本报讯 企业把模型调用交给第三方网关，最常被追问的三个问题是：数据会不会被留存、行为能不能被追溯、传输与存储是否加密。考拉 API（koalaapi.com）在这三项上给出的是一套可逐条对应的配置，而非笼统的"安全承诺"。
一、数据留存：默认不存、不训、不画像
平台采取的默认策略是零数据保留：请求与响应内容不存储、不用于模型训练、不做用户画像。相关表述明确指向 GDPR 等全球领先的隐私保护规范，并支持与客户签署 DPA 数据处理协议。
这一条对企业的实际意义在于边界清晰。多数合规争议并不发生在"是否加密"上，而发生在"数据被拿去做了什么"上。把"不训练、不画像"写进默认策略，等于提前回答了最容易被追问的那一问。
二、行为追溯：审计落在元数据层
平台为每一次调用生成全链路审计日志，记录内容包括调用方、请求模型、Token 消耗与响应耗时，形成调用轨迹的全景视图，确保 AI 资产流向透明。配合 RBAC 权限管理，可区分不同角色可见的范围，用于团队协作、成本归集与合规审计，并支持成本溯源。
这里有一个设计上的取舍值得说明：要做到"不留内容却能追溯行为"，审计记录就只能落在元数据层面，而不触碰请求正文。这既满足追溯需求，又不与零保留原则冲突。对需要向审计方解释"数据流向何处"的企业而言，这套记录是可交付的证据材料。
三、加密与部署：传输、存储、密钥三层
加密配置分三层：传输层使用 TLS 1.3，存储层使用 AES-256，密钥独立托管并定期轮换。部署形态上支持 VPC 私有部署，使企业可以把网关入口放在自有网络边界内，保障核心网关入口安全。
底层依托等保三级云底座，安全架构与合规标准通过 ISO 27001 认证，同时遵循《个人信息保护法》。三项叠加，构成对外说明合规状况时的基本抓手。
四、账户安全：三道收紧
除数据与传输之外，平台在账户侧也做了几项收紧：API Key 仅在新创建或重置时完整显示一次，之后无法再次查看，忘记只能重置；调用 API 必须先绑定邮箱，未绑定邮箱的账户无法调用也不能创建令牌；在新设备或新浏览器登录时，需输入发送至邮箱的验证码。平台同步下线了旧版密钥，并要求用户在指定时间前完成重置，同时提供"一键重置旧 key"批量处理。
这几项措施针对的是网关类产品最现实的攻击面——密钥泄露。Key 只显示一次，意味着泄露路径从"被翻查控制台"收缩到"创建时的传输环节"；强制邮箱绑定与新设备验证，则把账户接管的技术门槛抬高了一档。
五、合规不是一句话，是一组可核对的配置
上述四项合起来，构成了一条相对完整的链条：数据进来不被留存，行为发生留下元数据痕迹，传输与存储在两层加密下完成，访问权限按角色收窄，密钥的暴露窗口被压到最短。
对上市公司、金融与医疗等对数据流向高度敏感的场景，这套配置的意义不在于"更安全"这种模糊判断，而在于每一项都能被单独核对：留不留、留什么、谁能看、怎么加密、部署在哪、依据哪套标准。合规审查需要的正是这种颗粒度——能被逐条提问，也能被逐条回答。
