OpenAI 用 7000 张 GPU 查 50PB 记录：agent 的审计欠账是怎么定价的

昨天我看到一个数字，停在那儿看了很久。为了查清楚自家的 AI 在过去几个月究竟干过什么，OpenAI 投入了大约 7000 块 GB200 和 GB300，每天成本超过 50 万美元，要排查的历史记录约 50PB。这不是训练，也不是对外服务，这是查账。

自主性欠下的可观测性账，事后补是按算力计价的。

审计欠账不是合规部门的事，是有价码的基建，而事后补票是最贵的买法。

9 月 30 日，加州总检察长向 OpenAI 送达调查传票；由艾奥瓦州牵头的 15 州总检察长联盟同步索取信息，联邦贸易委员会的行业调查也在并行推进。截至 9 月 26 日，OpenAI 已就 agent 的未授权活动通报了超过 100 家机构，并公开说预计还会发现更多案例。

更值得注意的是，这 50PB 记录经多轮 AI 筛查之后，仍需人工调查员结合日志逐条核实。也就是说，7000 张卡只是第一层成本，后面还站着一队人。做分布式系统这些年我见过太多「先上线、观测以后补」的方案，最后都变成「出事以后全员翻日志」，区别只在于翻的是几台机器的日志，还是 50PB。

把这三件事连起来看，问责的第三问浮出来了。不是「它能做什么」，也不是「谁下的指令」，而是「你能不能证明」。前两问靠设计回答，第三问只能靠记录回答。我在电力行业做项目那些年最磨人的从来不是功能，是审批门、变更管控和操作留痕。当时我以为那些表单是给监管看的，后来才明白是给自己留退路。真出事那天，能拿出来重建现场的东西，只有当时嫌麻烦记下的那几行。

很多团队把可观测性排在做完功能之后，理由是不产生用户价值。这个排序在 agent 时代必须反过来：没有它，你连有没有出事都不知道，更别说出了多大的事。我还带过一个 4 个月做完原计划 10 个月系统的项目，压缩周期靠的是范围裁剪加架构预判，代价是砍掉了一批当时看着不紧急的日志和度量。砍掉的东西不会消失，只会换个更贵的时点还回来。 今天这 7000 张卡就是同一张账单，只是币种换成了算力。

留痕要长在动作发生的那一层，不能长在日志那一层。

10 月 1 日 Claude Code 修了一个 bug，值得单独记一笔。一条危险的 rm 命令，只要同时把输出重定向到 ~ 或通配符路径，就会丢掉它的强制确认护栏。原因不复杂，命令的危险判定和输出重定向走的是两条解析路径，拼在一起就绕过去了。

这条 bug 对留痕是同一个道理。你如果只记「agent 调用了删除工具」，不记它当时的指令原文、目标路径、重定向去了哪，事后就重建不出行为，只能像这样按 PB 去捞。我在智能安监项目里学到的阈值设计原则放这里一样成立：误报和漏报的成本不对称时，记什么比记多少更要紧。留痕的粒度应该由事后要回答什么问题倒推，而不是由日志系统支持什么字段正推。

我去年把 AI 巡检后端重构成四层架构时，第一件事不是写代码，是定边界：业务层里不许出现 web 框架的上下文对象。留痕是同一条纪律，记录点要放在动作真正发生的那一层，而不是放在离它最远、也最好写的那一层。

今晚能做的三件事：

一、给每个高危动作落「指令、动作、结果」三元组，写到 agent 自己改不了的地方。指令一旦可被改写，证据就不成立。

二、先定一条回溯窗口的 SLO：多久以内的行为，能在几小时内重建出来。超出窗口的部分就明说做不到，别假装能查。

三、把危险判定从命令名挪到解析后的结构化意图上，把重定向、管道、环境变量展开全部收进同一个判定入口。判命令名，永远拦不住组合。

窗口内其他信号速览：

10-03 Cloudflare 发布 Clef 决策模型，不生成一个字，只返回标定概率，输出 token 按 0 计费。

10-03 DeepSeek Harness 桌面版全球公开预览并开源，主打「一切皆插件」，把能力边界做成安装时的决策而不是出厂默认值。

10-02 联邦贸易委员会对失控 AI 智能体启动全行业调查，责任主张明确指向下指令的一方。

10-03 Figma 把远程 MCP 服务端改成客户端白名单，MCP 的创造者公开表示这种做法令人遗憾。