藏在服务条款里的一条：Anthropic 默认留存30天日志，英伟达与 Palantir 已开始限制使用

一条没人读的服务条款，正在改变采购决策

据 The Information 报道，英伟达、Palantir、博思艾伦正在限制部分 Anthropic 模型的使用，其中 Palantir 明确要求给出不可撤销的零数据留存承诺。争议的源头是 Anthropic 自今年 6 月起，对 Fable 5、Mythos 5 等前沿模型默认保留 30 天使用数据，用途限于安全监测而非训练。

从模型厂商的角度，这个设计不难理解：前沿模型上线初期需要真实分布的数据来发现越狱、滥用和越权工具调用，30 天窗口是最小的可观测周期。但对一家把客户数据当成核心资产的金融机构、国防承包商或半导体公司来说，"30 天"本身就是风险敞口——它不是模型训练的问题，而是数据出境与合规审计的问题。

企业选模型，过去看三个指标：能力、延迟、价格。现在必须加上第四个——数据在对方机房里停留多久、谁能看到、什么时候删。第四个指标往往决定了前三个能不能用。

为什么多数人到现在才知道

信息差就在这里。模型厂商的发布材料会把能力指标写得极其详细，而留存策略通常放在企业条款的附件里；采购方在 POC 阶段用的是沙箱环境，合同谈判时才发现数据条款是另一套。等到安全团队介入，往往已经进入上线倒计时，只能接受默认设置。

更麻烦的是策略可能调整。业内已经出现过政策反复导致的信任争议：客户以为签的是零留存，实际上模型侧的默认值在版本更新中变了。开发者社区甚至出现了把 Claude 前端路由到更便宜模型端点做代理的做法，进一步放大了审计难度——这条链路里，数据经过了几方、留存了什么，几乎无法追溯。

EFS：把钥匙交到客户手里

Anthropic 于 9 月 1 日推出企业前沿安全防护 EFS，把安全日志存入客户自有云账户，密钥与审核权归客户，今秋起分阶段上线。这个方向是对的：与其让客户相信厂商的自律，不如把审计权交出去，让合规团队能用自己的工具链验证。

对企业而言，可操作的判断标准只有一句：在签合同之前，要求对方书面明确默认留存期、留存内容、访问主体、删除机制与变更通知义务——不是问"你们会不会拿我的数据训练"，而是问"我的数据在你们那里躺了几天，按什么流程被销毁，谁能证明"。