Anthropic 挪走的是证据，不是探测器

发布了什么

Anthropic 是与 100 多家客户共同开发出这套方案的，覆盖金融服务、医疗、制造、电信、法律、零售与公共部门，并有 AWS、Google Cloud 与 Microsoft Azure 的云伙伴参与。它将从今年秋季稍晚开始分批推出，并且不收费——而「不收费」这件事本身，就是一个关于「它属于哪一类东西」的信号。

它真正解开的那个矛盾

零数据留存是打开受监管买家大门的那项控制措施，而它一直是一把钝器：厂商不保留这次交互。Anthropic 自己对这个问题的表述，是「那样为什么会痛」的最清楚说明。老练的滥用装不进单独一次交互——它铺展在多个会话与多个账号之上；所以，孤立地分析每一次交互、并随即丢弃数据，会让跨时间的关联变得不可能。

这不是一种政策偏好，这是算术。一个只看得到一条消息的分类器，分不出一位安全研究员的提问和一场有耐心的行动中的第十四步，因为有辨别力的信号在序列里。于是 ZDR 客户买的是机密性，付出的代价是检测质量，而几乎没有人把这笔交换明码标价过——因为那份成本按其构造就是看不见的。

有意思的是 Anthropic 选择挪走了哪一半。更省事的做法本是造一个更小更弱的单轮探测器，然后宣布问题解决。他们却让存储挪了位、让分析原地不动，这既保住了检测质量，也改变了证据的保管权。下面每一条后果，都从这一个选择里长出来。

挪走证据，就挪走了义务

在厂商侧监控之下，一家企业面对「自家员工的严重滥用」时的位置是舒服的，而且很少被明说：厂商在看，厂商来判断什么越了线；如果什么也没被报上来，那就什么也不必处置。ZDR 把这件事变得更简单，它连「看」也一并取消了。两种安排都不要求客户对此持有一个立场。

EFS 把两者都终结了。告警发给你、人工复核默认归你，于是「我们并不知情」这句话，在它过去自动成立的那唯一一处，不再可用。这不是对设计的批评——这是正确的分配，因为雇主才是真正能采取行动的一方——但这是一次义务上的变更，而它将落到那些把这份公告只当作一次隐私改进来读的组织头上。

而那座存储本身，也是一件有着自己生命的产物。一个装着你员工提示词的存储桶，在你的账号里，受你的留存政策管辖，就意味着它在诉讼中可被调取、落在数据主体访问请求的范围内、并受法律保全约束。在 EFS 之前，对一个 ZDR 客户来说这样东西根本不存在。它该活多久，如今成了贵司里必须有人做的一个决定；而默认值——那个存储桶碰巧带着的生命周期规则——不是一个决定，那是一次意外。

范围很窄。语料不窄。

那些自动化系统在找什么，是被明说出来的，而且刻意很窄：严重滥用，具体指构建攻击性网络能力或生物能力的尝试，以及被窃或泄露凭据的迹象。这是一个前沿安全的范围。它不是一款员工监控产品，Anthropic 也没有要告诉你「你哪个工程师正在把客户数据粘进提示词里」。

但为了支撑这份很窄的检测而被留下来的数据，出于必要是很宽的——一段滚动窗口的流量，就是一段关于一切的滚动窗口。于是「被标记的」与「被记录的」之间的那道缝，如今归你管，而它同时指向两个方向。那种已获批、向内的内部人模式——一名获授权员工问一个问题，一台智能体做了四千次逐条合规的读取——不在这个分类器的范围内，却完整地存在于语料之中。如果你哪天想检测它，证据终于放在一个你可以查询的地方了。如果你压根不打算查，那你也仍然在存着它。

这两种立场都站得住。而两者都不是默认值——默认值是：当这件事作为一次基础设施变更推行、而房间里没有法务的人时，你会得到的那个东西。

这条告警队列不是 SOC 队列

条件反射是把告警路由到安全运营中心，而这是错的反射，理由是结构性的。SOC 的处置手册以「未授权访问」为钥匙：一个不该出现在这里的身份、一套本不该可达的系统、一份从不可能的位置被使用的凭据。分诊问题是「这被允许吗？」，而答案驱动了下游的一切。

一条 EFS 告警说的是：一名已通过认证的员工，在其正常权限之内的、获授权的使用。没有任何东西被违反，所以一名照着标准流程走的 SOC 分析师会找不到任何策略违规，然后把它关掉。在这里真正要紧的告警，需要另一种复核人、另一个问题——「考虑到他是谁、当时在做什么，这件事本该发生吗？」——以及一条通向 HR、法务与一位具名高管、而不是通向遏制处置的路径。

关于这位复核人，有两条约束值得尽早定下来。在欧盟，读取可识别员工的逐字提示词文本就是员工监控，而在实行共同决定制的法域里，这在成为一个工具问题之前，先是一个职工委员会的问题。而且这位复核人需要对一座你刚刚让它变得高度敏感的存储拥有常驻访问权——所以这个存储桶的访问模型，配得上与生产环境访问模型同等的审视。

你握住了什么，又仍然没握住什么

你现在握住了语料。你没有握住分类器，而这处不对称就是这份设计诚实的边界。你没法调假阳率，没法拿自己的流量去量召回率；而当一条告警导向一项雇佣后果时，你没法向职工委员会、仲裁庭或那名员工解释这个判定是怎么做出来的——除了「一家厂商的模型标记了它」。

这不构成拒绝这套方案的理由——厂商侧监控给你的严格更少，而 ZDR 压根没有给你任何跨会话检测。这构成的理由是：在第一条告警到来之前就把申诉路径写好，并把一次标记当作一场人类调查的起点，而不是一项结论。任何允许「一个不可审计的分类器的输出」不经独立人工环节就变成一项不利决定的流程，第一次被挑战时就会崩。

价格本身也在告诉你一些事。EFS 不收费，而「免费」是你对「一件属于销售前提而非产品」的东西的称呼：它是 Anthropic 在向要求零留存的账号销售的同时、把安全监控完整保住的办法。这份利益一致是真的，而它同时也解释了为什么这套方案的形状是先照着 Anthropic 的义务、其次才照着你的内部风险项目来的。

在分批推送轮到你之前，把这些定下来

延伸阅读

本站相关：

• 对智能体的内部滥用——这座语料能佐证、而这个分类器不会标记的那种「已获批、向内」的模式。
• 从智能体追踪里脱敏 PII——同一个保管权问题，落在你自己生成的追踪上。
• 留存与法律保全——这个新存储桶在装满之前需要什么。
• 检测智能体被攻陷——用你自己的信号做检测的那一侧。
• 严重事件报告——一条如今归你所有的告警，下一步该去哪里。
• 数据驻留与主权——ZDR 当初对这批买家为何要紧。

来源：

• Developing Enterprise Frontier Safeguards with our customers——Anthropic，2026 年 9 月 1 日
• Anthropic's Enterprise Frontier Safeguards lets your Claude logs stay in your cloud——Help Net Security
• Anthropic introduces zero-retention AI safety monitoring for enterprises——CSO Online