些攻击只有结合多个请求才能识别。Anthropic 的官方说明列举了 Best-of-N 越狱（把同一提示改写数百个变体去撞开护栏）、国家支持的间谍活动、数据勒索等模式，指出这些滥用「只有当安全分类器能在许多请求之上拉远镜头时才浮出水面」。
OpenAI 产品政策负责人 Aleah Houze 在记者会上给出过一个更直白的例子：有人可能在一个对话里问某公司软件的弱点，再在另一个对话里问远程访问或「什么安全工具能检测到」——单看每一段都无害，连起来才是攻击前的踩点。
问题在于，传统的零数据留存（Zero Data Retention，下称 ZDR）只对单个请求做即时检查，处理完即删。当模型承担越来越长的 Agent 任务时，逐条检查看不见跨请求的模式。这使跨会话安全监控与 ZDR 的兼容成为一个技术问题。
Anthropic 要求部分前沿模型的 ZDR 客户留存 30 天
Anthropic 选择保留一段时间的数据。按官方说明，6 月 9 日起，提交给「覆盖模型」的提示与输出在所有平台上留存 30 天，覆盖模型指 Mythos 级模型及未来能力相近的模型——Fable 5 与 Mythos 5 同底座，只是多了网络与生物领域的额外护栏。
容易被误读的一点是：这条政策并不波及大多数用户。它只作用于原本签了 ZDR 的企业组织——通过 Claude Console 的 ZDR 工作区、Claude Enterprise 里的 Claude Code ZDR，或经 AWS Bedrock、Google Cloud Agent Platform、Microsoft Foundry 走 ZDR 的客户。消费者套餐本就保留数据，不受影响。这项调整主要影响重视零留存、又希望使用这些前沿模型的企业。
Anthropic 为这些留存数据设置了访问控制：默认没有员工能读留存对话，人工复核只经「受控访问路径」、由少数获批审核者执行，每次访问都记入不可篡改的日志，30 天后自动删除；企业还可加装客户管理的加密密钥与访问审计日志。经 Bedrock 或 GCP 调用时，留存数据留在云厂商环境里。这些措施限制了数据留存后的人工访问。
OpenAI 拟只接收风险类型，员工不能直接查看对话
OpenAI 走的是另一条路。官方博客描述的机制是：数据要么留在客户控制的基础设施上（即 ZDR 部署），要么存在 OpenAI 侧、但用客户持有的密钥加密——OpenAI 员工没有密钥副本。自动化系统在相关交互之间识别模式，一旦触发风险，OpenAI 只收到一个「窄信号」，标明活动的类型，而不是提示或回复本身；即便被标记，员工也拿不到内容。客户用自己的系统调查告警、申诉或补充信息，选择是否把相关内容分享给 OpenAI。
这里需要区分数据留存与自动化处理。OpenAI 的自动化系统仍要读到明文才能发现跨会话模式，它承诺的是「不存储、员工不可见」，而不是「内容从未经手」。Anthropic 的自动化系统同样在分析内容——两者的差异不在「有没有机器在读」，而在留存时长、密钥控制与数据物理位置。
OpenAI 还保留了 CSAM 例外：疑似儿童性虐待材料的图像即便在 ZDR 部署中也会被保留供人工复核与上报，这是法律义务。目前该服务只面向合格的企业与 API 客户，不覆盖 ChatGPT 的 Free/Plus/Go/Pro 消费套餐；公司计划 9 月启动更广的推出并发布技术白皮书。
Anthropic 据报将调整存储方式，仍要求保留 30 天
Anthropic 曾在自己的风险报告中讨论商业影响。公司写道：强制 30 天留存「将会不受那些已经习惯零留存的客户欢迎，并对我们的商业成功构成真实风险（尤其当竞争对手不跟进时），但我们认为这对检测和阻止跨多个请求的复杂攻击至关重要」。
OpenAI 没有采用同样的留存要求，Anthropic 也在筹备调整。路透 8 月 20 日报道，Anthropic 计划仍要求企业留存 30 天，但允许他们把数据保留在自己的云基础设施上，并计划在今年晚些时候推出新的安全系统；这套改动已筹划数月，正与包括 Salesforce 在内的 100 多家客户协调（Bloomberg 最先报道）。
据报道，这项调整将改变数据的存储位置，把控制权更多交给客户，但仍保留 30 天的留存要求。
留存与访问权限各有不同，监控效果尚无对照证据
比较两种方案，可以看三项条件：留存时长是 30 天还是处理后删除；数据放在哪里、密钥由谁控制；员工在什么条件下能查看内容。按前述说明，Anthropic 允许获批人员经受控路径复核；OpenAI 则称，即便活动被标记，员工也不能直接取得内容，客户可选择是否分享。
未验证的是有效性。OpenAI 的方案还只是预览，技术白皮书 9 月才发；「不保留数据的跨会话监控」能否达到「留存 30 天再分析」同等的检出能力，目前没有证据。Anthropic 的 30 天留存是更保守的路线，且有已发布的威胁模型。
对企业信息安全负责人而言，数据留存与访问条款正在成为采购前沿模型时需要比较的条件。TechCrunch 报道，Anthropic 年化营收运行率已达约 650 亿美元，投资者称其上市估值目标约 2 万亿美元；WSJ 则报道 OpenAI 二季度增速低于 Anthropic。双方都在筹备 IPO，能否同时满足模型能力与数据控制要求，可能影响受监管行业客户的选择。
接下来的可观察变量有两个：9 月 OpenAI 的技术白皮书能否证明零留存监控的有效性；Anthropic 的新安全系统是否真正落地、以及它会不会进一步向客户让出数据控制权。若 OpenAI 的方案被证明具有相当的监控效果，要求 30 天留存的厂商就需要进一步解释，这一期限为何仍有必要。
