「我们不拿你的数据训练」是一句承诺，「你的数据从未离开你的电脑」才是一个事实
Published:
Navier-Stokes 之争并没有证明谁偷了谁的东西。它证明的是：那个把研究押在里面的人，根本无从查证。
这个问题第一次变得真实
想象你花了一年时间，做出一个还没有任何人见过的结果。
它不在 arXiv 上。它不在公开的 GitHub 仓库里。它不在任何已发表的文献中。它只存在于你的笔记里、你和合作者的消息里，以及那个你连续几个月每天往里粘贴草稿的 AI 助手里。
值得认真想一想的，是最后那个位置。
2026 年 9 月 7 日，纽约大学数学家 Tristan Buckmaster 发布了一份声明，讲述他与 Anthropic 研究员 Levent Alpöge 在完成一组流体方程有限时间爆破（finite-time blowup）结果时发生的事情。这项工作处在通往 Navier-Stokes 千禧年大奖难题的路径上。数学本身也许会载入史册，Buckmaster 自己把它称为该领域的「深蓝对卡斯帕罗夫时刻」。
但在他的叙述中，有一段话与流体力学毫无关系，却与我们今天每个人的工作方式高度相关：
“I asked whether the model had been trained on, or had access to, our sessions in Codex, into which we had been putting all our drafts for the whole of this project. I was told the model did not look up user data. I asked again, about training, and I did not get an answer.”
（我问，他们的模型是否被训练过我们的 Codex 会话，或者是否访问过这些会话，而整个项目期间我们所有的草稿都放在那里面。对方告诉我，模型并没有查阅用户数据。我再次追问训练的问题，没有得到答复。）
请再读一遍，因为关键词是「我问」。
他必须去问。而站在他的位置上，他拿到的那个答复，就是他能得到的全部证据。
双方到底说了什么
这里需要非常精确，因为精确本身就是整个论点。
Buckmaster 很谨慎。考虑到当时的处境，他谨慎得令人意外。他在声明里明确写下了免责的一段：
“I have not seen OpenAI’s proof. I do not know what their model did, or how. I do not know whether our data was used. I am not accusing anyone of anything.”
（我没有看过 OpenAI 的证明。我不知道他们的模型做了什么，也不知道是怎么做的。我不知道我们的数据是否被使用过。我没有在指控任何人。）
OpenAI 随后公开回应，措辞同样谨慎：
“We (the researchers and the agents) did not see any of their work through any means until they released it publicly, in particular, no specific user data was accessed in order to solve this problem.”
（我们（研究人员和智能体）在他们公开发布之前，没有通过任何途径看到他们的工作；特别是，为解决这个问题没有访问过任何特定的用户数据。）
而在同一份声明中，还有这样一句：
“While unlikely, we cannot rule out that de-identified data derived from their usage of our products helped improve our models.”
（虽然可能性不大，但我们无法排除：来自他们使用我们产品所产生的去标识化数据，曾帮助改进过我们的模型。）
OpenAI 首席研究官 Mark Chen 把这个通行做法说得更直白：是的，公司会使用用户反馈和去标识化数据来改进 ChatGPT 和 Codex；而且照他的说法，每一家大模型公司都这么做。
所以局面是：一方没有提出指控，另一方给出了一个范围被限定得很窄的否认，外加一句主动补上的保留。就公开的证据而言，在数据这件事上并不存在任何不当行为的证明。
还有一件事需要单独拎出来，因为很容易被混为一谈。Buckmaster 的声明里还描述了一场关于署名与功劳的争议，包括有人提议把他的合作者从论文中拿掉。那场争议很严重，也仍有争论，但那不是本文要谈的。下文只涉及范围更窄的那个问题：数据。
存在的是另一件更让人不舒服的事。
问题不是「窃取」，问题是外部无法核查
先把数学上的是非放到一边，只看信息结构。
一方有条件去查清什么东西流经了自己的系统：存在哪些日志、保留了什么、什么进入了哪一次训练、谁在什么时候访问过什么。另一方，也就是客户，那个把未发表成果放进这些会话里的人，几乎看不到其中任何一项。
这个落差不是丑闻。它是使用别人的电脑时正常的、可预期的、设计使然的状态。
企业合同可以缩小这个落差，而且这些条款确实值得争取。大客户可以拿到管理端日志、可配置的保留期限、合同承诺、专线网络，某些情况下还有第三方审计报告。但这些描述的都是边界之外的部分。它们没有一项能让你自己进到服务商的系统里去跑那条查询。当你想知道某一次具体会话发生了什么，你能做的动作就是去问，然后掂量对方给的答复。Buckmaster 问了，他得到的是一个不完整的答复。
安全领域把这叫做信息不对称。它写在架构里，而不是写在谁的品德里。
关闭训练解决的是政策问题，不是信任问题
大多数隐私讨论就是在这里走偏的。
总有人说：把训练关掉就行了。这确实是有用的建议。面向个人的 AI 产品提供训练开关；Business、Enterprise 和 API 层默认就不用于训练。OpenAI 自己的开发者文档写道：”data sent to the OpenAI API is not used to train or improve OpenAI models (unless you explicitly opt in to share data with us)”（发送到 OpenAI API 的数据不会被用于训练或改进 OpenAI 的模型，除非你明确选择与我们共享数据）。
这些都是真实的保护措施。我不是要否定它们。
但请注意它们的性质：它们是关于一家公司会如何处理「已经拿到手的数据」的规则。
同一份 OpenAI 文档还写道，滥用监控日志”may contain certain customer content, such as prompts and responses”（可能包含某些客户内容，例如提示词和回复），并且这些日志默认”generated for all API feature usage and retained for up to 30 days”（对所有 API 功能的使用都会生成，并最长保留 30 天）。同一页也列出了两个方向上的例外：少数端点完全不生成滥用监控日志；而在法律要求或需要防止危害时，保留时间可以更长。通过审批的客户可以申请零数据保留（Zero Data Retention），即便如此，文档仍注明部分端点”may still store application state”（仍可能存储应用状态），而被儿童安全筛查标记的图片无论如何都会被”retained for manual review”（保留以供人工审核）。文档还指出，你自己接入的远程工具服务器有它们各自的数据保留政策，那不是模型提供方能替你承诺的。
我引用这些 API 规则，是为了说明这类系统是怎么搭起来的，而不是在断言 Buckmaster 自己的会话适用哪一条。他的会话属于哪个产品层级、适用哪套规则，我不知道。
这里没有任何阴谋。上述每一项机制都有站得住脚的理由：阻止滥用、排查故障、维持产品运转、满足法律要求。
要点只有一个：
「不用于训练」和「从未被处理、从未被存储、从未被碰过」，是两个不同的主张。 关闭训练给你的是前者。只有架构才能给你后者。
所以这个论点最锋利的版本不是「OpenAI 不可信」，而是：
关闭训练解决的是训练政策问题。它并没有把第三方从你的信任模型里移除。
本地 AI 真正改变的是什么
跑在你自己掌控的硬件上的模型，具有一种不同的性质。它不是「更好的承诺」，而是「不再需要承诺」。
你的提示词不离开这台机器。你的代码库不会被上传到别人的智能体沙箱里。你未发表的定理不会跨越组织边界。你的检索索引和长期记忆留在你自己拥有的磁盘上。这里不存在需要去问的「保留期限」，因为不存在正在做保留的第三方系统。
最强的隐私控制从来就不是一个勾选框。它是：一开始就不产生这次数据传输。
这是计算机安全里最古老的思路之一：减少必须被信任的参与方数量。每移除一方，你就少读一份政策、少担心一批日志、少受一次未来政策变更的影响。
本地 AI 移除的，是非常大的一方。
本地 AI 做不到什么，这一点我想说清楚
移除一个参与方，并不等于移除风险。如果我只讲对自己有利的那一半，那我就正好在做我自己所抱怨的那件事。
「本地」这个词承担了太多含义，而且在实践中经常并不成立。一个模型跑在你机器上、但会去调用网页搜索、远程工具服务器、软件包仓库或托管沙箱的助手，早就已经把你的上下文送出去了。很多打着本地旗号的工具正是如此。真正的边界是你的提示词所经过的整条链路，而不是矩阵乘法发生在哪台机器上。
模型文件本身就是一条供应链。你从陌生人那里下载了权重、运行时和一堆依赖。它们中的任何一个都可能偷偷联网，而一次更新就可能在你不再关注之后改变行为。
并且，你自己的机器现在成了最薄弱的一环。没有加密的笔记本、无人看管的屏幕、你早就忘了还开着的云备份、崩溃转储、搜索索引、一个有管理员权限的同事：这些都不是假想，而当数据还放在加固过的数据中心里时，它们本来是别人的问题。有一个很实在的论点是：一家运维良好的服务商，保护数据的能力可能强过一位研究者的个人笔记本。
所以诚实的说法要比那句口号窄得多。本地推理只在一个具体风险上给你更强的边界，也就是服务商侧的访问与保留；而且前提是整条工具链真的离线，或者你确认过它到底会跟谁通信。作为交换，它把另一批责任交到了你手上。
最强的反驳，以及我认为它没有回答的部分
一个真正做这套系统的人，大概会这样回应：
「你是在拿一个面向个人的聊天窗口，去比一个理想化的离线配置。这不是真实的对照。一套认真的企业部署会给你写进合同的不训练承诺、可配置的保留期限、加密、访问治理、专线网络、审计事件，以及经过审批的零保留模式。而你的本地方案里是更弱的模型、没有验证过的权重，还有一个多半会配置错的用户。信任不是非黑即白的，一家治理良好的服务商，可能比你自己更值得信任。」
这个论点很强。对大多数组织、在大多数时候，它是成立的，我自己也会这么用。
它没有回答的，是那种特殊情形：信息的价值高到、或者时效敏感到，连很小的剩余概率都不可接受；并且事后你希望能够拿出证据说明到底发生了什么，而不是引用一条政策。合同给你的是事后的救济手段，它给不了你「亲自核查」的能力。对于一份千禧年难题的证明、一份还没到优先权日的专利申请、或者一桩尚未公布的并购，「我们可以提起法律主张」是一个比「这份信息从来就不在那里」弱得多的位置。
不是「只用本地」，而是有规则的混合
我不打算假装今天的前沿模型可以被替代。它们不能。面对困难问题，能力差距是真实存在的，往往值得付出代价，包括以信任作为代价。
Buckmaster 本人同时使用了 Claude 和 Codex，用自己的科研经费支付了给 OpenAI 的账单，并且表示数学家与模型的协作把一年的工作压缩到了一个月。这才是真正的头条。工具确实起了作用。
所以真正有用的架构是混合式的，并且附带一条你要在粘贴任何东西之前就定好的规则：
日常的、机密的，本地跑。私有检索库和长期项目记忆，留在自己机器上。只有当额外的能力确实值得把某一份特定信息移出边界时，才把问题送给云端前沿模型。而且送出去的时候，只送最小必要的部分：抽象过的问题，而不是整份草稿。
问题已经悄悄变了。过去三年，它是：
哪个模型最聪明？
现在它同时还是：
我的哪些信息，才应该离开这台机器？
大多数用 AI 处理机密工作的人，从来没有明确回答过第二个问题。Buckmaster 被迫在事后、在公开场合、在完全无法核查的情况下回答它。那是一个很糟糕的开始思考的时机。
值得记住的一句话
「我们不拿你的数据训练」是一项政策。政策由人书写，人可以修改它、重新解释它，或者开一个你永远看不到的例外。
「你的数据从未离开你的电脑」是一种架构。架构不需要被信任，它只需要是真的。
无论 Buckmaster、Alpöge 与 OpenAI 之间究竟发生了什么，真正持久的教训都不是关于某一家公司。它是：在外部世界看到任何东西之前的好几个月，AI 就已经进入了实验室、进入了代码库、进入了交易谈判、进入了法律卷宗。
如果某份信息重要到「一旦得知它在别人基础设施里的确切流转路径你会很难受」，那么正确的做法不是更仔细地去读隐私政策。
而是不要把它发出去。