LLM 資料保留與 ZDR：誰能讀取你的提示詞
你的提示詞並不是直接送到「AI 公司」。在代理系統中，它會以明文經過一連串參與方，實際有哪些則取決於你的技術堆疊：代理框架的遙測、追蹤平台、記憶儲存區、分析工具、AI 閘道，以及三類推論供應商之一。每一方都有自己的保留政策、儲存區域與訓練條款。提示詞保留最久的通常不是模型供應商，而是你這一側的系統。模型供應商約 30 天後會刪除標準日誌，但採用預設設定的追蹤或記憶儲存區，通常會一直保留資料，直到你手動刪除。零資料保留（ZDR）確實有用，但它只針對其中一方，在三個面向中明確限制其中一個。本文會梳理完整資料鏈，說明各方保留哪些資料、保留多久，以及 ZDR 涵蓋和不涵蓋的範圍。
TL;DR
- 每個明文節點都能收集資料。代理端的追蹤與記憶儲存區，保留提示詞的時間遠比模型供應商更久。
- 供應商依功能決定保留政策：Claude API 的快取符合 ZDR 資格，批次工作會保留 29 天，Fable 5 則要求保留 30 天。
- 資料所在地取決於伺服器：DeepSeek 官方 API 將資料儲存在中國，沒有其他選項。
- 免費端點的風險最高：取得免費運算資源的代價通常是授權對方使用資料訓練。
- ZDR 經得起法院命令考驗：紐約時報案的資料保全命令，只排除採用零保留的 API 客戶。
代理系統中，誰能讀取你的提示詞？
路徑上的每一方都能讀取，而且實際路徑通常比多數團隊畫出的架構圖更長：
從左到右來看。代理層是你的，但通常不只由你掌控。框架內建遙測；追蹤與可觀測性平台的目的，就是儲存完整的提示詞與回應；記憶功能會把對話內容寫入不會自行過期的向量儲存區；網頁 UI 內的工作階段重播分析程式碼，甚至會在使用者輸入提示詞時就開始擷取，早於後端收到內容。閘道若由你自行執行，只涉及一方；若採用 SaaS，則涉及兩方，而 SaaS 閘道又分成兩類。第一類是多供應商聚合器：透過單一 API，把每個請求路由至背後不同的供應商。因此，它的資料處理狀況永遠是兩份政策的總和，也就是聚合器本身的政策，加上該次請求實際落到的主機供應商政策。第二類來自資安供應商：資料外洩防護（DLP）與防護規則閘道。這類產品的核心功能就是檢查 payload、遮蔽內容並執行政策，所以讀取每一則提示詞本來就是功能的一部分，而被標記的提示詞通常也會依設計保留為資安事件。
閘道後方有三類推論供應商：模型供應商自己的 API、在你的雲端租用環境中託管模型的雲端供應商，以及依各自日誌政策提供開放權重模型的 GPU 主機商。另一條繞過路徑，是在專用租戶或自己的 GPU 上自行託管推論。只有這條路徑不會讓第三方接觸明文，但它也有一項限制，後文會再說明。
後續所有問題都可用同一條原則整理：看得到與留得住是兩回事。 每個節點在技術上都能收集資料，實際是否收集則取決於預設值、設定與合約，而且資料鏈各處的預設行為差異極大。
誰真的會保留你的提示詞？
通常是你自己的工具，而且保留時間比任何其他參與方都久。資安問卷最常關注的供應商保留期限以天計算，但很少有人詢問的代理端儲存區，卻可能永久保留資料。
代理層本來就會保留資料。 追蹤平台的產品本質，就是一個儲存提示詞與輸出的資料庫。資料保留期限屬於專案設定，不是意外形成的政策。不同工具的預設值各異，值得逐一確認。GitHub Copilot 的 OpenTelemetry 整合預設會匯出 span 結構、時間與權杖數量，但不包含提示詞內容，除非你明確啟用內容擷取。這是較重視隱私的設計範本，其他代理工具也應採用。Cursor 的隱私模式之所以存在，是因為預設模式會分享程式碼資料。即使模型供應商在 30 天後刪除資料，你的追蹤儲存區到了第 300 天仍可能保有完整內容。
閘道保留哪些資料，由閘道自行決定。 閘道無法完全不保留用量紀錄，因為計費需要知道每個請求的權杖數量、模型與時間戳記。但它完全可以不儲存 payload：提示詞與回應本文可只經過記憶體，不寫入靜態儲存空間。不過，兩項常見的閘道功能會悄悄跨過這條界線。請求檢查或可觀測性主控台，依定義就是 payload 儲存，與前一個節點的追蹤 SaaS 完全相同。閘道端快取也會把提示詞內容儲存在閘道節點：語意快取會保存提示詞的 embedding 與完整快取回應；回應快取則會逐字保存請求與回應，並寫入閘道所在的磁碟。無論評估的是 SaaS 或自行託管閘道，都應把問題拆成三項：請求紀錄包含什麼、可觀測性介面會持續儲存什麼，以及快取會寫入什麼。
供應商依功能決定保留政策，不是整家公司套用同一套規則。 Anthropic 的 API 資料保留文件提供了實用的判斷方式，逐項揭露每個功能是否符合資格：提示詞快取符合 ZDR 資格，因為快取狀態只保存在記憶體中；批次處理會儲存工作 29 天，因為非同步工作需要儲存空間；程式碼執行容器最長保留 30 天；上傳檔案則會保留到你主動刪除。該頁有一句話直接點出重點：使用具狀態功能，代表你選擇讓該筆特定資料不受 ZDR 協議約束。OpenAI 的資料控制文件列出哪些端點符合 ZDR 資格，說明濫用監控日誌預設最長保留 30 天，並記載快取提示詞會以加密的鍵值張量形式儲存在 GPU 本機空間，且有明確的 TTL 上限。Claude API 的標準商業資料會在 30 天內刪除。
資料實際儲存在哪裡？
資料會留在提供服務的基礎設施所在地，不同類型的供應商會給出不同答案。由雲端託管的模型最明確：Amazon Bedrock 由雲端供應商擔任資料處理者，推論也會留在你選擇的區域，因此受監管產業的買方通常優先選擇這條路徑。模型供應商自己的 API，則會在供應商部署的地區執行。OpenAI 對大多數端點提供美國與歐盟區域處理；規模較小的供應商往往完全不公開相關資訊。最明確的極端案例是 DeepSeek。其隱私權政策表示，個人資料會在中華人民共和國境內收集、處理與儲存，官方 API 不提供美國或歐盟選項。同一組開放權重若改由美國 GPU 主機商提供，就沒有相同的地理位置限制。這清楚說明：模型資料會送到哪裡，取決於由誰提供服務，而不是模型本身。
主要副本之外，還有兩條資料尾巴。快取與批次檔案會在服務區域內依各自生命週期保留，與請求日誌分開計算。每家供應商也都有次處理者，也就是自己的下游供應商，以及備份系統。資料刪除承諾通常只表示從使用中的系統刪除，備份資料則有額外的同步刪除期限。若資料流圖只畫到 API 供應商的商標，至少還漏了這兩個節點。
誰會要求保留資料？誰會用你的提示詞訓練？
有三股不同力量會讓資料超過預設期限後繼續存在，其中只有一項會寫進供應商的行銷內容。
政策要求。 部分模型基於安全條件，會強制保留資料。Claude Fable 5 與 Mythos 5 即使面對 ZDR 客戶，也要求保留資料 30 天。系統會明確拒絕不符合條件的請求。若某個組織的資料保留設定不符要求，請求會收到 400 錯誤，而不是在未告知的情況下被接受。濫用升級處理則是另一種政策尾端：因違反使用政策而被標記的內容，採用完全不同的保留期限。Anthropic 的消費者政策記載，被標記的輸入與輸出最長可保留 2 年，分類器分數最長可保留 7 年。
法律保全。 紐約時報訴 OpenAI 案，最清楚地驗證了資料保留承諾。2025 年 5 月的資料保全命令要求 OpenAI 保存原本應刪除的輸出日誌，包含使用者已刪除的對話，且涵蓋多種消費者方案。該命令於同年 9 月縮小適用範圍，之後法院又命令 OpenAI 在證據開示程序中交出 2,000 萬筆聊天日誌。對 API 買方最重要的細節是：企業客戶與零資料保留客戶不在命令範圍內，因為沒有已保留的資料可供保存。刪除政策可能因訴訟保全命令而改變；從未儲存資料的架構則不會。
蒐集資料的中間商。 資料鏈中間確實有人因將明文變現而遭揭露，目前有紀錄的最大案例就發生在最靠近使用者的位置。2025 年 12 月，資安研究人員揭露，一款擁有數百萬安裝次數、號稱保護「隱私」的 VPN 瀏覽器擴充功能，會把指令碼注入 AI 聊天頁面，攔截 ChatGPT、Claude、Gemini 與其他五個助理的每一則提示詞和回應，並將對話傳給旗下的資料仲介公司。不論 VPN 是否開啟，資料蒐集都會持續進行，影響該發行商擴充功能系列約 800 萬名使用者。這起事件使用的是用戶端攔截器，而非 API 閘道，但同樣的教訓適用於圖中的每個節點：任何處理明文的中介者都可能成為資料收集點，變現是其誘因，而且通訊兩端都無法察覺攔截行為。是否信任中間商，應看其商業模式，而不是功能清單。
訓練條款。 主要供應商的商業 API 預設不會使用你的資料訓練；消費者產品則日益傾向預設使用，除非你主動退出。這也是代理流量應透過 API 金鑰，而非消費者帳號發送的原因之一。越來越多產品把是否用於訓練設為一個需要自行尋找的開關：消費者方案預設啟用訓練，退出選項藏在設定中；開發者工具把遙測或程式碼分享設定同時視為訓練同意；供應商以資料分享換取折扣或免費額度；聚合器儀表板則分別提供付費方案與免費方案的訓練開關。每個開關都可能以帳號為單位，有時則以工作區為單位。預設值也可能隨條款更新而變更，所以「之前檢查過一次」不算有效的控管。這些開關應與金鑰輪替一樣，列入定期稽核清單。
免費模型需要特別提醒。 前述所有風險都集中在同一個地方：免費方案。免費模型上線時，通常由能從流量獲利的一方補貼，最常見的就是模型供應商本身。因此，傳給免費版本的提示詞會依該方政策流向該方，授權用於訓練通常也是交換條件之一。資料會在該方營運所在地處理，若是中國供應商，就是在中國處理。聚合器閘道會公布各端點的資料政策，並提供排除會進行訓練之供應商的開關，正是因為這類條款最常出現在免費路由。實務原則很直接：把免費端點視為提交資料，而不是呼叫 API。免費推論一定有人買單，而代價通常就是你的提示詞。
ZDR 實際代表什麼？
ZDR 只會針對資料鏈中的一方，在三個面向中鎖定一個，而且僅適用於符合資格的功能。這不是缺點，而是它的定義。清楚掌握邊界，才能正確使用。
- 三個面向。 訓練用途、保留期限與人工存取彼此獨立。商業 API 原本就不會使用你的資料訓練；ZDR 將 payload 的保留期限降為零；人工存取則由濫用處理流程另行規範。把三者混為一談，就會誇大 ZDR 的保障範圍。
- ZDR 下仍會保留的資料。 用量中繼資料、計費紀錄、安全分類器輸出，以及你選用的任何具狀態功能。兩家主要供應商目前都改以架構方式處理濫用監控例外，而不是直接保留 payload：一方只保留不含 payload 的安全訊號，另一方只保留分類器結果。
- ZDR 涵蓋不到的地方。 供應商之前的所有節點都不在範圍內，包括追蹤儲存區、閘道日誌與向量記憶。最常見也最不一致的資料保留做法，就是與模型供應商簽訂 ZDR 協議，卻讓追蹤 SaaS 無限期保存每一則提示詞。
- 自行託管的限制。 在自己的 GPU 上執行開放權重模型，可以移除所有第三方，但自己的基礎設施會接手整個問題：推論伺服器的請求日誌、存取日誌與追蹤檔案。自行託管只是轉移資料保留面；只有主動整理日誌，才能真正縮小範圍。
Synthorai 如何處理
閘道節點由我們負責，因此承諾可以明確落實。在零保留模式下，請求與回應本文只經過記憶體，不會寫入靜態儲存空間。系統只保留計費所需的用量紀錄：時間戳記、模型、權杖數量，以及內容雜湊。發生爭議時，可用雜湊比對請求，而不必儲存實際內容。在上游端，路由前就會先篩選供應商。Synthorai 只接入承諾對我們的流量採用零資料保留的供應商，唯一有明確文件記載的例外是 Claude Fable 5。該模型供應商強制要求保留資料 30 天，無法透過合約排除。選擇供應商就是選擇資料保留政策。閘道的工作，是針對每條路由明確揭露這項屬性，而不是把它藏在政策 PDF 裡。Fable 5 路由會把保留要求列為正式中繼資料，不會等到事後才讓使用者發現。
常見問題
LLM 供應商預設會使用 API 資料訓練嗎？
不會。主要供應商的商業 API 預設不會使用客戶資料訓練，每家供應商的資料控制文件都載有這項承諾。例外主要集中在其他服務：採取預設加入而非主動同意機制的消費者產品、部分提供開放權重模型的 GPU 主機商，以及把訓練權利納入交換條件的免費端點。
ZDR 是否代表供應商完全不儲存任何資料？
不是。ZDR 代表符合資格的功能不會保留提示詞與回應 payload。用量中繼資料、計費紀錄與安全分類器輸出仍會保留。批次工作或檔案上傳等具狀態功能，本質上就需要儲存資料，因此不在 ZDR 範圍內。應閱讀功能資格表，而不是只看標題。
把正式環境資料傳給免費模型安全嗎？
請把免費端點視為提交資料，而不是呼叫 API。免費運算資源由能從流量獲利的一方補貼，授權對方用於訓練通常是交換條件之一，資料也會在補貼方的營運所在地處理。若只是可丟棄的實驗，這種交換或許合理；但只要內容包含客戶資料、程式碼或憑證，就很少值得承擔風險。
自行託管一定是最保護隱私的選項嗎？
自行託管確實能移除明文路徑上的所有第三方，但無法消除資料保留。推論伺服器、反向 Proxy 與追蹤系統預設都會寫入日誌，因此採用預設日誌設定的自行託管系統，可能比 ZDR API 保留更多提示詞資料。隱私取決於日誌設定，不是託管模式。
資料來源已於 2026-08-29 驗證：上文每項供應商相關說法，都連結至供應商官方文件或法院原始紀錄。此領域的政策在本文發布前一個月內就變更了兩次，因此請以連結內容作為最新依據。本文是工程角度的解讀，不是法律意見。