AREX Feed Article
OpenAI 开发者账号称 Private Safety Processing 不保留提示与响应，记录留在客户环境
11 月 5 日 16:54 UTC（北京时间 11 月 6 日 00:54），OpenAI 的开发者账号 介绍 Private Safety Processing（PSP）。帖文称，这套机制让 OpenAI 能为了安全目的审查相关的 API 请求，同时不保留用户的提示（prompts）或响应（responses）；记录留在客户自己的环境中，由自动安全代理（automated safety agent）审查，OpenAI 人员无法访问这些内容。
同一线程的把读者引向 OpenAI 的。把帖文、指南和 10 月 26 日发布的放在一起看，「不保留」的准确含义是：OpenAI 不保留提示和响应的副本。这些内容会以加密形式写进客户控制的区域云存储桶，在客户存储中至少保留 30 天，再由 OpenAI 的自动审查环境解密。
一条说明帖，补在 10 月白皮书之后
帖文本身很短，配了一段说明视频，没有说明哪些地区、哪些套餐可以使用，支持哪些云存储服务，什么条件会触发审查，也没有解释加密和访问控制怎么做。触发条件、加密和访问控制的细节写在开发者指南和白皮书中。
PSP 也不是 11 月 5 日才第一次出现。OpenAI 在 中预览了这项能力，称现有兼容零数据保留（ZDR）的安全系统只逐条评估互动，而 PSP 试图在不让 OpenAI 人员接触内容的前提下识别跨请求的模式。9 月 22 日，OpenAI 在同一篇公告中更新称，开始分阶段向 API 客户推出 PSP。白皮书首页标注的发布日期是 10 月 26 日。11 月 5 日的帖文更像是面向开发者的说明和配置入口。
这项能力要解决的是跨请求风险。OpenAI 在公告里说，最严重的 AI 安全风险不总能从单条互动看出来，可能要在多条互动放在一起时才显现。Axios 在 8 月，竞争对手 Anthropic 已要求使用其最强模型的企业客户接受 30 天数据保留，理由正是检测跨请求攻击；OpenAI 则把 PSP 作为继续提供 ZDR 的办法。
记录写进客户的桶，OpenAI 只留索引
按指南，一次互动（提示和模型响应）会在两种情况下被转送审查：触发了安全分类器的信号，或者被抽样策略选中。指南明确写道，转送不代表已经违规。
随后，系统把这条记录加密，写入客户所在区域的云存储桶；OpenAI 保留一个索引，里面是运营元数据和存储引用，不是内容副本。加密和写入是异步的，不阻塞推理。白皮书补充了失败路径：如果加密、存储授权或区域检查失败，写入会被阻止，系统不会退回到 OpenAI 自己的存储。
客户要在自己的存储里保留这些加密记录至少 30 天，生命周期规则不能更短；OpenAI 的解密能力在 30 天后自动过期，元数据索引里的条目也会在 30 天后删除。OpenAI 管理的混合公钥加密（HPKE）密钥每日轮换，30 天后销毁。
抽样比例有明确上限。白皮书称，在网络安全等双用途领域，OpenAI 最多可以抽样 100% 的流量做异步审查，具体上限因产品而异，也可能低得多。被写进客户桶的记录不一定都触发了分类器。
自动代理如何解密，又如何把明文关在运行时里
异步审查开始时，OpenAI 的客户存储网关（Customer Storage Gateway，CSG）从客户的桶里取回加密记录；记录的身份、完整性、过期时间、区域和可选的客户密钥授权通过验证后，审查才会开始。然后，安全审查运行时（Safety Review Runtime，SRR）通过安全密钥释放（Secure Key Release，SKR）请求 OpenAI 管理的 HPKE 私钥。
密钥只有在运行时身份、硬件认证、软件测量和密钥释放策略都通过验证后才会释放；白皮书称，没有任何人类访问组拥有释放密钥的角色。SRR 是唯一被设计为可以解密客户内容的工作负载。
记录可以有两层加密：内层是 OpenAI 管理的 HPKE，外层是可选的客户侧企业密钥管理（Enterprise Key Management，EKM）。启用 EKM 时，OpenAI 的内层密钥不足以单独解密，还需要客户密钥管理服务的授权。撤销 EKM 授权会阻止后续解密，但不会删除已经保留的记录，也不会撤销已经完成的处理。
自动安全代理在 SRR 里运行，使用经过批准的审查提示词和输出模式。只有预设的、有界的安全信号和批准的运营元数据能以明文离开；自由文本、对话摘录、模型解释和不限长度的值会被拒绝。审查提示词的每次变更需要另一名授权人员批准，哈希写入防篡改透明日志，运行时在使用前核验。
客户如果有 Compliance API 权限，可以看到记录级的保留和访问事件，例如 RETENTION_CREATED 和 CONTENT_ACCESSED，但事件里没有内容。
客户责任与几条例外
这套机制把不少操作责任交给了客户。指南要求客户通过 OpenAI 的 admin API，为每个启用 PSP 的项目和数据驻留位置注册并验证存储桶；配置生命周期规则，确保记录不会早于 30 天被删除；维护区域存储、服务权限和客户密钥授权；在 OpenAI 通知配置问题后修复；并回应安全关切通知。
客户也可以撤销访问。移除客户存储网关所用云身份的桶访问权限后，CSG 不能再读写这个桶；桶和记录还在，恢复权限后可以重新访问。撤销不会撤销已经完成的处理，也不会停止对已经取回的记录的审查。
白皮书列出了一个例外：疑似儿童性虐待材料（CSAM）的图像仍会被保留以供人工审查和报告，即使启用了 ZDR。帖文里「OpenAI 人员无法访问」的说法，不覆盖疑似 CSAM 图像的人工审查。
白皮书的讨论范围仅限 OpenAI 第一方流量，Amazon Bedrock 和其他第三方分发不在其中。另一个变体 Private Retention with PSP 把加密记录放在 OpenAI 管理的基础设施里，不属于 ZDR；帖文里「记录留在你的环境」对应的是 ZDR with PSP 这一配置，不是这个变体。
误判之后，客户来查
自动审查发现值得进一步调查的关切时，OpenAI 可以向客户发出通知。白皮书说，通知不是执法决定，而是双方协作调查的起点。客户可以在自己的系统里调查，选择把相关背景或内容分享给 OpenAI；OpenAI 人员可以查看客户主动分享的信息，以及自动审查返回的有界信号。
客户可以澄清合法活动，或支持对已确认滥用的调查。OpenAI 也可以通过自动审查路径重新处理记录，但前提是记录仍在、客户存储和 EKM 授权仍有效、OpenAI 的解密密钥尚未过期。
这套流程把误判的解释放在客户和 OpenAI 的协作里，OpenAI 人员不直接读原始对话。
白皮书把「限制同一内容在多次审查中的累计披露」列为未来工作。单次审查的明文被输出模式限制住了，但同一内容被反复审查时累计会披露多少，OpenAI 目前没有给出上限。