AI隐私 — 华尔街为什么拒绝 ChatGPT？数据 IP 泄漏背后的私有 AI 军备竞赛

作者：Jeff @IOSG

说实话，华尔街那帮人精，为啥最早对 ChatGPT 说“不”？你猜怎么着？不是不好用，是不敢用——每发一条请求，公司数据就以明文跑到闭源模型商的服务器上。Palantir 的 CEO 在 CNBC 骂了 20 分钟，说这是“alpha 转移”，自家 IP 喂了别人。节目播完，PLTR 直接涨了 8%。

闭源模型正在白嫖你的数据

过去二十年，企业把数据切碎了给不同 SaaS 厂商，谁也不敢拿切片练核心。但 AI 不一样——它要求你把全部门、全流程的材料一次性交上去，“最大化生产力”。结果呢？模型商拿着这些数据训练新功能，你连知情权都没有。

2023 年 5 月，三星工程师把芯片源代码喂进 ChatGPT，公司直接全网封杀。2023 年 2 月，ChatGPT 推出才 3 个月，华尔街大行就开始限制员工使用。2025 年，IBM 发现影子 AI（员工用私人账号上传公司数据）已经卷进五分之一的数据泄露事件，每次平均多烧 67 万美元。

更吓人的是法院传票。 2025 年 5 月，法院命令 OpenAI 保留用户已删除的聊天记录，11 月又把 2000 万条交给《纽约时报》做证据。Palisades 纵火案、佛罗里达双尸命案，ChatGPT 对话都成了呈堂证供。Sam Altman 亲口承认：ChatGPT 对话不受法律特权保护，“可能被要求交出”。

不是只有罪犯才需要隐私。Kolmogorov Law 在 2025 年 10 月调查了 1000 名美国 AI 用户：50% 的人不知道对话可以被传唤，三分之二的人认为应该跟律师保密同等保护。你扪心自问，知道吗？

隐私 AI 目前怎么防？两种路子

协议级隐私：许个愿

你的 prompt 经过 TLS 加密传到服务器，但服务器能读到明文。接下来全靠一张合同：零数据留存（ZDR） 或者 匿名代理（比如 Duck.ai）。服务商承诺不留，但没法验证。说白了，就是信人。

结构级隐私：上硬件或加密

• TEE 机密计算：推理跑在芯片里的密封仓（enclave）里，连云运营方都打不开。H100 开启 enclave 的吞吐损失不到 7%，Blackwell 甚至不到 8%。Azure 机密 H100 贵 27%，但 Phala 这样的专用服务商反而比普通卡还便宜。
• E2EE 端到端加密：用户设备用 enclave 密钥加密 prompt，中间每一跳都是盲的。代价是工程复杂，新功能得重写。还得客户端代码开放可验证。
• FHE 全同态加密：服务器在永远打不开的盒子里算密文。但推理成本是明文的 1 万到 10 万倍，每个 token 要几秒到几分钟。定制芯片最快 2026 年出原型。
• 本地推理：模型跑在自己硬件上，不留痕迹。但最强开源模型 gpt-oss-120b 体积 65GB，一张旗舰显卡都装不下。全精度 GLM-5.2 要 8 卡节点，光 GPU 就 30 万美元。

结构级方案都只能跑开源模型。因为前沿模型权重是实验室的命根子，不可能交出来让别人审计。

开源模型能打赢吗？一个案例说明一切

Bridgewater 旗下 AIA Labs 跟 Thinking Machines 在 2025 年 6 月做了个实验：用专家标注微调 Qwen3-235B，在准确率上 84.7% 碾压前沿模型的 78.2%。少犯 29.8% 的错，推理成本低 13.8 倍。前沿模型+专家 prompt 都没跨过 80% 门槛，微调开源模型直接超了 4.7 个百分点。

不过训练过程还不私密——专家标注是 Bridgewater 的私有数据，但途经第三方服务。要彻底私有，得租裸集群或自己买硬件。带 attestation 的后训练栈刚出来：Workshop Labs 和 Tinfoil 的 Silo 把微调锁进 enclave，钥匙只归你。两小时训练多花 11 分钟，能装下万亿参数模型。

私有 AI 市场已经不小，但缺口还在

Venice AI 注册用户突破 350 万，月处理 1.3 万亿 token，刚完成估值 10 亿美元的 A 轮。Proton 的 Lumo 一年用户破 1000 万。Phala 日均在 OpenRouter 上跑 20-30 亿 token。

但跟 Google 比只是零头：Google 全线产品 2025 年 5 月处理了 3200 万亿 token，Venice 一个月的量约等于 Google 的 18 分钟。

Google 的 Private AI Compute 只覆盖少数 Pixel 功能，不覆盖 Gemini 应用。为什么敢让人审计？因为这些功能靠设备变现，不是靠卖 token。

普通用户呢？在 Lumo 和 Venice 上免费就能用无日志的开放模型私聊，18-20 美元订阅可以上 enclave 加密，不比 ChatGPT 贵。企业端，带 attestation 的端点（比如 NEAR AI）定价已经跟明文路线持平或更便宜。

但 agentic 工作流里，每一次工具调用还是会以明文传给外部服务器。协议层的网关只能记日志，封不住数据。结构级方案（如 Phala 把 MCP server 放进 TEE）只封住了信使，没封目的地。

加密搜索还没走出实验室。MIT 的 Tiptoe 在 3.6 亿网页上实现了不暴露查询的排序，但每次搜索算力成本高。Apple 的 Wally 要等到数百万并发才便宜，现在还做不到。

信任还是验证？给一句话建议

对于重执行、重 agent 的任务，选信任——因为每次工具调用都会把明文送出去，前沿模型闭环里值那个价。

对于区分公司 alpha 的高阶思考——战略、规划、专业判断，选验证。在自控边界内用专有数据微调开源模型，准确率和成本都能赢。基础设施正在到来：NVIDIA Vera Rubin NVL72 会把机密计算扩展到 72 卡，让前沿 RL 训练在隐私环境下可行。

可防守的阵地，是那个还没被解决的缺口：enclave 里的训练循环、端到端封死的工具调用、看不见词条的搜索索引。谁先做出来一件，就拿到了任何价格战都打不垮的东西。

---

常见问题 FAQ

普通用户需要担心 AI 隐私吗？

需要。你的聊天记录可能被法院调取，无论你是否删除。建议使用带零留存承诺的工具，或本地推理。2025 年调查显示 50% 用户不知情，别当那 50%。

私有 AI 比普通 AI 贵很多吗？

不一定。个人用户免费选项可用（Lumo、Venice），企业端 enclave 端点价格已与明文持平甚至更低。Phala 的 H100 起租价 3.80 美元/小时，低于 Lambda 普通卡。隐私的成本正在下降。

开源模型什么时候能追上闭源前沿？

目前通用能力落后约 4 个月，但在金融等垂直任务上，微调后的开源模型已能击败前沿模型（如 Bridgewater 案例准确率高 6.5 个百分点）。差距在专业领域快速缩小。