从个人视角重看“反向信息悖论”

萨提亚·纳德拉在一篇文章中提出了一个很有解释力的概念：反向信息悖论。

传统的“信息悖论”来自经济学家肯尼斯·阿罗。购买者在看到一项信息之前，很难判断它究竟值多少钱；可卖方一旦为了证明价值而展示信息，购买者实际上已经得到了它。卖方为了出售知识，反而需要承担提前泄露知识的风险。

人工智能把这个问题倒了过来。

在 AI 时代，买方可能只是为了使用自己购买的产品，就不得不持续向卖方提供自己的知识。

用户首先支付订阅费、API 费用或者算力成本。然后，为了让模型真正有用，还要告诉它项目背景、现有数据、工作流程、表达偏好、判断标准，以及此前尝试过哪些方法。

模型越通用，用户就越需要补充上下文；希望模型越理解自己，就越需要向它解释自己正在做什么、重视什么，以及什么样的答案才算合格。

也就是说，用户为智能支付了两次：

第一次支付金钱。

第二次支付自己的知识。

这就是反向信息悖论。

纳德拉主要从企业角度讨论这一问题。企业使用外部模型时，可能逐渐暴露内部数据、工作流程、评测标准和组织经验。

但这种结构并不只存在于企业市场。

个人用户同样会在长期使用模型的过程中，留下具有价值的知识。只是与企业的专利、代码和客户数据相比，个人交出的内容更零散，也更难被当作一种资产看待。

一、真正流出的不只是聊天记录

谈到 AI 隐私，人们最先想到的问题通常是：

我的聊天记录会不会被拿去训练模型？

这个问题当然重要，但还不够。

用户在模型中留下的，并不只有最终发送出去的文字，还包括整个使用过程：

  • 输入过哪些提示词；
  • 上传过哪些文件和图片；
  • 调用了哪些工具；
  • 哪个答案被继续采用；
  • 哪个答案被放弃；
  • 用户要求模型重新生成了几次；
  • 模型的哪些表达被认为过于书面；
  • 模型的哪些结论被指出缺乏证据；
  • 用户最终用什么标准判断模型输出结果是否符合需求。

原文把这类附带产生的信息称为 exhaust。

直接翻译成“智能废气”并不合适。“废气”容易让人联想到没有价值的废弃物，但原文要强调的恰恰相反：这些随着使用产生的信息，可能具有很高的学习价值。

从个人角度出发，更合适的说法是：

用户使用模型时留下的痕迹。

后文可以简称为：

模型使用痕迹。

它既包括提示词、文件和聊天内容，也包括修改、选择、拒绝、反馈和纠错。

单独看其中任何一条，可能都不起眼。但当这些内容长期积累起来，就可能逐渐描绘出一个人：

  • 正在从事什么项目；
  • 擅长什么，又不熟悉什么；
  • 如何分析问题；
  • 对成本有多敏感；
  • 愿意承担哪些风险；
  • 倾向相信哪些来源；
  • 喜欢怎样的表达方式；
  • 认为什么叫准确；
  • 认为什么叫真正解决问题。

个人最有价值的知识，往往不是某个单独答案，而是这些答案背后的判断方式。

二、纠错比普通提问更有学习价值

用户向模型提出一个问题，只能说明他想知道什么。

但当用户指出：

这个答案不对。

这个例子太理想化。

你没有证据，不要猜。

不要顺着我的观点回答。

这个方案虽然可以执行，但成本太高。

我需要的是能够实际操作的版本，而不是理论说明。

用户提供的就不再只是一个问题，而是一份人工评价。

这种评价同时包含了三层信息：

第一，模型原来的回答哪里出了问题。

第二，用户真正想要什么结果。

第三，用户使用什么标准衡量结果。

普通语料可以告诉模型“人们说过什么”，而纠错、排序和评价更接近告诉模型“什么样的结果更好”。

所以，模型使用痕迹不能只被理解成服务器日志，也不能只被看作传统隐私数据。它还是一种持续产生的学习材料。

当然，这并不意味着用户每写一句“这里不对”，它就一定会直接进入下一轮基础模型训练。

模型训练、产品改进、安全审查、个性化记忆和用户反馈是不同的数据处理环节，各个平台的规则也并不相同。把它们全部概括成“聊天都会被训练”，并不准确。

但从整体结构看，用户确实在消费智能的同时，不断生产新的学习信号。

问题在于：

这些学习成果由谁控制？

三、个人用户面对的不是一个简单的训练开关

不同平台的默认设置、退出机制、数据保留周期和反馈规则并不相同。

以 OpenAI 为例，ChatGPT 和 Codex 等个人服务中的内容可能被用于模型训练。个人用户既可以在产品内关闭训练，也可以通过 OpenAI 隐私中心提交“不要使用我的内容训练模型”的请求。退出后，新的对话不再用于训练。

但如果用户主动通过点赞或点踩提交反馈，与反馈相关的完整对话仍可能被用于训练。临时聊天不会进入历史、建立记忆或用于训练；Codex 完整执行环境还有单独的数据控制，不能假定关闭 ChatGPT 的训练设置就自动覆盖所有 Codex 数据。

Claude 的个人产品采用另一种结构。用户可以选择是否允许 Anthropic 使用聊天和编码会话改进模型；隐身聊天不会用于模型改进。但如果用户主动提交点赞或点踩反馈，相关完整对话、内容、风格和偏好可能被存储最长五年，并用于研究、行为分析和模型训练。

Google Gemini 的 Keep Activity 开启时，聊天、文件、视频、屏幕内容、产品使用和部分位置信息可以被用于服务改进，包括训练生成式 AI 模型。关闭后，未来聊天通常不再用于模型训练，但仍会存储约 72 小时，用于响应请求、处理反馈和安全保护。经人工审核的反馈及关联对话可能与账户解除关联后存储最长三年。

Perplexity 的 Free、Pro 和 Max 个人账户默认开启 AI Data Retention。用户可以退出，但退出只影响之后收集的数据；此前已经收集的训练数据不能通过这一设置撤回。即使退出训练，数据仍可能为了服务执行、法律合规和一般产品改进而被处理。

这些差异说明，用户面对的不是一个简单的“训练或不训练”问题，而是多套相互独立的数据用途：

  • 基础模型训练；
  • 产质量量分析；
  • 安全与滥用检测；
  • 人工审核；
  • 长期记忆和个性化；
  • 用户主动提交的反馈；
  • 工具和智能体执行记录。

关闭其中一项，通常不意味着其他项目也被关闭。

四、“退出训练”通常不是让模型忘记

这是最容易被产品界面掩盖的问题。

很多平台提供的退出机制，本质上是：

从现在开始，不再把新的部分数据用于某种训练。

它通常不等于：

把此前已经进入训练流程的所有内容找出来并删除。

更不等于：

让已经完成训练的模型忘记此前形成的统计规律。

OpenAI 说明，退出后是新的对话不再用于训练。Perplexity 则明确表示，退出只适用于退出之后收集的数据，此前已经收集的训练数据不能删除或移除。

因此，至少要区分四件事情：

  1. 停止未来的数据收集；
  2. 停止未来的训练用途；
  3. 删除平台存储的原始聊天；
  4. 撤销已经形成的模型学习结果。

前两项可能通过产品设置实现。

第三项取决于平台的数据删除与保留政策。

第四项在现有大规模机器学习系统中通常最难实现，也很少能通过普通账户设置完成。

所以，“允许退出训练”当然是一项必要保护，但它还不是完整答案。

五、真正的矛盾是学习权利不对称

反向信息悖论最值得继续追问的，是模型提供商对“学习”的双重态度。

一方面，模型公司需要大量公开数据、授权数据、合成数据和人工反馈来训练模型。部分公司主张，使用公开获得的版权材料训练模型可能受到合理使用原则保护。

但这不是一项已经毫无争议、适用于所有材料和获取方式的普遍权利。

美国版权局认为，生成式 AI 训练中的合理使用问题需要根据具体事实判断：使用了什么作品、材料来自哪里、训练目的是什么、输出是否与原作品竞争，都会影响结论。有些训练用途可能构成合理使用，另一些则未必如此；相关边界仍在诉讼和政策讨论中形成。

另一方面，模型公司又会限制用户利用模型输出训练竞争模型。

OpenAI 的个人服务条款一方面表示，用户在法律允许范围内拥有输出；另一方面又禁止用户利用输出开发与 OpenAI 竞争的模型。条款还规定，用户提交的反馈可以在不提供额外报酬的情况下被使用。

Anthropic 则公开表示，模型蒸馏本身是一种广泛使用且正当的技术，前沿模型公司也会用它制作更小、更便宜的自家模型；但竞争者通过欺诈账户和代理服务大规模提取 Claude 能力，则被其定义为违反条款的蒸馏攻击。

这里需要保持区分。

防止欺诈账户、大规模自动抓取、规避地域限制和直接复制核心模型能力，并非毫无正当理由。支付订阅费用，也不意味着用户自动获得复制服务底层技术的权利。

但权利不对称仍然存在：

平台可以决定哪些用户互动能够成为自己的学习材料，同时也可以决定用户在多大程度上利用模型输出建立自己的学习能力。

真正的问题不是“所有用户都应该无限抓取商业模型”，而是：

为什么学习的方向、用途和边界，主要由学习基础设施的所有者单方面规定？

平台可能从海量用户互动中改善模型、评测体系和产品，但个人很难知道自己的纠错产生了什么影响，也很难把长期形成的偏好、评价标准和工作方法完整迁移到另一套模型中。

这才是反向信息悖论最深的一层。

六、个人交出的不是一份文件，而是一套判断系统

企业可以把核心知识列成一份清单：

  • 专利；
  • 工艺；
  • 内部代码；
  • 客户数据库；
  • 供应链信息；
  • 私有评测集。

个人的知识没有这么整齐。

它可能散落在数百次对话里：

  • 一次对简历的修改；
  • 一次对电路图的纠错；
  • 一次对新闻来源的质疑；
  • 一次对部署方案的取舍；
  • 一次对文章语气的调整；
  • 一次对成本和性能的权衡。

这些内容组合起来，形成的是一个人的判断方式。

它描述了：

  • 什么样的证据能让你信服；
  • 哪些风险是你不能接受的；
  • 哪些成本必须优先考虑；
  • 哪些措辞与你的表达习惯不符；
  • 哪些回答看似专业，实际上没有解决问题。

模型可以拥有大量通用知识，但只有用户知道自己处在什么环境、已经尝试过什么、拥有什么资源，以及愿意承担什么后果。

而这部分知识，恰恰是模型为了变得真正有用而不断向用户索取的东西。

七、它与 AI 依赖只有一个关键交点

在上一篇《不要把世界只交给一个模型解释》中，我讨论了幻觉、审查默认和迎合性回答：

当一个人长期把信息筛选和判断交给同一个模型时，模型可能逐渐从普通工具变成他的“世界直译器”。

反向信息悖论讨论的是另一个方向：为了让模型更理解自己，用户不断向平台提供背景、偏好、修改意见和判断标准。

两者会形成一个循环：

用户交出更多背景，模型回答得更加贴近； 回答越贴近，用户越容易信任模型； 用户越信任模型，就越愿意继续交出背景和判断。

这里需要记住的只有一点：

模型更懂得怎样向你表达，并不代表它掌握了更完整的事实。

个性化可以改善体验，也可能让错误、迎合和被裁剪的信息更容易被接受。用户很容易把“它很懂我”误认为“它判断得更准确”。

所以，不要把世界只交给一个模型解释，也不要为了获得模型的理解，把自己完整地交给模型。

八、个人可以怎样建立自己的信任边界

企业可以建设私有模型、评测系统和独立学习环境。个人通常没有这样的资源，但仍然可以建立一条较小的信任边界。

1. 控制：把训练、记忆、历史和反馈分开看

不要认为关闭一个训练开关，就意味着所有数据处理都已经停止。

至少需要分别确认：

  • 新对话是否可能用于训练；
  • 长期记忆是否开启；
  • 聊天记录存储多久；
  • 上传文件是否继续保留；
  • 点赞和点踩会提交多少上下文；
  • 语音、视频和屏幕内容如何处理；
  • 编程环境或智能体是否有单独设置。

对于包含敏感项目、他人隐私或未公开数据的对话，也不要只是关闭一般训练设置后就完全放松警惕。

尤其需要注意：

不要为了告诉平台“这个回答不好”，未经检查就把整段敏感对话通过反馈功能再次提交出去。

2. 能力：把重要知识存储在自己手里

不要让某个平台的聊天历史成为项目唯一的知识库。

原始档、笔记、提示词模板、纠错记录、评价标准和最终决策，应存储在用户能够控制、备份和迁移的位置。

可以用三个问题判断自己是否已经被平台锁住：

如果账户明天无法登录，我是否知道项目进行到了哪里？

如果聊天记录全部消失，我是否还保留关键数据和决策依据？

如果必须更换模型，我能否重新提供必要的项目背景？

如果三个答案都是否定的，那么真正被锁住的已经不只是聊天记录，而是整个工作过程。

3. 选择：保留迁移能力，而不是追逐永久排名

同时使用不同模型，可以降低单一服务下线、涨价或政策改变带来的影响。

但“多订阅几个模型”并不是完整防线。

如果用户把同一份完整数据、个人背景和纠错同时交给多个平台，他未必获得了更多控制权，也可能只是扩大了知识暴露范围。

真正重要的是把以下内容与具体模型分离：

  • 项目背景；
  • 固定提示模板；
  • 评价标准；
  • 文件格式；
  • 自动化流程；
  • 知识库；
  • 测试问题。

模型能力、套餐价格和使用限制都会变化。个人不需要建立一个永久的模型排名，而应保证某个模型被替换后，自己的工作方法仍然存在。

4. 成本：低价中转站省下的钱，可能由风险补回

价格不只是订阅费或者每百万 token 的单价，也包括用户为了低价额外承担了多少不确定性。

一些个人用户会通过第三方中转站访问模型。这类服务可能解决支付、地区访问和多模型切换问题，但需要区分自行控制的网关、规则透明的正规聚合平台，以及运营者不明、价格明显低于合理成本的灰色中转站。

真正危险的是不透明的中间层。

请求经过中转服务器时，运营者在技术上可能接触提示词、回复、工具调用和执行记录，也可能插入额外指令、修改输出或者把请求转发给不同模型。

一项针对 17 个“影子 API”的系统审计发现，这些服务经常出现能力和安全表现不稳定、模型指纹与其宣称的官方模型不一致等问题。用户选择了某个高价模型名称，实际得到的未必是对应模型的原始服务。

另一项研究测试了 28 个付费路由器和 400 个免费路由器，发现其中部分服务会向智能体工具调用注入恶意代码、接触研究人员设置的 AWS 诱饵凭证，甚至发生了转走测试用以太坊资产的情况。中转层不仅能够看到通信内容，还可能改变智能体最终执行的命令。

国内调查报道也记录了共享账户、封号、突然涨价、服务跑路和未经说明的模型降级案例。至于中转站是否普遍出售用户对话，现有公开证据仍不足以支持这种泛化；但运营者在技术上能够存储和再利用完整互动，而用户通常难以确认数据最终流向哪里。

这里不能因为“并非每一家都已被证明恶意”，就对来源不明的服务抱有侥幸心理。

对普通用户而言，只要运营主体、上游来源、日志用途和技术行为无法核验，就不应以“暂时没有出事”为理由推定其安全。

尤其是涉及未公开代码、个人身份数据、商业文件、访问凭证和长期项目上下文时，无法验证的数据通道应直接排除，而不是视为一种“便宜一点，大概还能用”的选择。

官方 API 和正规聚合服务也会进行日志处理、安全审查或者内容过滤。它们的优势不是“绝对什么都不记录”，而是责任主体、数据用途、保留期限、模型来源和申诉渠道通常更加明确。

所以，一个服务的实际成本应包括：

账单价格，加上知识暴露风险、输出失真风险、服务中断风险，以及离开平台时重新建立全部上下文的成本。

在 AI 时代，“便宜”不只是价格问题，也是信任结构问题。

5. 复利：让纠错先成为自己的资产

每次模型出错后，不要只在聊天框里纠正一次。

重要的纠错可以同步整理为：

  • 提示词规则；
  • 个人检查清单；
  • 项目规范；
  • 私有评测题；
  • 常见错误记录；
  • 可重复执行的测试。

例如：

引用数据必须提供原始来源。

不能把模型推测写成已经发生的事实。

技术方案必须说明适用环境和成本。

不要因为用户已经表达立场，就只提供支持意见。

这些规则如果只存在于一次聊天中，就会依赖平台的历史记录和记忆功能。

如果存储在用户自己控制的位置，它们就会成为真正属于个人的学习成果。

模型出错，用户总结规则；规则存储在自己手中；下一次无论使用哪个模型，都可以继续使用。

这才是个人自己的学习闭环。

九、我们需要的不只是隐私权，还有对学习过程的控制

传统的数据保护主要关心：

谁可以收集、存储和使用我的信息？

人工智能还增加了一个问题：

谁可以从我的提示、纠错、偏好和行为中持续学习？

这里所说的“学习权”，不是目前已经被各国法律普遍确认的一项独立权利，而是一种值得提出的数字权利主张。

它至少应当包括：

  • 用户有权知道哪些互动可能用于训练；
  • 用户能够分别控制聊天、文件、反馈和记忆的用途；
  • 用户知道退出训练是否只影响未来数据；
  • 用户能够导出自己的提示词、纠错和评价规则；
  • 用户能够把个性化成果迁移到其他工具；
  • 平台不应通过无法导出的长期学习成果，人为提高用户离开的成本。

这不意味着模型公司必须公开所有内部技术，也不意味着个人可以无限抓取商业模型。

它要求的只是一个更对等的原则：

当用户的知识、纠错和判断参与创造新的智能时，用户不应完全失去对这一学习过程的知情权、选择权和迁移权。

保留对学习过程的控制

使用 AI 不只是提交一份文件。纠错、偏好和反复作出的判断，也会透露一个人怎样工作。平台决定这些信息如何保留、使用和延续。

对个人而言，可行的做法是把重要知识和纠错保存在自己的文件里，分别检查训练与记忆设置，并保留迁移工作流程的能力。获得更好答案的过程，也应当积累属于自己的经验。