Private AI崛起：华尔街为何对ChatGPT和Claude说“不”？

7月1日，Palantir CEO Alex Karp在CNBC上的一场20分钟采访被部分媒体称为“精神崩溃”。他直言企业正在向AI实验室支付token溢价，同时眼睁睁看着自家IP流向模型商。Karp将这种数据泄漏称为“alpha的转移”，并指出转移发生在架构层——每一条发送给闭源模型的请求都以明文形式抵达服务商的服务器。就在节目播出几天前，Palantir宣布与NVIDIA合作，在客户自控环境中运行开放的Nemotron模型，并附上九条AI主权宣言。节目播出后，PLTR股价跳涨8%。

过去二十年，企业依靠协议层面的信任采用云软件。每家SaaS厂商仅看到企业数据的切片，如Salesforce看销售渠道、Workday看人事、Jira看开发迭代。然而，今天的AI工作流主张一次性上传全部数据，并串联各部门的结构化上下文以最大化生产力。上游服务商如今有能力拿这些数据开发新功能，而非让其闲置。
没有人在减速。Anthropic年化营收5月达470亿美元，较2025年底的90亿美元大幅跃升；OpenAI则在2月突破9亿周活跃用户。两家公司今年春天完成新一轮融资，估值逼近1万亿美元，并预计以更高市值IPO。多年的隐私与IP指控未能削弱其增长势头。

部分企业早已行动。2023年2月，ChatGPT发布不到三个月，华尔街主要银行就已限制其使用。同年5月，三星工程师将芯片源代码泄漏至ChatGPT后，公司全网封禁生成式AI。作为回应，OpenAI上线ChatGPT Enterprise，承诺不用商业数据训练并附加零数据留存（ZDR）协议。但合同仅锁住公司账号：IBM发现到2025年，影子AI（员工通过个人账号向未经批准的AI工具输入公司数据）已卷入五分之一的数据泄露事件，重度使用使泄露成本平均增加67万美元。在安全培训公司Anagram的一项调查中，四成员工表示为了更快完成任务愿意违反AI使用政策。

2025年5月，法院命令OpenAI留存用户已删除的消费级聊天；11月，法官又要求将其中2000万条聊天记录移交《纽约时报》律师作为证据。紧接着刑事案件：Palisades火灾纵火案被告的ChatGPT记录进入证据，佛罗里达双尸命案宣誓书引用嫌疑人关于处理尸体的提问。Sam Altman在2025年7月访谈中承认，ChatGPT对话不受法律特权保护，诉讼中OpenAI“可能被要求交出”用户聊天记录。Kolmogorov Law调查显示，50%的美国AI用户不知对话可被传唤，三分之二认为应获得与律师或医生同等的保护。

自托管或运行在可验证环境中的开源模型正在快速追赶，但最强一批在通用能力上仍落后前沿闭源模型约4个月。这使企业和个人站在岔路口：要么牺牲隐私换取模型质量，要么继续向Anthropic服务器发送敏感材料以抢占生产力优势。目前市场上没有完美方案。隐私AI的实现机制均围绕同一事件：prompt离开设备、穿过网络、落在模型机器上、返回回复。机制间差别在于明文在哪存在、谁能读取，以及如何验证私密性。协议级隐私靠承诺，结构级隐私则通过硬件、密码学或物理证明取代信任。

Bridgewater旗下AIA Labs与Thinking Machines在6月30日给出了一个案例：用专家标注微调的开放模型Qwen3-235B，在准确率和成本上同时击败了前沿模型。研究中，团队通过强化学习微调，任务取自投资人员日常工作流。前沿模型在简单prompt下平均得分约50%，专家prompt后冲到78.2%，低于80%门槛；而微调后Qwen拿到84.7%，比前沿最优少犯29.8%的错，推理成本低13.8倍。这证明开源模型能在特定领域取胜，但训练过程仍依赖第三方服务，信任假设未完全解除。

隐私推理的成本正在压缩。单卡推理上，enclave模式H100吞吐损失平均不到7%，多卡推理中NVIDIA Blackwell芯片间流量加密损失不到8%。Azure上机密H100 SKU租价每小时8.90美元，比不开enclave的6.98美元贵27%，但专用enclave运营商Phala以每小时3.80美元出租，低于Lambda普通SXM卡的价格。NEAR AI的E2EE API端点定价与明文路线持平。隐私推理本身的性能损耗已不再是决定性约束。

然而，Harness层的隐私问题仍横在所有机制之外。agent发起的每次外部工具调用都开出一条新路径，工具服务器读明文查询，留不留副本取决于其条款。结构级方案如Phala将MCP server托管进TEE，但工具最终仍需将明文交给服务提供方。只有少数目的地（如苹果的私有信息检索、MongoDB的Queryable Encryption）能在不读明文情况下作答，但仅限于结构化查询。开放式搜索的最佳答案仍止于信任。

展望未来，私有AI需求快速增长。Venice AI突破350万注册用户和月1.3万亿token吞吐，完成估值10亿美元的Series A。Proton的Lumo上线一年用户破1000万。Phala在OpenRouter上日均跑20-30亿token。然而相比Google每日3200万亿token的处理量，隐私AI仅占极小份额。Google的Private AI Compute（PAC）仅覆盖部分Pixel功能，不覆盖Gemini应用。当下的托管方案也不完美：E2EE需重建功能，私有harness依赖协议，后训练仍信任第三方。但缺口正在收窄：对普通消费者，Lumo和Venice提供免费私密聊天；对企业，带attestation的端点已比明文路线更便宜；NVIDIA即将推出的Vera Rubin NVL72将机密计算扩展到72卡机架，使前沿RL循环在隐私环境下更可行。

关键价值捕获落在尚未解决的领域：enclave内的训练循环、端到端封死的工具调用、看不见词条的搜索索引。谁先完成其中之一，就能卖出任何价格战都无法商品化的产品。对于重执行、重agent的任务，选信任；对于区分公司的核心战略思考，选验证。在一家公司alpha所在的领域，专家调校的开放模型已在准确率和成本上同时击败前沿，而构建它的隐私基础设施正逐个节点到来。