Anthropic 收购 Opaque Systems，将可验证 AI 纳入内部，但证明仍需落地

安全初创公司 Opaque Systems 在融资仅八个月后便被 Anthropic 收购，这项交易将一项关键的机密 AI 能力纳入 Claude 开发商内部。Anthropic 收购 Opaque Systems，使其获得了一支专注于在计算过程中保护敏感数据的团队。但这也立即暴露出技术前景与商业清晰度之间的矛盾。

Opaque 表示，其团队将加入 Anthropic，而 Opaque Systems 将逐步结束运营。交易金额尚未披露，两家公司也都未说明哪些产品、合同或员工将被转移。

这一差异至关重要，因为企业购买的并非抽象的保密功能。它们需要有支持保障的基础设施、有文档说明的控制措施、迁移计划，以及证明这些控制措施能在真实部署中发挥作用的证据。

Opaque 尝试通过机密计算、硬件支持的隔离和加密证明来提供这些证据。Anthropic 现已掌控这项工作的下一阶段。其挑战在于，将专业化基础设施转化为客户能够评估、部署和审计的服务。

因此，核心竞争并非 Anthropic 与另一家模型实验室之间的较量，而是硬件强制验证与当下仍主导大量企业 AI 的基于政策的信任模式之间的竞争。

Anthropic 收购 Opaque Systems 实际改变了什么

Anthropic 正在获得一支专业安全团队及其技术，而 Opaque 将结束作为独立供应商的运营。

Opaque 公开发布的下一篇章称，其团队将加入 Anthropic，公司则会逐步结束运营。该公告还表示，其开源工作将在现有许可证下通过 AgenTrust 继续推进。

这一表述确认了组织层面的结果，但交易结构仍不明确。公告未披露收购价格、交割条件、员工名单或产品整合时间表。

独立收购报道称，交易财务条款未予披露。报道还指出，Opaque 并未说明业务收尾对现有客户意味着什么。

这些缺失的信息使人无法准确区分这究竟是常规收购、技术许可，还是以特定人员为核心的团队收购。Opaque 对实际结果的描述很清晰，但未解释其法律机制。

已知结果仍然意义重大。一家销售机密且可验证 AI 基础设施的独立供应商将不再独立运营。其团队将在一家大型模型提供商内部继续这项工作。

Opaque 源于加州大学伯克利分校 RISELab 开展的研究。最初的 Opaque 项目聚焦于受保护数据上的分布式分析，包括防御通过数据访问模式泄露信息的风险。

此后，该公司从分析领域扩展到 AI 工作负载和智能体治理。其平台将软件策略与机密运行时相结合，旨在受保护硬件中执行这些策略。

机密运行时会将代码和数据置于可信执行环境（TEE）中。TEE 是一种由硬件支持的隔离区域，可限制其他软件的访问，包括具有特权的系统组件。

证明机制则增加了验证层。它会生成有关该受保护环境中运行的软件和配置的加密证据。

这一区别使机密计算有别于普通加密。存储加密保护静态数据，网络加密保护传输中的数据；但 AI 系统同样需要让数据可供计算使用。

在传统推理过程中，系统需要可用地访问提示词、检索到的文档、输出结果和模型参数。这会形成一个敏感窗口，云服务运营方、遭入侵的主机或设计不当的软件可能在此期间接触到明文信息。

Opaque 的技术通过限制未加密数据可存在的位置来应对这一暴露风险。它还尝试证明，经批准的工作负载会按照规定规则处理相关信息。

因此，这项收购带给 Anthropic 的不只是隐私营销信息。它还带来了曾参与构建 AI 应用底层执行与验证层的人员。

不过，这笔交易并不会自动带来一项新的 Claude 功能。Anthropic 尚未宣布与该交易相关、面向公众普遍可用的机密推理产品。

它也尚未公布 Opaque 客户的迁移路径。这些客户需要知道，现有部署是否会继续运行、变更所有权，或需要替换。

此次事件改变了专业知识的归属方。真正重要的产品变化仍在后面。

Anthropic 为何现在需要机密 AI

AI 智能体会让数据安全变得更复杂，因为它们不仅处理单次模型请求，还会检索信息、调用工具并执行操作。

基础聊天机器人接收提示词并返回文本。企业智能体则可以搜索内部文档、查询数据库、更新客户记录、发送消息，或触发金融工作流。

每增加一个连接点，敏感信息就多了一条可能流动的路径。模型只是由身份系统、检索服务、工具服务器、日志和外部应用构成的链条中的一个组件。

提示词注入进一步加剧了问题。隐藏在电子邮件或文档中的恶意指令，可能在相关内容进入智能体上下文后影响其行为。

软件护栏可以检查输入和输出，但无法保证识别每一条有害指令。模型仍具概率性，攻击者也可以调整提示词。

Opaque 的方法将执行机制置于内容层之下。治理系统定义允许使用的工具、数据和操作，而受保护硬件则执行由此形成的边界。

这种架构旨在降低对模型必须完美行为的依赖。即便智能体遵循了遭操纵的指令，基础设施仍可限制其访问权限和网络路径。

Anthropic 在收购 Opaque 前已研究过这一技术方向。其机密推理设计描述了在推理期间保护用户数据、模型输入、输出、权重或架构的系统。

该论文解释称，TEE 会将内存与操作系统隔离，并生成已签名的证明文档。这些文档可显示预期代码在未被未经授权修改的情况下运行。

论文还指出，存在三类利益不同的参与方。模型所有者希望保护模型权重，用户希望保护数据，服务提供商则提供基础设施。

可信的机密推理服务必须满足这三方的需求。如果模型权重、检索数据或生成输出从其他环节泄露，仅保护提示词是不够的。

Anthropic 的兴趣也源于企业 AI 经济模式的变化。模型质量本身并不决定受监管机构是否会部署智能体。

银行可能希望智能体审查跨司法辖区的交易。医疗机构可能希望它汇总包含受保护健康信息的记录。

法务团队可能希望 Claude 审查享有保密特权的文件。工程团队可能将智能体连接至源代码、事故报告、凭据和生产系统。

这些组织需要的不只是供应商承诺不会用其数据训练模型。它们还需要对访问、留存、管理和工具使用施加技术限制。

它们也需要为安全审查和合规审计提供证据。加密证明可通过展示哪一个获批准的工作负载处理了某项请求，来支持这一流程。

这正是 Anthropic 收购 Opaque Systems 契合更大战略的地方。Anthropic 希望 Claude 承担更具后果性的工作，但这类工作会触及更多敏感系统。

此次收购针对的是让这种访问变得可接受所需的基础设施。它不能解决所有安全问题，但瞄准了一个会随着智能体权限扩大而日益显著的障碍。

Opaque 的融资时间也突显了这一价值。其 2026 年 2 月发布的融资细节称，公司完成 2,400 万美元 B 轮融资，投后估值约为 3 亿美元。

该公司称，这轮融资使其总融资额达到 5,550 万美元。它还将 Anthropic 列为其客户和合作伙伴之一。

这些数字来自 Opaque，而非独立财务披露。即便如此，它们仍表明，在业务收尾前数月，该公司仍将自己定位为一家获得融资、正在运营的企业。

Anthropic 没有等待机密 AI 成为成熟的大宗商品。在企业智能体采用仍处于形成阶段时，它便将现有供应商的专业能力纳入公司内部。

可验证 AI 挑战基于信任的云服务模式

此次收购表明，仅靠政策声明已越来越无法满足处理组织最敏感信息的 AI 系统需求。

大多数云端 AI 服务要求客户信任多项相互重叠的承诺。提供商承诺有限的数据留存、受限的员工访问、受保护的基础设施，以及明确的模型训练政策。

合同和审计使这些承诺具有约束力。然而，它们本质上仍是通过客户无法持续检查的流程来执行的组织性保证。

可验证 AI 改变了这一信任模式。客户不再只依赖提供商的声明，而是可以获得有关处理其数据的环境的技术证据。

远程证明可以报告受保护工作负载中运行软件的测量值。客户可在释放敏感信息前，将这些测量值与获批准的配置进行比对。

这并不能消除信任。客户仍然依赖硬件制造商、加密系统、软件构建者和审计机构。

但它将部分信任从机构声誉转移到可测试的控制措施上。买方可以拒绝意外的工作负载，而不必在处理已经发生后接受承诺。

Apple 通过 Private Cloud Compute树立了一个突出的参考点。其设计结合了定制硬件、证明机制、受限的管理访问和面向安全研究的公开资源。

Apple 的系统服务于不同市场，并使用其自主控制的基础设施。尽管如此，它仍展示了从基于政策的隐私，走向可执行且可由外部检查的保障措施这一发展方向。

Opaque 追求的是更具可移植性的企业层。其既定目标是支持组织在敏感数据、受监管系统和多样化基础设施上运行模型与智能体。

Anthropic 现在可以围绕 Claude 调整这项工作。该公司可能将机密推理整合进其 API、企业产品、智能体平台或特定云端部署中。

它也可能主要利用 Opaque 的专业能力来保护模型权重和内部基础设施。这将使 Anthropic 受益，但不会立即形成面向客户的服务。

这种模糊性正是这则消息的核心。收购安全专业能力，并不能说明哪一方将获得最强的保护。

Anthropic 有动力同时保护客户数据和其专有模型。这些目标彼此重叠，但并不完全相同。

旨在防止模型被盗的系统，可能会隔离权重，却让客户仍依赖传统的数据处理控制措施。以客户为中心的设计还必须保护提示词、输出、检索到的文档和智能体活动。

它还必须处理运营访问问题。工程师通常需要日志、调试工具和性能遥测数据来维护服务，但这些功能可能暴露敏感信息。

移除特权访问可提升保密性，却会使故障更难诊断。如果团队无法检查受影响的环境，受限的可观测性也可能拖慢事件响应。

证明呈现了另一项挑战。只有当客户知道应信任哪些测量值，并能将其与可理解的政策关联起来时，这些证据才有价值。

加密结果可以证明某个特定二进制文件曾运行。它无法独立证明该二进制文件设计良好、不存在漏洞，或符合买方预期的政策。

这使透明度至关重要。客户需要说明威胁模型、可信组件、软件测量值、更新流程和已知局限性的文档。

独立研究人员需要获得足够的访问权限来测试系统。否则，证明可能沦为采购团队无法进行有意义评估的技术徽章。

Anthropic 的规模为其解决这些部署问题提供了资源。它对模型和服务栈的控制也可能简化整合。

同样的纵向控制也带来了集中化风险。Opaque 此前将自己定位为可支持多种模型、云平台和企业环境的基础设施。

一旦其团队加入 Anthropic，客户就必须确定这种可移植性是否仍然存在。与 Claude 紧密绑定的安全层可提供深度整合，但会减少供应商独立性。

这正是核心逆转。原本旨在降低对强大平台所有者依赖的技术，正在进入这些平台之一的内部。

这种结果未必是负面的。Anthropic 能够将机密 AI 带给的用户，可能比一家较小供应商单独所能触及的更多。

然而，验证的最大价值在于减少对提供商的信任需求。Anthropic 必须在产品设计中保留这种独立性，而不只是停留在措辞上。

这笔交易无法证明什么

机密计算缩小了重要的攻击面，但它不会让智能体变得安全，也无法消除受保护硬件周边的风险。

TEE 会在执行期间围绕代码和数据建立边界。它并不决定该边界内的代码是否应当访问这些数据。

如果获批准的智能体被授予过多权限，受保护的执行环境仍可能忠实执行一项存在缺陷的政策。系统或许仍保持机密性，却依然可能执行未经授权的业务操作。

智能体可能删除一条记录、发送一笔错误付款，或通过获准工具泄露信息。硬件隔离不能取代身份控制、授权、审查和应用安全。

该技术还依赖于庞大的可信计算基。这个基础可能包括处理器、固件、虚拟机监控程序、飞地软件、驱动程序、加密库和证明服务。

任何关键组件中的漏洞都可能削弱保障。供应链受损则带来另一项风险，因为硬件和软件来自多家供应商。

Anthropic 自己的设计论文承认存在系统性和特定实现层面的威胁。论文讨论了飞地软件、虚拟机监控程序、AI 加速器和第三方组件中的漏洞。

论文还指出，推理之外的不安全系统可能破坏机密性。如果应用程序将受保护请求的输出复制到暴露的日志中，这种保护的价值就微乎其微。

备份、缓存、监控系统和连接的工具需要单独的控制措施。端到端服务必须覆盖整个数据路径。

性能也带来了另一项权衡。受保护环境可能限制内存、加速器访问、调试和系统配置。

大模型推理高度依赖 GPU 和其他加速器。将可信执行扩展到 CPU、加速器、内存和网络，会增加工程复杂度。

因此，客户将需要延迟、吞吐量、可靠性和工作负载兼容性的基准测试。尚未有针对收购后 Anthropic 产品的此类基准公布。

这笔交易也让 Opaque 的现有用户处于不确定的位置。SecurityWeek 报道称，该公司尚未说明业务收缩将如何影响他们。

对于安全基础设施而言，迁移尤其敏感。客户可能已围绕 Opaque 的平台建立了政策、证明、审计程序和合规文档。

改变这一基础不仅仅是迁移账户。组织必须验证新架构并更新风险评估。

开源延续性提供了一些保护。Opaque 表示，Weight Custody Manifest、Agent Manifest、Confidential MCP、Confidential A2A 和 TRACE 将继续通过 AgenTrust 提供。

然而，可用性并不等于维护。开发者需要了解治理细节、贡献者活跃度、发布计划、漏洞处理和兼容性承诺。

据 Opaque 称，Confidential Computing Summit 将继续通过 Linux Foundation 举办。这使行业论坛仍独立于 Anthropic。

商业平台的未来仍不够明确。买方不应假设 Opaque 的每项能力都会成为受支持的 Claude 功能。

他们也应避免将这次收购视为对 Opaque 主张的第三方验证。Anthropic 的决定表明其具有战略兴趣，而非独立证明每项性能或安全声明。

Opaque 表示，其平台可以生成可验证证据并加速生产部署。这些说法需要根据每位客户的工作负载和威胁模型进行技术评估。

一项可信的发布应包含公开的架构、可复现的证明、独立评估和明确的局限性。它还应说明 Anthropic 运营人员能够和不能够访问什么。

在缺少这些细节的情况下，这笔交易仍只是人才和技术层面的信号。它尚不能证明 Claude 提供端到端的机密智能体执行。

谁将因 Anthropic 的机密 AI 动向面临压力

云服务提供商、模型实验室和独立安全供应商如今面临压力，需要让隐私保障在技术上更具可验证性。

最直接的压力落在向受监管企业销售产品的竞争模型提供商身上。他们必须说明，在模型主动处理敏感信息时，这些信息如何保持受保护状态。

有关数据保留和训练的传统承诺仍然重要。但与承诺硬件隔离和加密证明的系统相比，它们如今显得并不完整。

OpenAI、Google、Microsoft、Amazon 和其他提供商已在其基础设施中采用多种机密计算技术。竞争问题在于产品整合和客户可见性。

提供商可以在内部运行安全硬件，却不向客户提供有用的证据。可验证 AI 需要一个界面，让客户能够检查或验证工作负载。

该界面可能会提供已签名的测量值、获批的软件身份、透明度日志或经独立审计的部署记录。

最强的产品将把这些证据与应用政策连接起来。安全团队应能同时验证智能体在何处运行，以及它能够访问哪些资源。

云服务提供商面临一项相关挑战。他们提供支撑机密推理的处理器、加速器、网络和证明服务。

除非 Anthropic 自行构建每一层，否则它仍将依赖这些基础设施。因此，即便模型提供商拥有更多安全软件，超大规模云服务商仍是重要合作伙伴。

独立机密计算供应商面临不同的压力。Anthropic 的举动验证了其所在类别，同时可能吸收一位知名竞争者。

中立供应商可以通过强调可移植性来应对。使用多个模型的企业可能更倾向于在所有模型之间采用统一的治理和证明层。

当买方希望避免让模型提供商自行定义、运营和验证其控制措施时，这种独立性就会变得有价值。

这次收购也与构建检索和智能体系统的开发者相关。安全不能再止步于模型 API。

团队必须追踪信息如何从本地文件流向嵌入向量、向量数据库、提示词、工具调用、响应和日志。

一个可搜索知识库说明了这一实际问题。实用的 AI 需要访问内部上下文，但每一条连接都会扩展受保护的数据路径。

开发者应询问机密执行仅覆盖推理，还是也覆盖检索、政策评估、工具路由和结果处理。

他们应检查哪些组件位于经过证明的边界内。一次受保护的模型调用，无法保护一个检索机密文档但未受保护的连接器。

企业买方还应区分三种不同的保障。隐私关注谁能看到数据，完整性关注代码或数据是否被更改，治理关注哪些行动被允许。

机密计算可以支持这三者，但前提是具备完整的设计。硬件隔离本身并不定义业务权限，也不验证智能体的输出。

采购团队应索取具体证据，而非宽泛的机密 AI 标签。相关材料包括威胁模型、证明格式、审计报告、事件处理程序和受支持的硬件配置。

他们还应询问谁控制软件更新。当提供商发布新的获批测量值时，经过证明的工作负载可能发生变化。

客户需要了解，他们能否延迟更新、拒绝某个版本，或在允许敏感请求之前检查变更。

因此，最佳的竞争回应不会是又一句隐私口号。它将是一款能呈现可理解且可测试保障的产品。

Anthropic 已获得能够帮助构建此类产品的人才。如今，竞争对手有理由在 Anthropic 定义买方预期之前展示同等证据。

三个信号将显示这次收购是否重要

只有当 Anthropic 将 Opaque 的专业能力转化为具有清晰客户与社区承诺的可验证产品时，这笔交易才会产生重大影响。

第一个信号是 Anthropic 发布有文档支持的机密推理功能。它应明确受保护的数据、支持的模型、部署环境，以及运营人员访问权限的确切边界。

包含客户可验证证明的发布，将加强这次收购改变 Claude 企业安全性的观点。缺少客户证据的内部安全功能，则会削弱这一解读。

应关注架构文档，而不是笼统公告。最有价值的披露应说明可信硬件、软件测量值、密钥处理、更新控制和已知局限性。

第二个信号是针对 Opaque 客户的具体迁移计划。Anthropic 或 Opaque 应说明合同延续、支持日期、数据处理方式、产品替代方案及导出选项。

一份详细计划将表明，Anthropic 收购的是其打算持续支持的运营能力。持续沉默则可能意味着，这笔交易更侧重于人才和知识产权。

客户不应只能通过网站公告来推断自身的安全态势。受影响的工作负载可能涉及金融、医疗、政府或专有信息。

第三个信号是 Opaque 开源项目是否得到持续、可见的维护。发布活动、明确的维护者、安全政策和外部贡献将揭示这些项目是否仍是独立资源。

健康的社区治理将支持 Anthropic 的主张：可验证 AI 能够惠及更广泛的生态系统。若代码库陷入停滞，人们将更担心收购后可移植性会下降。

这些信号应在买方将 Anthropic 对 Opaque Systems 的收购视为一个已完成的产品故事之前出现。目前，这一事件确立的是方向，而非完成。

Anthropic 已认识到，处理敏感信息的智能体需要可强制执行的边界。该公司也已将一支拥有相关研究和部署经验的团队纳入内部。

更困难的任务现在才刚开始。Anthropic 必须证明，其新的控制措施能够保护客户、保持可独立测试，并覆盖完整的智能体数据路径。

开发者和企业买家应在每一层要求证据：运行了哪个工作负载、它访问了哪些数据、适用了哪项政策，以及谁能验证结果？

这些答案将决定，机密 AI 会成为一种实用的安全模型，还是又一个客户只能选择相信的承诺。