你用 ChatGPT 越认真，Meta 对你越了解——除非你用这个
事情是这样的。
5 月 13 日，同一天，发生了两件方向完全相反的 AI 隐私事件。
一件，是南加州联邦法院正式立案受理一起集体诉讼。原告指控 OpenAI 在 ChatGPT 网站里嵌了 Meta 的 Facebook Pixel，每次用户打字发问，这段查询的主题就会顺着追踪代码，连同你的 Facebook 唯一 ID，实时发给 Meta 的广告服务器。诉状长达 135 页。
另一件，是 Meta 自家宣布，在 WhatsApp 和 Meta AI 上推出 Incognito Chat，号称「连 Meta 自己的工程师都无法读取你的对话内容」。
好家伙。
我看到这两条新闻并排放在一起的时候，真的愣了大概三秒钟。这个时间点，太妙了，妙到我不知道该先说哪边。
先把 ChatGPT 那边的事说清楚。
Facebook Pixel 是 Meta 的广告追踪工具，本质是一段 JavaScript 代码，网站运营者把它嵌进自己的页面，它就会自动记录用户行为信号，发回 Meta 的广告后台，用来优化广告投放。这玩意在各类电商、媒体、SaaS 产品上嵌得极普遍，你每天逛的大部分网站可能都装着一个，你平时可能浑然不觉。
Pixel 的工作原理是收集「行为上下文」，其中一个重要信号来源是当前页面的 document.title，也就是浏览器标签页显示的那串标题文字。
普通购物网站还好，标题基本就是「女士运动鞋 - 某东」之类的东西，追踪了也就是往后给你投运动鞋广告。
但 ChatGPT 的问题在于，它把当前对话的主题摘要实时塞进了页面标题里。
这不是什么刻意的设计，更可能是工程上一个习惯性的选择，让用户在多个标签页之间切换时，能一眼看出每个窗口对应的是哪段对话。这个功能本身没什么问题。问题是它和 Facebook Pixel 的组合效果。
于是，每次你向 ChatGPT 提交一条查询，这个查询的主题，就通过 Pixel，连着你的 Facebook 账户唯一标识符（c_user 和 fr 这两个 cookie），实时推送给了 Meta 的服务器。
你问 ChatGPT「我最近总是睡不着，该怎么办」，Meta 的广告系统收到信号，这个 Facebook 用户在关注睡眠问题。你问「失恋了很痛苦，怎么度过」，Meta 知道你在情感低谷。你在规划一个不想让人知道的商业计划，Meta 看到了方向。你在搜索某种医疗症状，Meta 拿到了这个健康标签。
诉状里有一句话，我觉得说到点子上了，用户选择用 ChatGPT 而不是 Google 搜索，很大程度上恰恰是因为他们觉得这里更私密，可以问那些不想被追踪的东西。结果，你越认真地用，Meta 的广告画像对你的了解就越深。这是一个令人不舒服的反转。
这件事还有一个额外的维度，原告里还提到了 Google Analytics，也就是说同样的机制，可能同时在把用户数据发给 Google。一份 AI 服务的隐私问题，牵扯到了整个广告生态。
你可能会问，这个追踪有没有关掉的办法？技术上，用 uBlock Origin 这类浏览器插件屏蔽 Facebook Pixel 是可以的。但你用 ChatGPT 的时候，会专门去想这件事吗？大多数人不会，这也是为什么追踪代码往往默默跑了很久，才被人发现。
按加州《隐私侵权法》（CIPA），每次违规可以索赔 5000 美元，联邦《电子通信隐私法》（ECPA）也在原告列举的法条里。乘以数百万 ChatGPT 用户，你自己算一下潜在责任的数量级。案子是 5 月 13 日立案的，OpenAI 到目前没有公开回应，还在早期阶段。
同一天，Meta 首席 AI 官 Alexandr Wang 亲自发文，宣布 Incognito Chat 上线。
我知道，很多人看到「Meta 讲隐私」这几个字，第一反应是冷笑，我自己也是。Meta 的隐私记录实在不好看，Cambridge Analytica 事件，FTC 五十亿美元和解，多次数据泄露，这些都是有案可查的事。
但这次他们拿出来的技术路线，认真看了一下，有点不一样。
Incognito Chat 建立在 WhatsApp 的 Private Processing 技术上，核心是 TEE，可信执行环境（Trusted Execution Environment）。
TEE 不是新东西，英特尔的 SGX（Software Guard Extensions）和 ARM 的 TrustZone，在移动支付、密钥管理、DRM 领域已经用了很多年。但把它大规模部署在 AI 推理上，并且面向普通消费者公开宣传，这个尝试还是相对少见的。
我来尽量把这个技术解释得直白一点。
正常的服务器计算，哪怕你的网络传输全程 HTTPS 加密，数据到了服务器就是明文处理的。服务器操作员，运维工程师，日志系统，同一台机器上的其他程序，在技术上都有潜在的访问路径。这不是说这些人一定会看，而是说「物理上可以」。
TEE 做的事，是在处理器内部划出一个特殊隔离区域，里面的计算和内存存储，对外界是加密不可见的。连操作系统都进不去，连 hypervisor 都进不去。
Hypervisor 是啥？就是虚拟化管理软件，整个云计算体系的底座，通常有「上帝模式」的权限，可以看到同一台物理机器上所有虚拟机的内存、IO 和存储状态。整个 AWS、Azure、Google Cloud 的基础架构都建在这一层上面。
Meta 这次用的是 AMD EPYC 处理器上的 SEV-SNP，全称 Secure Encrypted Virtualisation - Secure Nested Paging。这个技术的核心设计，是对每个虚拟机的内存做独立加密，加密密钥在处理器内部生成和保管，hypervisor 层面拿不到，云服务商的技术人员拿不到，AMD 自己也没有备用钥匙。
换一个更直觉的比喻，普通服务器计算就像一间开放式厨房，厨师可以看到所有菜怎么做的；加了隐私承诺但没有技术隔离的服务，厨房关了门，但厨师和服务器日志还是知道你点了什么；TEE 的方案，相当于整个厨房是一个密封黑盒子，你递食材进去，成品出来，里面发生了什么，连黑盒子的制造商都看不见。
Meta 说，在 Incognito Chat 里，你的对话在 TEE 内完成推理，内容不写入任何日志，Meta 的工程师、运维系统和商业数据管道，全部被隔离在外面。会话结束，数据默认消失，服务器上什么都不留。
有点子牛逼，我认真的。
但我没法让你直接信这个，因为细则里有一个洞。
当 Meta AI 需要实时信息时，搜索查询会离开 TEE，路径是，用户设备 → TEE → Meta 基础设施 → 外部搜索服务商。Meta 说这些搜索请求做了身份解绑，单次上限 100 字符，每次对话最多 5 个搜索。声称没有带用户 ID 过去。
但「数据离开了 TEE」这件事本身，就是一个结构性的信任缺口，不管解绑做得多严格，信号一旦出了隔离区，就回到了正常的互联网信任模型里。
还有一个更根本的问题，TEE 的安全性，理论上无懈可击，不代表现实里就无懈可击。英特尔 SGX 被研究人员发现过多个侧信道攻击漏洞，苹果的 Secure Enclave 也有过类似案例。侧信道攻击（Side-Channel Attack）的原理是不正面破解加密，而是通过分析处理器的功耗变化、内存访问时序、电磁辐射等物理信号，间接推断出内部计算的内容。这是密码学里一个经典的「理论与实践之间存在距离」的领域。
Meta 发布了技术白皮书邀请外部审计，这是一个好的姿态。但这套具体实现，还没有经历过真实世界安全研究人员的充分攻击测试。
还有一点，这套架构在面对政府传票时会怎么运转，目前没有先例。技术上提取不了，法律上要求提交，两者冲突的时候如何处理，没有任何法庭判例可以参考。苹果当年和 FBI 的那场对峙，争的是企业要不要主动写工具破解自己的加密系统。TEE 的场景会有类似但更复杂的法律问题，因为「系统设计上就无法提取」和「企业不愿意提取」在法律上是否等价，这个问题还没有定论。
所以，厉害了，这个方向，但我自己现在的判断是，继续观察，等外部安全审计的结果，再说放心不放心。
把这两件事放在一起，它们共同说明了 2026 年 AI 隐私战争的一个拐点，争的方式变了。
以前讲 AI 隐私，主要靠合同性承诺，你的数据我们不会卖，我们有完整的 Data Processing Agreement，我们遵守 GDPR，我们的隐私政策每年更新。合规文件密密麻麻，信不信随你，反正企业说完了算完了。
Meta 这次的做法，是技术性隔离，用密码学和硬件架构保证即使他们想看，物理上也做不到。你不需要信任 Meta 这家公司，你只需要信任 AMD 处理器的工程设计和密码学的数学基础，这两个东西的可信度，比任何企业承诺都高几个数量级。
这种「可验证的隐私」和「承诺性的隐私」之间的差异，正在成为 AI 服务的一个新的竞争维度。可验证，是指第三方安全研究人员可以审计设计文档，可以尝试攻击系统，可以证伪或证实厂商的宣称。承诺性，是指你只能相信那份 PDF，相信那家公司的商业道德，相信他们不会在商业压力下悄悄改掉某个配置。从承诺到可验证，是信任基础的一次质变。
有一组数据可以横向对照，同期 Ramp 的 B2B 支出数据显示，Anthropic 在美国企业客户采用率上首次超越 OpenAI，34.4% 对 32.3%，而过去一年 Anthropic 的企业覆盖翻了四倍。Ramp 追踪的是真实的企业信用卡消费和发票，不是问卷调查，相对可信。背后原因很多，但企业采购 AI 服务的时候，「谁更值得信任」这个问题的权重在上升，应该是其中之一。一个财务总监或者法务负责人，在给公司选 AI 工具的时候，需要能给董事会解释清楚「你们的对话数据在哪里，谁有访问权限，出问题了谁负责」，这些问题，「我们非常重视您的隐私」这种回答是过不了关的。
Anthropic 的 Constitutional AI 方法论，Claude 的「不保存对话」设计，都在做一件类似的事，用可以被审计和验证的架构决策，而不只是「我们承诺」来建立信任。方式不同，方向一样。
AI 行业 2024 到 2025 年的主战场是能力军备竞赛，谁的模型推理更准，谁的 coding benchmark 更高，谁支持更长的上下文窗口。这场赛跑还在继续。但 2026 年，第二条赛道越来越明显了，就是信任的竞争，而且这条赛道的护城河，比纯粹的模型能力要深得多，能力可以靠钱砸，信任要靠时间和架构一点一点积累。
还有一个功能值得顺带一提，Meta 说接下来几个月会推出 Side Chat。它的用法是，在任何 WhatsApp 群聊或者私聊里，可以唤出一个 AI 侧边栏，AI 能看到当前对话的上下文来提供帮助，但整个 Side Chat 的内容，同样由 Private Processing 保护，对 Meta 不可见。
这个场景，我觉得比 Incognito Chat 本身更有想象空间，因为群聊里的对话往往比独立的 AI 对话更敏感，涉及真实的工作项目、私人关系、财务安排。如果 Side Chat 的隐私保护能经受得住外部检验，这个功能可能会成为一个蛮大的差异化卖点。
还有一个更实际的问题，如果你现在正在用 ChatGPT 处理敏感工作，你应该怎么想这件事？
这个诉讼还在早期，最终结果可能是和解，可能是 OpenAI 下掉 Pixel 代码，也可能是打一场旷日持久的法律战。在结果出来之前，你能做的是：如果你在 ChatGPT 里问过你不想让 Meta 知道的问题，那这件事已经发生了，无法回头。往后，你可以用浏览器插件屏蔽追踪代码，或者对于真正敏感的查询，考虑用没有广告商业模式的工具。
这不是在教你对 OpenAI 有多大敌意，只是，知道这件事以后，你做决策的时候多一个维度的信息。
好，扯了这么多，回到开头那个画面。
同一天，一起诉讼说 ChatGPT 在用 Facebook Pixel 把你的查询悄悄发给 Meta，另一边 Meta 在说「我们连自己都看不到你的对话」。这个巧合里有一种很整齐的荒诞感，像是有人刻意安排的，但没有。
AI 隐私这件事，已经从「隐私政策」页面的 PDF 文件，打到了处理器架构和密码学证明层面。这个演变，我觉得是不可逆的，一旦用户开始懂得问「你的隐私承诺是技术性的还是合同性的」，这个问题就不会消失。
现在我的关注点有两个，一是外部安全研究人员对 Private Processing 白皮书的审计结果，Meta 邀请了公开审计，接下来几个月应该会有技术分析出来；二是 ChatGPT 那个诉讼的进展，如果查实，对 AI 行业的数据实践会有不小的冲击。
技术白皮书的地址是 ai.meta.com/static-resource/private-processing-technical-whitepaper，如果你对密码学和 TEE 有兴趣，值得认真看一遍，有形式化的安全证明，比我这里的白话解释严谨很多。Bloomberg Law 和 CyberSecurityNews 那边有诉讼的原始报道，原告的论点写得挺扎实的。
案子和功能，都刚开始，都值得跟踪。