信任正在瓦解

过去二十年，企业习惯用协议层的信任使用云服务。Salesforce 看销售数据，Workday 管人事，Jira 跟踪开发——每家 SaaS 只接触数据的一个切片，且缺乏动机反哺自身产品。这种分而治之的架构，天然限制了数据聚合与滥用可能。 但生成式AI改变了规则。现代AI工作流要求一次性上传全量数据：跨部门的结构化上下文、原始文档、代码库、内部邮件……目标是生产力最大化。可一旦明文 prompt 离开终端，它就进入一个无法审计的黑箱：服务商既能看到内容，也能将其用于模型迭代。这不是假设——这是已发生的事实。 Palantir CEO Alex Karp 在CNBC采访中直言：企业正为前沿模型支付 token 溢价，同时眼睁睁看着核心IP以明文形式流向模型商服务器。他称之为“alpha 的转移”，且发生在最底层的架构层面。

合同不等于保障

OpenAI 和 Anthropic 推出 ChatGPT Enterprise 与 Claude Team，附带“零数据留存”（ZDR）承诺。这成了企业采购的标配条款。但合同只约束公司账户行为，无法覆盖员工自发行为。 IBM 2025年发现：五分之一的数据泄露事件源于“影子AI”——员工用个人账号将敏感材料喂给未经批准的AI工具。Anagram调查显示，四成员工愿为效率违反AI政策。重度影子AI使用，使单次泄露平均多付出67万美元。 更关键的是，法律现实早已撕开温情面纱。2025年5月，法院命令OpenAI保留用户已删除的消费级聊天记录；11月，2000万条对话被移交《纽约时报》律师作为证据。佛罗里达双尸案、Palisades纵火案中，ChatGPT提问记录直接成为呈堂证供。Sam Altman亦承认：用户对话不受律师-客户特权保护，在诉讼中“可能被强制提交”。 这不是罪犯专属风险。它是一块普遍存在的监控面——多数人甚至不知道自己的AI对话可被传唤。Kolmogorov Law 2025年调查显示：50%美国AI用户不知此风险；三分之二认为这些对话应享有与医生或律师同等的法律保护。

隐私不是单一技术，而是路径控制

一条prompt离开设备、穿过网络、抵达模型服务器、再返回响应——隐私机制的本质，就是决定明文在这一路径的何处存在、谁有权读取、以及如何验证其未被滥用。 协议级方案依赖承诺：TLS加密管道，但终点服务器仍可读明文；匿名代理抹去身份，却不加密内容；Oblivious HTTP（OHTTP）将“谁发的”和“发什么”拆开，是当前访问闭源模型的隐私上限。但它仍无法阻止服务商留存或滥用数据——因为模型权重与服务代码被严密看守，拒绝外部审计。 Meta的LLaMA泄露史证明：一旦权重流出，溢价即崩塌。实验室宁可牺牲短期收入，也不愿交出支撑估值的核心资产。而远程证明（attestation）只能验证“哪段代码运行了”，无法证明“这段代码做了什么”。要真正验证，需审计服务代码并比对硬件哈希——但公开服务代码，等于交出批处理、缓存等利润率引擎。 因此，可验证的隐私，目前仅存在于开源模型之上。

结构级隐私：用密码学与硬件取代信任

这类方案不靠承诺，而靠可验证的物理/数学保证，但代价明确：只能运行开源模型。 TEE（可信执行环境）将推理放入芯片级enclave，硬件签名证明模型与代码真实性。但prompt在抵达enclave前仍以明文经由代理，代理是否记录、是否泄漏，仍依赖协议约束。 E2EE（端到端加密）则封死中继：客户端用enclave密钥加密prompt，全程密文传输。但信任重心移至客户端——加密与校验逻辑若被篡改，隐私即失效。因此，开放、可复现的客户端代码成为必要条件。 FHE（全同态加密）与MPC（多方安全计算）彻底消除可信方：服务器在永远打不开的加密盒中运算，或把prompt拆成秘密份额分发。代价是性能：密文推理成本是明文的1万–10万倍，小模型单token耗时数秒至分钟。专用芯片尚在原型阶段，商用还需数年。 本地推理最彻底：模型跑在自有硬件，无中继、无服务器、无服务商。但成本与能力受限明显。gpt-oss-120b体积65GB，超双旗舰显卡显存；全精度GLM-5.2需8卡数据中心节点，GPU投入超30万美元。

成本正在坍缩

尽管能力差距仍在，隐私推理的工程与经济成本正快速下降。 enclave模式的吞吐损失已大幅收窄：Phala基准显示H100单卡损失不足7%，大模型接近零；NVIDIA Blackwell在397B模型上损失不到8%。Azure机密H100租价8.90美元/小时（较普通版+27%），而Phala等专业运营商已降至3.80美元起，低于普通卡价格。 NEAR AI提供带attestation的gpt-oss-120b API，定价与Amazon Bedrock、Together持平；在GLM-5.2与Kimi K2.6上，甚至更优。隐私不再昂贵——它正成为基础设施的可选项，而非奢侈品。

开源模型的破局点：私有微调

性能差距真实存在，但并非不可逾越。2024年6月，Bridgewater旗下AIA Labs与Thinking Machines联合实验表明：用专家标注微调的Qwen3-235B，在投资研判任务中准确率达84.7%，超越前沿模型（78.2%），错误率降低29.8%，推理成本低13.8倍。 关键在于方法论：强化学习（GRPO）+ round-robin batching + CISPO loss + on-policy distillation，全部围绕真实业务流设计——判断新闻重要性、识别央行信号、提取文档套话起点。 但训练过程本身仍非私有：标注数据经第三方Tinker API，算力租自云厂商。真正的闭环私有训练刚刚起步。3月，Workshop Labs与Tinfoil发布Silo——一套跑在TEE内的后训练栈，客户独掌密钥，两小时训练仅多耗11分钟。它通过冻结基座、仅训练小型adapter，支持万亿参数模型部署。 一个月后，Workshop Labs被Thinking Machines收购。这意味着：从数据准备、标注、RL循环到enclave内训练的全链路，正收束于同一实体之下。

Harness层的盲区

所有推理层隐私机制，都管不住agent发起的工具调用。日历读日程、数据库查记录、搜索引擎收关键词——每一次外联，都是明文裸奔的新路径。 主流解法仍是网关管控：Runlayer、MintMCP集中过滤PII、审核工具白名单、记录调用日志。但网关本身成为新信任点，且工具端仍可读明文、留副本。 结构级方案尝试突破：Phala将MCP server托管进TEE，提供attestation验证；但最终查询仍以明文抵达外部服务——enclave封住的是信使，不是目的地。 真正可验证的加密搜索仍在实验室。MIT的Tiptoe、Apple的Wally论文展示了可行性，但算力成本与规模门槛远未商用。Brave承诺零留存，Exa用神经索引语义匹配，但嵌入计算仍在服务器端明文完成。

缺口才是价值所在

Venice AI月吞吐1.3万亿token，Proton Lumo用户破千万，Phala日均处理20–30亿token——私有AI已不是概念，而是真实流量。但对比Google单月3200万亿token，它仍不足0.05%。 Google的Private AI Compute（PAC）只覆盖Pixel少数功能，因变现不依赖token。当实验室核心利润来自模型服务时，它们没有动力开放可验证架构。 因此，真正稀缺的不是enclave开关，也不是E2EE API——而是尚未解决的三块高地： • 关在enclave内的完整RL微调循环； • 端到端加密的工具调用链（包括搜索、数据库、API）； • 不暴露查询词的商用级私有索引。 谁率先拿下其中任一，卖的就不是服务，而是无法被价格战击穿的护城河。

结论：验证优于信任

对重执行、重agent的任务——比如自动填表、调度会议、调用API——选择信任尚可接受，因为工具链本身已暴露明文，前沿模型在此类场景的价值仍具合理性。 但对企业真正的alpha——战略推演、风险建模、行业洞见、多年经验沉淀的判断逻辑——必须选择验证。这些高阶思考，正是被“转移”的核心资产。 未来的竞争，不在谁调用更强的通用模型，而在谁能在自控边界内，用专有数据与专家知识，持续微调出领域专属的开源模型。基础设施正逐节点就位：enclave训练、E2EE上下文、attested harness、本地搜索雏形……私有AI不再等待未来，它正在交付途中。