Anthropic 收購 Opaque Systems 將可驗證 AI 納入內部，但仍須交出實證

Anthropic 在這間安全初創公司僅於八個月前籌得資金後，便收購了 Opaque Systems，將一項關鍵的機密 AI 能力納入 Claude 開發商旗下。這宗 Anthropic Opaque Systems 收購案，讓 Anthropic 獲得一支專注於在運算期間保護敏感數據的團隊，同時亦即時凸顯技術前景與商業清晰度之間的矛盾。

Opaque 表示，其團隊將加入 Anthropic，而 Opaque Systems 則會逐步結束營運。交易財務條款未有披露，兩家公司亦未說明哪些產品、合約或員工將會轉移。

這個分別相當重要，因為企業不會購買抽象的機密性功能。他們需要獲支援的基礎設施、有文件記錄的控制措施、遷移計劃，以及證明這些控制措施在實際部署中有效的證據。

Opaque 曾嘗試透過機密運算、硬件支援的隔離，以及加密證明來提供這些證據。Anthropic 現在掌握這項工作的下一章。它面對的挑戰，是把專門的基礎設施轉化為客戶可評估、部署及審計的服務。

因此，主要競爭並非 Anthropic 與另一家模型實驗室之間的競爭，而是硬件強制驗證與目前仍主導大部分企業 AI 的政策式信任之間的較量。

Anthropic 收購 Opaque Systems 實際改變了甚麼

Anthropic 正獲得一支專門的安全團隊及其技術，而 Opaque 則將結束其獨立供應商的身分。

Opaque 的公開 下一章 表示，其團隊將加入 Anthropic，而公司正逐步結束營運。公告亦稱，其開源工作將會按照現有授權條款，透過 AgenTrust 繼續進行。

這種表述確認了組織層面的結果，卻未有交代交易結構。當中沒有披露收購價、交割條件、員工名單或產品整合時間表。

獨立的 收購報道 指出，財務條款未有披露，亦提到 Opaque 未說明逐步結束營運對現有客戶意味著甚麼。

這些缺失令外界無法準確區分這是傳統收購、技術授權，還是以指定人員為重點的收購式招聘。Opaque 清楚說明了實際結果，卻沒有交代其法律機制。

已知結果依然重要。一家銷售機密及可驗證 AI 基礎設施的獨立供應商，將不再獨立營運。其團隊將在一家主要模型供應商內繼續這項工作。

Opaque 源自加州大學柏克萊分校 RISELab 的研究。最初的 Opaque 專案 專注於受保護數據上的分散式分析，包括防止資訊透過數據存取模式洩漏的防護措施。

公司其後由分析工作負載擴展至 AI 工作負載及代理管治。其平台結合軟件政策與機密運行環境，藉此在受保護硬件中執行這些政策。

機密運行環境會將程式碼及數據置於受信任執行環境（TEE）之內。TEE 是一個由硬件支援的隔離區域，可限制其他軟件存取，包括具特權的系統元件。

證明機制則增加了驗證層。它會產生關於該受保護環境內運行的軟件及配置的加密證據。

這個差別令機密運算有別於一般加密。儲存加密保護靜態數據，網絡加密則保護傳輸中的數據；AI 系統同時必須讓數據可供運算使用。

在傳統推理期間，系統需要可用地存取提示詞、檢索文件、輸出內容及模型參數。這便形成一個敏感窗口，雲端營運商、遭入侵的主機或設計欠佳的軟件，都可能接觸到明文資訊。

Opaque 的技術透過限制未加密數據可存在的位置，處理這種暴露風險。它亦嘗試證明，經批准的工作負載會按照指定規則處理該等資訊。

因此，這宗收購帶給 Anthropic 的不僅是私隱營銷訊息，更包括曾參與 AI 應用程式底層執行及驗證層工作的專才。

不過，這宗交易不會自動帶來新的 Claude 功能。Anthropic 尚未宣布與此交易相關、可普遍使用的機密推理產品。

它亦未公布 Opaque 客戶的遷移方案。這些客戶需要知道現有部署會否繼續、會否改變擁有權，或是否需要替換。

事件改變的是誰擁有這方面的專業知識；重要的產品改變仍在前方。

為何 Anthropic 現在需要機密 AI

AI 代理會令數據安全更複雜，因為它們會檢索資訊、呼叫工具，並在單次模型請求以外採取行動。

基本聊天機械人接收提示詞後回傳文字。企業代理則可以搜尋內部文件、查詢數據庫、更新客戶紀錄、傳送訊息，或觸發財務工作流程。

每增加一項連接，就多一條敏感資訊可流動的路徑。模型只是由身分系統、檢索服務、工具伺服器、日誌及外部應用程式組成的鏈條中的一環。

提示詞注入令問題進一步加劇。隱藏於電郵或文件中的惡意指令，可在內容進入代理的上下文後影響其行為。

軟件護欄可檢查輸入及輸出，卻無法保證所有有害指令都會被識別。模型仍具機率性，而攻擊者可調整其提示詞。

Opaque 的方法將執行機制置於內容層之下。管治系統界定允許使用的工具、數據及行動，受保護硬件則執行由此產生的邊界。

這種架構旨在減少對模型必須完美行事的依賴。即使代理遵循了受操控的指令，基礎設施仍可限制其存取權限及網絡路徑。

Anthropic 在收購 Opaque 前已研究這個技術方向。其 機密推理設計 描述在推理期間保護用戶數據、模型輸入、輸出、權重或架構的系統。

該論文說明，TEE 可將記憶體與作業系統隔離，並產生已簽署的證明文件。這些文件可顯示預期的程式碼在未經未授權修改的情況下運行。

它亦識別出三個利益不同的角色：模型擁有者希望保護模型權重，用戶希望保護數據，而服務供應商則提供基礎設施。

可信的機密推理服務必須同時滿足三方的要求。若模型權重、檢索數據或生成輸出從其他地方外洩，僅保護提示詞並不足夠。

Anthropic 的興趣亦反映企業 AI 不斷改變的經濟模式。模型品質本身並不決定受監管機構會否部署代理。

銀行或會希望代理審查跨司法管轄區的交易。醫療機構或會希望代理概述包含受保護健康資訊的紀錄。

法律團隊或會希望 Claude 審閱享有特權保護的文件。工程團隊則可能把代理連接至原始碼、事故報告、憑證及生產系統。

這些機構需要的不僅是供應商不會以其數據訓練模型的承諾，還需要針對存取、保留、管理及工具使用的技術限制。

它們亦需要可用於安全審查及合規審計的證據。加密證明可透過顯示哪個獲批准的工作負載處理了請求，支援這個程序。

這正是 Anthropic 收購 Opaque Systems 融入更大策略的地方。Anthropic 希望 Claude 執行更具後果的工作，但具後果的工作會接觸更多敏感系統。

這宗收購處理了令這類存取變得可接受所需的基礎設施。它無法解決所有安全問題，但瞄準了隨著代理權限增加而日益擴大的障礙。

Opaque 的時機突顯了這項價值。其 2026 年 2 月的 融資詳情 描述了一輪 2,400 萬美元 B 輪融資，以及約 3 億美元的投後估值。

公司表示，該輪融資令總融資額達到 5,550 萬美元，並將 Anthropic 列為其客戶及合作夥伴之一。

這些數字來自 Opaque，而非獨立財務披露。不過，它們顯示公司在逐步結束營運前數月，仍把自己定位為一家已獲融資、正在營運的企業。

Anthropic 沒有等到機密 AI 成為成熟商品，便在企業代理採用仍在成形之際，把現有供應商的專業知識納入公司內部。

可驗證 AI 挑戰以信任為本的雲端模式

這宗收購顯示，對於處理機構最敏感資訊的 AI 系統而言，單靠政策聲明正變得不足夠。

大部分雲端 AI 服務要求客戶信任多項相互重疊的承諾。供應商承諾有限度保留數據、限制員工存取、保護基礎設施，以及訂明模型訓練政策。

合約及審計令這些承諾具備意義，但它們仍是透過客戶無法持續檢查的程序執行的機構性保證。

可驗證 AI 改變了信任模式。客戶不再只依賴供應商的聲明，而是可取得關於處理其數據的環境的技術證據。

遠端證明可報告在受保護工作負載內運行的軟件量度值。客戶可在釋放敏感資訊前，將這些量度值與獲批准的配置作比較。

這並不會消除信任。客戶仍依賴硬件製造商、加密系統、軟件建構者及審計人員。

不過，它將部分信任由機構聲譽轉移至可測試的控制措施。買方可拒絕不符合預期的工作負載，而非在處理發生後接受承諾。

Apple 透過 Private Cloud Compute 建立了一個顯著的參考點。其設計結合自訂硬件、證明機制、有限的管理存取，以及供安全研究使用的公開資源。

Apple 的系統服務不同市場，並使用其自行控制的基礎設施。然而，它展示了私隱保障由政策主導，走向可執行及可供外部檢視保證的方向。

Opaque 則追求更具可移植性的企業層。其所述目標，是支援機構在敏感數據、受監管系統及多樣化基礎設施上運行模型及代理。

Anthropic 現可圍繞 Claude 調整這項工作。公司可能將機密推理整合至其 API、企業產品、代理平台或指定雲端部署。

它亦可主要運用 Opaque 的專長來保護模型權重及內部基礎設施。這將讓 Anthropic 受惠，而毋須立即推出面向客戶的服務。

這種模糊性正是事件的核心。收購安全專業知識，並不能揭示哪一方會獲得最強的保障。

Anthropic 有動機同時保障客戶資料及其專有模型。兩者目標雖有重疊，卻並不完全相同。

一個旨在防止模型遭竊的系統，可能會隔離權重，卻仍讓客戶依賴傳統的資料處理控制措施。以客戶為本的設計，亦必須保護提示詞、輸出內容、檢索文件及代理活動。

它必須處理營運存取問題。工程師往往需要日誌、除錯工具及效能遙測資料來維護服務，但這些功能可能會暴露敏感資訊。

移除特權存取可提升保密性，卻會令故障更難診斷。若團隊無法檢查受影響環境，受限的可觀測性亦可能拖慢事故應對。

證明（attestation）帶來另一項挑戰。只有當客戶知道哪些量測結果值得信賴，並能將其連結至可理解的政策時，相關證據才有用。

密碼學結果可以證明某個特定二進位檔曾被執行，但無法獨立證明該二進位檔設計完善、沒有漏洞，或符合買方預期的政策。

因此，透明度至關重要。客戶需要文件說明威脅模型、可信組件、軟件量測結果、更新流程及已知限制。

獨立研究人員需要有足夠的存取權來測試系統。否則，證明可能淪為採購團隊無法有意義評估的技術徽章。

Anthropic 的規模為其解決這些部署問題提供資源。它對模型及服務技術堆疊的控制，亦可能簡化整合。

同樣的垂直控制亦會帶來集中風險。Opaque 先前將自身定位為可支援多個模型、雲端及企業環境的基礎設施。

一旦其團隊加入 Anthropic，客戶便須判斷這種可攜性是否得以保留。與 Claude 緊密綁定的安全層可提供深度整合，卻會降低供應商獨立性。

這是核心的逆轉。原本旨在降低對強大平台擁有者依賴的技術，正進入其中一個平台之內。

這結果未必是負面的。Anthropic 可將機密 AI 帶給更多用戶，觸及範圍遠超小型供應商單獨所能達到的程度。

然而，驗證的最大價值在於減少對供應商的信任需要。Anthropic 必須在產品設計中保留這種獨立性，而非僅停留於措辭上。

這宗交易未能證明甚麼

機密運算可收窄重要的攻擊面，但它並不能令代理變得安全，也不能消除受保護硬件周邊的風險。

TEE 在執行期間為程式碼和資料建立邊界。它無法決定該邊界內的程式碼是否本應存取有關資料。

若獲批准的代理獲授過多權限，受保護的執行環境可能會忠實地執行有缺陷的政策。系統或許仍具保密性，卻依然可能採取未經授權的業務行動。

代理可能刪除紀錄、發出錯誤付款，或透過獲批准的工具披露資訊。硬件隔離不能取代身分控制、授權、審核及應用程式安全。

該技術亦依賴龐大的可信運算基礎。當中可包括處理器、韌體、hypervisor、enclave 軟件、驅動程式、密碼學函式庫及證明服務。

任何關鍵組件的漏洞均可能削弱保障。供應鏈遭入侵亦構成另一項風險，因為硬件和軟件來自多個供應商。

Anthropic 自身的設計論文承認系統性及實作特定的威脅。論文討論了 enclave 軟件、hypervisor、AI 加速器及第三方組件的漏洞。

論文亦指出，推論以外的不安全系統可破壞保密性。若應用程式將受保護請求的輸出複製到暴露的日誌中，相關保護幾乎沒有好處。

備份、快取、監控系統及連接工具均需要獨立控制。端到端服務必須涵蓋整條資料路徑。

效能是另一項取捨。受保護環境可能限制記憶體、加速器存取、除錯及系統設定。

大型模型推論高度依賴 GPU 及其他加速器。要將可信執行延伸至 CPU、加速器、記憶體及網絡，會增加工程複雜度。

因此，客戶將需要延遲、吞吐量、可靠性及工作負載相容性的基準測試。收購後的 Anthropic 產品尚未公布任何此類資料。

這宗交易亦令 Opaque 現有用戶處於不明朗狀態。SecurityWeek 報道，該公司尚未說明逐步結束業務會如何影響他們。

對安全基礎設施而言，遷移尤其敏感。客戶可能已圍繞 Opaque 平台建立政策、證明、審計程序及合規文件。

改變這項基礎不僅是搬遷帳戶。機構必須驗證新架構，並更新風險評估。

開源延續性提供了一定保護。Opaque 表示，Weight Custody Manifest、Agent Manifest、Confidential MCP、Confidential A2A 及 TRACE 將繼續透過 AgenTrust 提供。

然而，可用性並不等於持續維護。開發者需要了解管治細節、貢獻者活躍度、發佈計劃、漏洞處理及相容性承諾。

據 Opaque 表示，Confidential Computing Summit 將透過 Linux Foundation 繼續舉辦。這使業界論壇能與 Anthropic 保持分離。

商業平台的未來仍較不明確。買方不應假設每項 Opaque 功能都會成為受支援的 Claude 功能。

他們亦應避免把這次收購視為對 Opaque 聲稱的第三方驗證。Anthropic 的決定顯示策略性興趣，而非對每項效能或安全主張的獨立證明。

Opaque 表示，其平台可產生可驗證證據，並加速投入生產環境的部署。這些聲稱須在每名客戶的工作負載及威脅模型下接受技術評估。

值得信賴的推出應包括已發布的架構、可重現的證明、獨立評估及明確限制。它亦應說明 Anthropic 營運人員可以及不可以存取甚麼。

若缺乏這些細節，這宗交易仍只是人才及技術訊號。它尚未證明 Claude 提供端到端的機密代理執行。

哪些人將面對 Anthropic 機密 AI 動向的壓力

雲端服務供應商、模型實驗室及獨立安全供應商，如今均面臨壓力，須令私隱保障在技術上更易驗證。

即時壓力落在向受監管企業銷售服務的競爭模型供應商身上。他們必須說明，模型主動處理敏感資訊時，該些資訊如何持續受到保障。

有關保留資料及訓練的傳統承諾仍然重要。然而，面對承諾硬件隔離及密碼學證明的系統，這些承諾如今顯得不完整。

OpenAI、Google、Microsoft、Amazon 及其他供應商已在其基礎設施中採用各類機密運算技術。競爭問題在於產品整合及客戶可見度。

供應商可在內部運行安全硬件，卻不向客戶提供有用證據。可驗證 AI 需要一個介面，讓客戶檢查或驗證工作負載。

該介面可能會提供已簽署量測結果、獲批准的軟件身分、透明度日誌或經獨立審計的部署紀錄。

最強的方案將把這些證據連結至應用程式政策。安全團隊應能驗證代理在哪裏運行，以及它可存取哪些資源。

雲端服務供應商面對相關挑戰。他們提供機密推論所依賴的處理器、加速器、網絡及證明服務。

除非 Anthropic 自行建立每一層，否則它仍將依賴該等基礎設施。因此，即使模型供應商擁有更多安全軟件，超大規模雲端服務供應商仍是重要合作夥伴。

獨立機密運算供應商面對不同壓力。Anthropic 的動向驗證了其類別，同時可能吸收一名具知名度的競爭對手。

中立供應商可透過強調可攜性作出回應。使用多個模型的企業，可能偏好一套橫跨所有模型的管治及證明層。

當買方希望避免由模型供應商自行定義、營運及驗證其控制措施時，這種獨立性便顯得珍貴。

這次收購亦影響構建檢索及代理系統的開發者。安全不能再止於模型 API。

團隊必須追蹤資訊如何由本機檔案流向嵌入向量、向量儲存庫、提示詞、工具呼叫、回應及日誌。

一個可搜尋的知識庫說明了實際問題。有用的 AI 需要存取內部脈絡，但每一個連接都會擴大受保護的資料路徑。

開發者應詢問，機密執行是否只涵蓋推論，還是亦涵蓋檢索、政策評估、工具路由及結果處理。

他們應檢查哪些組件位於已證明的邊界內。受保護的模型呼叫無法保護會檢索機密文件的未受保護連接器。

企業買方亦應區分三種不同保障。私隱涉及誰可看見資料，完整性涉及程式碼或資料是否被更改，而管治涉及哪些行動獲准進行。

機密運算可支援這三者，但只有透過完整設計才能做到。單靠硬件隔離無法定義業務權限，亦無法驗證代理的輸出。

採購團隊應要求具體證據，而非籠統的機密 AI 標籤。相關材料包括威脅模型、證明格式、審計報告、事故程序及受支援硬件設定。

他們亦應詢問誰控制軟件更新。當供應商發布新的獲批准量測結果時，已證明的工作負載便可改變。

客戶需要了解，他們能否延遲更新、拒絕某個版本，或在容許處理敏感請求前檢查變更。

因此，最佳的競爭回應不會是另一句私隱口號，而會是一項能提供易理解且可測試保障的產品。

Anthropic 已收購能協助建立這類產品的人才。競爭對手如今有理由在 Anthropic 定義買方期望之前，展示同等證據。

三個訊號將顯示這次收購是否重要

只有當 Anthropic 將 Opaque 的專長轉化為具明確客戶及社群承諾、可驗證的產品時，這宗交易才會產生重大影響。

第一個訊號是 Anthropic 發布有文件記錄的機密推論服務。它應列明受保護資料、支援的模型、部署環境，以及營運人員存取權的確切邊界。

若發布內容包含客戶可驗證的證明，將加強這次收購改變 Claude 企業安全性的論點。沒有客戶證據的內部安全功能，則會削弱這種解讀。

應留意架構文件，而非一般公告。最有用的披露會列明可信硬件、軟件量測結果、金鑰處理、更新控制及已知限制。

第二個訊號是為 Opaque 客戶制定具體的遷移計劃。Anthropic 或 Opaque 應說明合約延續、支援期限、資料處理方式、產品替代方案及匯出選項。

詳盡的計劃將顯示 Anthropic 收購了一項有意持續支援的營運能力。若持續保持沉默，則可能意味這宗交易更側重於人才及知識產權。

客戶不應只能從網站公告推斷自身的安全狀況。受影響的工作負載可能涉及金融、醫療、政府或專有資料。

第三個訊號是 Opaque 開放專案是否獲得持續維護。發布活動、具名維護者、安全政策及外部貢獻，將反映這些專案是否仍是獨立資源。

健康的社群治理將支持 Anthropic 所稱可驗證 AI 能惠及更廣泛生態系統的主張。若儲存庫陷入停滯，將加深外界對收購後可攜性下降的憂慮。

在買家將 Anthropic 收購 Opaque Systems 視為已完成的產品故事之前，這些訊號應該出現。目前，這項事件確立的是方向，而非完成。

Anthropic 已認識到，處理敏感資訊的代理需要可強制執行的界限。它亦已將一支具備相關研究及部署經驗的團隊納入公司。

更艱巨的工作現在才開始。Anthropic 必須證明其新控制措施能保護客戶、維持可獨立測試，並涵蓋整條代理資料路徑。

開發者及企業買家應在每一層要求證據：哪些工作負載曾運行、它可存取哪些資料、套用了哪項政策，以及誰可核實結果？

這些答案將決定機密 AI 會成為可行的安全模型，還是另一項客戶只能選擇信任的承諾。