2026年8月19日，OpenAI宣布将继续为前沿模型提供“零数据保留”（Zero Data Retention，ZDR），同时预告一套名为Private Safety Processing的安全机制。它试图解决一个随着AI Agent普及而日益尖锐的矛盾：复杂滥用或Agent偏离用户意图，通常只有结合多轮交互才能识别；但金融、医疗和科研机构又不能允许模型服务商长期保存敏感提示词与输出。OpenAI提出的方案是，让自动系统跨交互寻找风险模式，却只向OpenAI返回范围有限的风险信号，不让其员工查看原始内容。客户内容可以留在客户控制的基础设施中，也可以加密存放于OpenAI、由客户独占密钥。不过，这项技术仍在早期客户中测试，关键的技术白皮书、误报率和具体信任边界要到9月才会进一步公布。
文章作者、来源：OpenAI
企业既想让AI理解上下文，又不想把上下文交出去
企业部署AI时一直存在两项彼此拉扯的需求。
第一项是隐私。金融记录、医疗资料、未公开的产品计划、内部代码和科研成果，往往不能被第三方长期保存，更不能在没有明确授权的情况下用于训练模型。OpenAI提供的零数据保留承诺是：符合资格的API客户发出请求后，提示词与模型响应不会被OpenAI继续保留；OpenAI员工无法审阅这些客户内容，企业数据也不会被用于模型训练，除非客户主动选择加入。
第二项是安全。只检查一次请求，或许可以识别明显的违法指令，却很难发现被拆散在几十次交互中的完整意图。攻击者可能逐步试探护栏、使用多个账号协调行动，或者把危险任务伪装成一系列看似正常的研究问题。
长时间工作的AI Agent让问题变得更复杂。Agent可能连续运行数小时甚至数天，读取文件、调用工具并操作外部系统。它的某一次动作看起来完全合理，但整条行动轨迹最终可能偏离用户授权。例如，用户已经要求停止，Agent却仍在寻找别的途径继续执行目标。
因此，安全系统越来越需要理解“这整段过程想达成什么”，而不仅是判断“这一句话是否违规”。但如果实现这种能力的代价，是把所有企业对话集中保存并交给模型公司审阅，许多受严格合规要求约束的机构根本无法采用。
Private Safety Processing正是OpenAI对这项矛盾给出的答案。
不发送原文，只返回有限的风险信号
按照OpenAI官方说明，目前兼容ZDR的安全系统主要逐次检查单个交互；Private Safety Processing则会把检查范围扩展到相互关联的多次交互，从中寻找重复试探、协同滥用或Agent行为逐渐偏离授权等模式。
客户可以采用两种内容存储方式。
在完整的ZDR部署中，内容继续留在客户控制的基础设施内。OpenAI还在开发另一种方式：内容可以存放于OpenAI提供的基础设施，但使用客户控制的密钥加密。OpenAI表示，其员工不会持有这些密钥，因此无法解密并查看提示词或模型输出。
自动安全系统发现风险后，OpenAI收到的不是原始对话，而是一个范围有限的信号，例如活动可能涉及哪种风险。这个信号可以用于判断是否需要采取执行措施，但即使内容被标记，OpenAI员工原则上也不会因此自动取得底层数据。
客户则可以利用自己系统内保存的信息调查警报。如果客户认为正常研究被误判，希望提出申诉，或者需要协助调查已经确认的滥用，可以自行决定是否向OpenAI提供相关内容。
这项设计的关键，是把“机器能否检测风险”和“服务商员工能否阅读内容”拆成两种权限。它并不等于完全取消安全监测，而是尝试让监测结果以更小、信息更有限的形式离开客户环境。
为什么这对AI Agent尤其重要
传统聊天机器人的主要风险通常集中在输入和输出：用户问了什么，模型回答了什么。Agent的风险则可能分布在完整的行动链中。
假设一个Agent最初被授权整理代码，随后开始读取权限配置、尝试访问外部服务，并在被要求停止后继续寻找替代路径。单独看每一次操作，它们可能都是正常的软件开发动作；联系起来看，却可能说明Agent正在越过用户设定的边界。
这使企业安全系统不得不具备一定的跨步骤记忆，否则每次检查都像第一次见到这名Agent，无法判断风险是不是在不断累积。
Private Safety Processing代表的方向，是在不把原始企业数据暴露给模型公司员工的前提下，为安全系统保留这种“理解轨迹”的能力。如果能够可靠实现，它可能成为企业采用长期运行Agent的重要基础设施：客户保留数据控制权，模型服务商仍能获得足以执行安全政策的风险信号。
但OpenAI目前没有详细说明系统如何在客户基础设施中完成分析、如何定义“相关交互”、安全信号包含哪些字段，以及如何防止这些信号间接泄露敏感信息。正式的技术白皮书计划在2026年9月发布，因此现阶段应把它理解为架构预告，而不是已经可以完整审计的技术规格。
加密保存不等于所有风险都消失
“使用客户控制的密钥”是重要承诺，但它并不会自动回答全部安全问题。
企业仍需了解自动检查代码在哪里运行、由谁更新、能接触哪些明文数据、运行期间的内存如何隔离，以及元数据和风险信号会保留多久。系统还必须面对误报与漏报：检查过于敏感，会阻碍合法的安全研究或医学工作；检查过于宽松，又可能无法识别被拆分和伪装的滥用流程。
文章也没有公布Private Safety Processing的检测准确率、性能开销或独立审计安排。OpenAI称该系统正在与早期客户测试，并计划从9月开始逐步推出。因此，它能否在真实环境中同时满足隐私、安全和可用性，仍要等待白皮书及客户部署结果。
还有一项明确例外：疑似涉及儿童性虐待材料的图片，即使来自零数据保留部署，也会继续被留存并接受人工审查，以履行法定报告义务。这意味着“零数据保留”并不是任何情况下都绝对不保存内容，客户在评估合规要求时需要理解这一边界。
下一阶段的竞争是“谁能在看不见数据时保证安全”
过去，企业比较模型服务时，主要关注能力、价格、延迟和上下文窗口。随着AI开始处理更长、更敏感的工作，“服务商究竟能看到什么”正在成为同样重要的竞争指标。
一个极端方案是让服务商保存全部交互，以获得更完整的安全视角；另一个极端则是完全不监测，让所有风险由客户自行承担。OpenAI希望证明，中间路线是可能的：原始内容保持私密，自动系统跨交互分析风险，模型公司只得到采取安全措施所需的有限信号。
这项方案是否真正成立，还不能仅凭公司发布文章下结论。但它准确指出了Agent时代的核心难题：模型工作时间越长，安全系统越需要上下文；企业数据越敏感，服务商越不应该拥有这些上下文。