Amazon 与 Google 的安全承诺碰上白宫秘密 AI 审查

Amazon 和 Google 的安全承诺，如今与一套最关键规则仍未公开、无法接受公众监督的白宫审查流程并存。政府称，这一自愿框架将加强国家安全。批评者则认为其中存在根本矛盾：官员希望企业信任政府测试，却几乎不给研究人员和公众提供信任这些测试的依据。

据报道，该框架允许联邦评估人员在发布前最多 30 天审查某些前沿模型。前沿模型是指能力先进、通用性强，且可能带来严重国家安全风险的系统。然而，报道称这些规则涵盖闭源模型，却排除了可下载、可修改和再分发参数的开放权重系统。

这种划分将技术评估方案变成了一场政策争论。据报道，Google、OpenAI、Anthropic、Meta、Microsoft、Nvidia 和一些较小的开发者参加了 8 月 4 日的白宫简报会。多篇关于该会议的报道没有提及 Amazon，但其云服务领域的地位以及此前作出的安全承诺，使其成为更广泛争论的核心参与者。

真正的较量并非 Amazon 对阵 Google，而是保密的政府审查与公共问责之间的较量。两家公司都已公布各自的安全方案，但它们都无法单独回答核心政策问题：当标准本身仍属机密时，谁来验证评估人员？

该框架在发布前设立了一道私密关卡

白宫建立了一道可能颇具影响力的审查关口，却没有公布其背后的规则手册。

美国总统唐纳德·特朗普于 6 月 2 日签署了一项行政命令，邀请领先的 AI 开发者将某些先进系统提交给联邦机构评估。该命令将参与描述为自愿性质，并允许政府在公开发布前最长 30 天审查模型。

政府将这一流程定位为一项范围有限的国家安全措施。政府称，官员将重点关注具备先进网络能力的系统，而非审查每一个商业模型。这项 模型审查命令 还赋予美国国家安全局局长显著角色。

白宫称，它已在 8 月截止日期前完成执行框架。此后，官员向多家主要 AI 公司的代表进行了简报。不过，政府并未公布该文件，也未完整列出预计使用该框架的机构。

据熟悉会议情况的人士透露，该框架将受覆盖的前沿模型定义为具备最先进能力、并具有国家安全影响的闭源系统。开发者将在模型接近最终形态时、发布前不久向评估人员提供访问权限。

这一时机至关重要。早期研究模型在发布前可能发生重大变化，从而降低评估结果的参考价值。接近完成的模型能提供更贴近现实的测试对象，但 30 天的等待期可能与产品排期、安全控制和竞争保密要求发生冲突。

据报道，在审查期间，员工可能面临访问限制。这类控制可降低危险能力或测试方法泄露的风险。但如果工程师无法自由调查政府评估人员发现的问题，也可能使修复工作更加复杂。

政府有合理理由将部分细节列为机密。公开精确的网络基准测试，可能会给攻击者提供一份清单，帮助他们发现哪些能力会触发联邦层面的担忧。这也可能帮助开发者针对测试优化模型，却不降低其根本风险。

但这一论点并不意味着每一项规则都必须保密。官员可以公开治理细节、参与标准、申诉程序、评估人员资质以及高层级风险阈值。这些披露都无需暴露可被利用的提示词或机密目标。

因此，据报道的框架包含两类不同的秘密。第一类涉及敏感测试方法，具有明确的安全理由。第二类涉及决策如何作出，则带来了更棘手的问责问题。

白宫称，这一流程推进了其网络安全战略，并支持美国在 AI 领域的领导地位。由于外界无法将宣称的目标与实际执行标准进行比较，这一说法仍难以评估。

这是该事件的核心变化。联邦审查不再只是政策提案。如今，据报道，它已有具体流程、参与企业、审查窗口和模型类别，尽管公众仍无法查阅完整框架。

Amazon 和 Google 的安全政策为何与此相关

Amazon 和 Google 的安全框架表明，大型公司已经接受能力测试，但它们的自愿政策无法替代透明的公共流程。

Amazon 和 Google 是 2023 年 7 月向白宫作出自愿 AI 承诺的七家公司之一。这些承诺包括内部和外部红队测试、信息共享、网络安全投资，以及识别 AI 生成内容的方法。

红队测试是指有意检验系统的有害行为、安全弱点和滥用路径。它之所以有用，是因为常规产品测试往往会遗漏对抗性行为。但其结果仍取决于评估人员的访问权限、测试质量以及开发者是否愿意作出回应。

Amazon 此后发布了前沿模型安全框架，说明其将如何评估严重的能力风险。其方法聚焦于关键能力：如果在缺乏适当防护措施的情况下发布，这些能力可能造成重大伤害。

Google DeepMind 也制定了 Frontier Safety Framework。该公司使用能力阈值和预警评估，识别需要更严格安全或部署控制的模型。Google 的安全框架已多次公开修订。

这些政策使两家公司拥有与联邦倡议相关的运营经验。它们的研究人员理解部署前测试、访问控制、能力阈值，以及如何将令人担忧的基准测试结果转化为发布决策这一难题。

不过，企业框架仍是自我治理工具。开发者自行选择许多阈值、测试合作伙伴、披露做法和缓解措施。客户和独立研究人员不能假定这些选择在不同公司之间具有可比性。

一项针对早期白宫承诺的学术审查发现，企业公开展示的合规证据并不均衡。研究人员报告称，受审查公司的模型权重安全表现尤其薄弱，平均得分为 17%。这一发现并不能证明防护措施不存在，因为未披露的安全措施不会出现在基于透明度的评估中。

但它揭示了自愿承诺的问责局限。一项承诺可能听起来很具体，却让外界无法判断承诺中的控制措施是否奏效。这项承诺评估认为，开发者之间的公开报告仍不一致。

新的白宫框架可以通过建立共享评估渠道来改善这种情况。政府审查人员能够在更一致的条件下比较不同系统，并审查企业无法安全地向公众展示的能力。

保密也可能在更高层面重现现有问题。公众不再只是被要求信任每家公司的私密流程，而是被要求信任由政府和选定企业共同掌握的私密流程。

Amazon 的角色尤为重要，因为 AWS 为整个 AI 市场提供基础设施和模型访问。Amazon 一方面开发自己的模型，另一方面通过云服务托管其他供应商的系统。因此，联邦审查标准可能影响其产品、合作伙伴和企业客户。

Google 处于类似的多层角色。它开发 Gemini 模型、运营 Google Cloud、通过 DeepMind 开展前沿研究，并向企业和公共机构提供 AI 系统。一项模型分类决定的影响，远不止一次面向消费者的聊天机器人发布。

这也是为什么 amazon google 这个关键词所指不只是两家公司的名称。这些公司连接了前沿研究、云端分发、企业采购和政府技术。任何国家审查流程最终都会触及这些关系，即便具体会议的参与名单不同。

它们已公布的框架也提供了实际的比较参照。两家公司至少披露了一些风险类别和治理概念。联邦政府要求获得类似程度的信任，却较少披露自身决策结构。

如果审查延迟一个模型、放行另一个模型，或对不同开发者施加不同的访问条件，这种不平衡将更难辩护。届时，程序透明度将不仅是安全问题，也会成为竞争问题。

Amazon 和 Google 的争论揭示透明度取舍

安全的评估需要保密的测试细节，但可信的评估需要公开的规则、权限和问责机制。

政府最有力的论点很直接。当每一个提示词、漏洞利用环境和失败阈值都公开时，网络安全测试的价值就会下降。先进模型可能帮助用户发现漏洞、编写漏洞利用代码，或自动化入侵的部分环节。

评估人员需要在受控条件下访问真实系统和敏感目标。他们也可能需要无法与开发者、外部研究人员或公众分享的机密威胁情报。

因此，政府有正当理由保护基准测试内容。当运营保密扩大为制度保密时，问题便随之出现。

公众仍需要知道谁有资格成为评估人员、如何处理利益冲突，以及一旦出现严重能力后会发生什么。开发者需要了解，一项不利结果是否会延迟发布、触发修复，还是仅仅产生警告。

较小的实验室还需要另一个答案。它们必须知道，参与是否带来真正的安全收益，还是会形成一种非正式壁垒，偏向那些与华盛顿关系稳固的公司。

一个流程在形式上可以是自愿的，但在商业上可能难以拒绝。联邦机构采购云服务和 AI 工具。监管机构影响企业风险决策。政府批准也可能成为保险公司和企业采购团队的有力信号。

拒绝审查的开发者，可能在竞争对手参与后面临客户质疑。反过来，提交审查的公司可能获得一种暗示性的安全背书，即使政府从未打算提供这种背书。

这就是私密关卡的危险。其权威可以通过市场预期不断扩大，而国会却未界定其法律边界。保密审查可能始于协作，最终演变为事实上的批准。

OpenAI 的 Chris Lehane 支持通过民主机构、技术专长和广泛利益相关方参与来制定有效的安全框架。这一表述恰恰指出了秘密流程所缺少的部分：公共机构可以保护敏感证据，同时仍说明其治理方式。

早期网络安全项目提供了有益先例。协调漏洞披露机制能够保护漏洞利用细节，同时建立报告渠道、响应时间表以及对受影响供应商的预期。机密威胁项目同样可在法定监督下运行，而无需公开每一项情报来源。

在该倡议的早期版本被搁置后接受采访的安全高管 Diana Kelley 认为，要具备持久性，就需要独立测试、明确门槛和实质性后果。她的担忧仍然相关，因为据报道的最终框架尚未公开回应这些治理问题。

Amazon 与 Google 的对比进一步凸显了这一问题。Google 可以披露能力等级，而无需公开每一条对抗性提示词。Amazon 可以说明升级处置流程，而无需发布敏感模型权重。联邦政府同样可以在公共治理与受保护测试材料之间采取这种区分。

透明度还会影响技术质量。外部研究人员往往能发现内部团队遗漏的有缺陷基准、受污染测试集和错误假设。完全封闭的评估流程会限制这种纠偏压力。

官员们不需要公开实时网络演练。他们可以在风险得到处理后，发布基准设计原则、验证程序、评估者独立性规则以及匿名化结论。

他们还可以发布汇总报告。这类报告可以披露有多少模型进入审查、多少模型需要缓解措施，以及哪些风险类别最常出现。汇总数据既能保护公司的保密性，也能显示该项目是否真正发挥作用。

没有这些信号，观察者无法区分严格的安全审查与私下磋商。两者的差异很重要，因为磋商为开发者提供信息，而审查则意味着作出判断。

白宫的保密做法也可能削弱企业参与意愿。开发者通常会保护尚未发布的系统、研究方法和产品计划。他们需要确信，政府访问不会暴露知识产权或泄露竞争性信息。

明确的处理规则会有所帮助。公开限制哪些人可以访问提交的模型、工件保留多久，以及调查结果是否会影响无关的采购或执法决定，同样会有所帮助。

保密可以保护测试。过度保密则可能破坏使测试得以进行的合作。这正是政府尚未公开解决的权衡问题。

排除开放权重模型，让最棘手的风险留在审查之外

据报道，对开放权重模型的豁免，恰恰在发布后控制最弱的领域缩小了项目覆盖范围。

开放权重模型会将其训练参数提供下载。这些权重可以被修改、微调，并在原始开发者控制范围之外的基础设施上运行。这不同于开源项目，后者的训练数据、代码和开发流程也可能公开。

据报道，白宫框架将涵盖的前沿模型限定为封闭系统。因此，开放权重模型将避开同样的自愿联邦测试，即使其能力已接近可比水平。

这种区分支持政府的创新议程。开放模型帮助研究人员检查系统，让企业能在自有基础设施上部署 AI，并减少对少数 API 提供商的依赖。

但它们也带来了不同的安全条件。封闭提供商可以监控使用情况、更新安全防护、限制账户，并在发布后修补模型。这些控制并不完美，但仍然可用。

开放权重的发布很难逆转。一旦用户复制了权重，原始开发者便无法可靠地撤回每个版本或执行新的安全防护。国际安全报告将这种不可逆性视为核心治理挑战。

豁免的支持者认为，开放模型不应继承为集中托管的商业系统设计的规则。强制性的发布前访问可能会抑制研究、巩固大型既有企业的地位，并将开发活动推向美国境外。

批评者则回应称，分发方式并不会消除能力风险。无论用户是通过 API 访问模型，还是下载其权重，一个能够协助高级网络行动的模型都依然值得关注。

两种观点都有道理，但绝对的类别豁免是一种粗放的回应。基于能力的审查可以对开放与封闭模型区别对待，而不将其中一类视为无害。

例如，评估者可以在开放模型发布前对其进行审查，同时采取针对不可逆分发特点设计的控制措施。缓解措施可能侧重于权重安全、分阶段发布、硬件要求，或不提供某项危险能力。

封闭系统可能面临不同措施。提供商可以增加监控、速率限制、账户控制或服务器端过滤。同样的测试结果并不要求对不同发布类型采取相同的缓解措施。

但据报道，该框架似乎在资格认定阶段就让架构和分发方式成为决定性因素。这可能导致一种激励：将发布描述为开放，同时让有关能力门槛的棘手问题悬而未决。

这也使竞争问题更加复杂。Meta 一直大力推广开放模型，而 Anthropic 则主张对能力最强的系统实施更严格控制。Google 在一些产品系列中支持开放发布，同时对其最先进系统保持控制。Amazon 通过 AWS 同时分发专有模型和公开可用模型。

这些混合策略使简单的公司对公司叙事具有误导性。关键分界线存在于各家公司内部及其产品线之间。

Amazon 和 Google 的云业务说明了现实问题。企业客户并不会在统一的发布结构下使用模型。他们会比较托管 API、可下载权重、微调系统，以及通过云市场提供的第三方模型。

一个审查某种分发路径却忽略另一种路径的框架，可能产生不一致的保障。采购团队可能将政府参与视为封闭模型获得更多审查的证据，而不一定意味着其风险更低。

这一豁免也会影响国际竞争。在美国芯片或服务获取受限的国家，境外开发的开放模型可以迅速扩散，并支持本土研究。

白宫似乎将开放模型的广泛可用性视为与中国战略竞争的一部分。批评者则认为存在相反风险：先进的可下载系统可能将能力转移到美国提供商触及范围之外。

不存在简单的政策解决方案。政府必须决定，为了获得更大的创新与地缘政治影响力，它愿意接受多大程度的不可逆扩散。

据报道，当前框架通过排除开放模型来选择扩大覆盖。由于实际标准仍属秘密，公众无法判断官员们是设定了能力上限，还是仅仅将这一类别挡在门外。

这种不确定性比任何单一基准都更具影响。发布后最难控制的系统，可能在发布前获得最不显眼的联邦审查。

自愿审查仍可能重塑 AI 市场

该框架的商业影响将更多取决于采购、声誉以及获得政府专业知识的机会，而非正式执法。

自愿项目不会施加传统的许可要求。理论上，只要没有其他法律阻止发布，公司可以不提交模型就推出产品。

市场很少会维持这种清晰的区分。企业买家会将技术信号转化为采购要求。保险公司会询问供应商是否遵循公认做法。董事会则希望看到供应商已预判国家安全和网络安全风险的证据。

因此，参与可能成为一种竞争资质。即使政府从未正式批准，一家公司也可以告诉客户，其模型在发布前曾与联邦评估者接触。

这种表述需要谨慎监管。“已审查”并不等于“安全”，短暂的发布前评估也无法识别每一种滥用路径。政府应防止开发者将参与行为转化为具有误导性的政府背书。

不参与可能带来相反问题。初创公司可能缺乏应对流程所需的法务团队、安全环境或政府关系。客户或许会将其缺席解读为安全失败，而非资源限制。

在这些条件下，大公司具有明显优势。Amazon、Google、Microsoft、Meta、OpenAI 和 Anthropic 已经拥有安全团队，并与联邦机构保持关系。相比规模较小的实验室，它们更容易支持对未发布模型的受控访问。

如果政府免费提供测试专业知识并保护专有信息，审查流程仍可能帮助初创公司。共享评估资源将减少每个开发者建立昂贵内部项目的需求。

未公开的规则使这种益处充满不确定性。小型公司需要在规划参与前了解资格要求、申请程序、技术前提条件和数据处理保护措施。

云服务提供商将感受到间接压力。AWS、Google Cloud 和 Microsoft Azure 托管来自多家开发者的模型。客户可能会要求它们记录某个模型是否进入联邦审查、测试的是哪个版本，以及后续微调是否改变了其风险特征。

版本管理尤其重要。安全结果适用于特定的模型配置、工具集和部署环境。将同一模型接入代码执行或敏感数据库，可能改变其实际能力。

因此，企业不应将该框架视为自身控制措施的替代品。它们仍需要访问管理、日志记录、测试、事件响应，以及对 AI 系统可检索数据的限制。

知识工作者面临相关问题。一个模型可能通过前沿网络安全测试，却仍不适合处理机密文件、受监管记录或自动化业务决策。国家安全审查与企业保障回答的是不同问题。

比较系统的团队可以使用结构化的 AI 知识库，保存模型卡、评估结果、政策和事件记录。当有关联邦审查的公开信息仍然有限时，这类文档会变得更有价值。

Amazon 和 Google 的客户也应关注合同变化。云服务协议可能开始区分已审查和未审查模型，或托管系统与可下载权重。供应商可能会新增有关参与评估的陈述，但不保证任何结果。

竞争主管部门应监控特权访问是否造成不公平优势。由既有实验室主导的流程可能帮助它们塑造符合自身架构、人员配置和发布实践的门槛。

独立评估机构提供了一种有限的制衡力量。将它们纳入其中，能够拓展专业能力，并减少政府与头部企业在闭门环境中相互审查的观感。

独立性并非只靠一个新机构的名称就能实现。评估机构需要稳定的资金来源、受保护的访问权限、明确的利益冲突规则，以及报告重大分歧的自由。否则，它们仍只是依赖被评估实体提供访问权限的承包方。

该框架无需成为强制性规定，也能发挥作用。它可以建立共同语言、支持敏感测试，并识别任何单一公司都无法独自发现的威胁。

它也可能固化为偏向既有巨头的私有标准。公布治理规则将有助于判断该项目正走向哪一条路径。

三个信号将表明该框架是否值得信任

下一项考验并非另一份白宫声明，而是该流程能否带来持续参与、可信审查，以及一套站得住脚的开放模型政策。

第一个信号是一份公开的治理文件。政府应披露由谁负责审查、模型如何获得资格、利益冲突如何处理，以及开发者在发现严重问题后必须采取哪些行动。

这一披露不必公开机密基准测试。如果能够公布，将有力支持这样一种观点：保密仅限于真正涉及安全的细节。持续沉默则会加深外界的批评，即整个决策过程都处于公众监督之外。

第二个信号是首批完成审查所产生的证据。官员应公布汇总结果，包括有多少系统进入该流程，以及评估机构要求采取缓解措施的频率。

在模型发布前，发布针对特定模型的报告或许并不现实。但匿名化总结仍可证明，该框架确实会改变发布决策，而非只是向大型企业提供私下简报。

读者还应关注开发者所使用的措辞。“参与审查”是对流程事实的表述。“获得政府批准”则意味着一种结论，而该项目可能并非旨在提供这种结论。

第三个信号是政府如何对待开放权重系统。官员需要说明，这项豁免是永久性的、受能力限制的，还是将适用单独的评估路径。

单独的路径将强化该框架基于风险的逻辑。它承认开放和封闭系统需要不同的缓解措施，同时拒绝“某一种分发模式无需任何审查”的假设。

永久性的全面豁免会削弱政府的国家安全论证。即使官员将先进网络能力描述为联邦介入的理由，它仍会让不可逆的发布行为处于该项目之外。

Amazon 和 Google 将通过直接参与、公开评论、云政策或自身安全披露，帮助塑造这三个信号。它们现有的框架为官员提供了示例：如何在保护敏感测试的同时公开治理原则。

其他公司同样重要。Anthropic 对更强前沿安全保障措施的支持、Meta 对开放模型的辩护，以及 OpenAI 对广泛利益相关方参与的呼吁，共同界定了白宫流程周围的政策边界。

政府应避免将分歧描述为一方反对安全的证据。开发者对于风险出现在哪里、哪些控制措施有效，以及监管如何影响竞争存在不同看法。这些都是实质性争议，可信的框架必须正视。

企业应跟踪这一流程，而不必等待一个明确的政府标签。它们可以询问供应商：评估的是哪个模型版本、评估者获得了哪些访问权限，以及部署版本是否包含测试配置中未具备的能力。

安全团队还应要求提供发布后变更的文件记录。即使基础版本曾进入联邦审查，与外部工具、本地文件或特权系统相连的模型也需要重新测试。

知识工作者也可以在更小范围内采取同样的严谨做法。记录由哪个模型处理任务、它访问了哪些信息，以及哪些说法需要人工核验。一个可搜索的知识库有助于让这些决策与其支撑证据保持关联。

因此，Amazon 和 Google 的故事并不在于两家科技公司是否支持安全。两者都已作出公开承诺，并建立了内部框架。尚未解决的问题是，华盛顿能否将私下合作转化为外部人士可以评估的流程。

保密测试与民主问责并不相互排斥。政府可以保护漏洞利用信息、机密情报和未发布的模型细节，同时公开权限、程序和汇总结果。

在这种区分出现之前，白宫的秘密框架将带有两种相互竞争的身份。它既是测试危险能力的潜在有用渠道，也是一个对模型发布拥有日益增长影响力的不透明关卡。

未来一到三个月将揭示哪一种身份占据主导。关注已公布的治理规则、可衡量的审查结果，以及连贯的开放模型政策。这些信号将表明，Amazon 和 Google 的安全实践是在塑造可信的国家标准，还是仅仅围绕着另一项私下协议。