Anthropic、Google 和 OpenAI 进入白宫对自愿 AI 规则的测试

尽管华盛顿承诺避免对前沿 AI 发布实施强制审批，Anthropic、Google 和 OpenAI 仍于 8 月 4 日进入一项新的监管实验。

白宫会议召集这些公司，并邀请 Meta、Nvidia 及其他行业代表参加。官员介绍了在高级模型公开发布前进行自愿政府测试的规则。这些会谈紧随 6 月的一项行政命令，该命令设立了测试流程，但并未建立许可制度。

因此，Anthropic、Google 和 OpenAI 的讨论不只是又一次政策咨询。它们检验的是：自愿合作能否在不演变为政府对模型发布的非正式许可的前提下，管理国家安全风险。

随着领先模型在发现软件漏洞和支持复杂网络行动方面的能力不断增强，这种紧张关系愈发突出。它也暴露出该框架的一大缺口：当前方法聚焦封闭模型，却将可下载的开放权重系统排除在外。

这一区别有利于发布模型权重的公司，包括美国和外国开发者。它则对那些保留模型控制权、限制访问，并能够在技术上配合发布前测试的实验室施加了更大审查压力。

这场会议安排在本文发布日期之前。后续报道澄清了会议结果，包括该框架对封闭模型和开放权重模型的处理方式。最初只是一次会议预览，如今已成为检验华盛顿打算如何监管前沿 AI 的试金石。

Anthropic、Google 和 OpenAI 被要求审查什么

8 月 4 日的会议将一项广泛的行政命令转化为一套更具体、但仍未公开的模型测试框架。

白宫邀请领先 AI 和芯片公司的代表前往华盛顿，审阅政府提出的测试规则。报道称，与会者包括 Anthropic、Google、OpenAI、Meta 和 Nvidia。

该框架涉及前沿模型，即处于通用 AI 能力最前沿的系统。政府关注的重点是展现出先进网络安全或黑客能力的模型。

美国总统 Donald Trump 通过一项 6 月 AI 命令设立了这一基础流程。该命令要求联邦机构与美国开发者寻求就模型测试达成自愿协议。

参与的机构包括商务部、国防部、国土安全部和财政部。该命令还赋予国家安全机构在制定评估及应对已识别风险方面的职责。

这一流程要求参与的开发者在发布受覆盖模型前提供访问权限。政府专家随后可以评估可能威胁关键基础设施或国家安全的能力。

不过，该命令设有一条重要边界。它明确表示，该流程并不授权对 AI 发布实行强制许可、预先审查或政府审批。

这一表述反映了政府试图同时维持的两种立场。官员希望更早接触危险能力，但反对可能拖慢美国开发者步伐的广泛监管制度。

由此形成的安排在很大程度上依赖合作。开发者可以参与其中，分享一款接近完成的模型，并参考政府的发现，而无需正式放弃对发布日期的控制权。

这一设计不同于传统的产品审批制度。政府不会发放公开证书，也不会正式批准或否决每一次发布。

报道称，此次会议鼓励公司提交接近发布阶段的模型。相较于尚未完成的研究检查点，这种做法能让评估人员接触到更具代表性的产品。

但这也留下很少的补救时间。若在临近发布时发现严重漏洞，公司可能不得不推迟部署、限制访问，或与官员协商替代方案。

白宫尚未公布完整框架。这限制了外界对其门槛、评估方法、访问控制以及解决分歧程序的独立审查。

部分网络安全基准具有保密性质，也带来另一项限制。公开披露可能帮助对手专门训练模型通过测试，却不解决其根本危险。

但保密同样使外部问责更加困难。研究人员、客户和立法者无法轻易判断，相同标准是否适用于相互竞争的公司。

因此，8 月会议改变了 AI 监管的实际环境。华盛顿如今已拥有审查某些前沿发布的明确路径，即便参与在法律上仍属自愿。

为什么封闭模型承担监管负担

核心取舍在于覆盖范围不均：仍受公司控制的模型面临审查，而可下载的权重则避开了初始框架。

根据会后报道，该框架将受覆盖的前沿模型定义为封闭且达到最先进水平、并具备与国家安全相关能力的模型。

封闭模型将其训练参数保留在开发者控制之下。客户通常通过应用程序或 API 访问它，这使软件能够远程与模型通信。

开放权重模型则将这些训练参数提供下载。用户无需依赖原始开发者托管的服务，即可运行、修改、微调和再分发模型。

开放权重并不等同于开源软件。一次发布可能提供模型参数，却不提供训练数据、开发代码或实现完整可复现性所需的其他材料。

这一区别之所以重要，是因为封闭模型提供商可以监控访问、更新防护措施、暂停账户并撤回模型。开放权重一旦分发，就很难再加以控制。

尽管存在这种差异，白宫框架目前仍将开放模型排除在审查范围之外。会后公布的 框架细节称，其覆盖范围仅限于先进的封闭系统。

据报道，官员还告诉公司，开放权重模型不会接受自愿安全测试流程。这一政策反映出政府对开放开发的支持，以及对限制美国创新的担忧。

这一豁免造成了明显的安全矛盾。开发者仍可更新和限制的系统会接受发布前审查；任何人都可下载和修改的系统却避开同一流程。

这背后存在现实解释。政府可以与运营封闭服务的美国公司协商访问权限；面对由海外实验室发布的模型，政府掌握的工具则更少。

开放模型也支持研究、定制和本地部署。大学和小型公司无需为向远程提供商发出的每一次请求付费，就能研究这些模型。

OpenAI 曾表示，封闭系统和开放权重系统服务于互补的用途。其 开放权重立场称，开放发布可以支持研究、扩大访问范围，并增强美国的 AI 领导地位。

Meta 和 Nvidia 同样反对过早限制开放模型。他们的立场将开放性视为一种经济和战略优势，尤其是在面对快速进步的中国实验室时。

Anthropic 和 Google 对最强大模型的公开立场则更为谨慎。两家公司都强调评估、受控访问，以及针对具有严重网络风险系统的防护措施。

这一政策缺口尤为重要，因为模型架构并不决定能力。开放权重模型可以接近封闭模型的性能，而封闭产品也可能仍低于任何有意义的风险门槛。

因此，一套持久的框架需要以能力为基础的触发条件。它不能假定分发方式总能预测国家安全风险。

政府目前的方法似乎同时采用能力和发布结构作为标准。据报道，受覆盖系统必须是封闭的、先进的，并且与特定安全问题相关。

这一组合缩小了需要接受审查的模型范围。它也降低了普通商业工具或较小研究系统被卷入联邦测试流程的可能性。

然而，它也可能制造政策制定者并不希望看到的激励。开发者可能会部分为了避免封闭部署所附带的预期，而倾向于开放权重发布。

公司也可能围绕某个模型是否属于最先进水平展开争论。若没有公开门槛，这一标签就可能成为谈判的对象，而非客观的技术结论。

Anthropic、Google 和 OpenAI 的会议并未解决这种失衡。它将这一区别正式化，同时为官员随着开放模型能力提升而重新审视其监管方式保留了空间。

自愿测试仍可能影响发布决策

当政府掌控合同、机密信息访问权和国家安全关系时，自愿框架仍能施加巨大压力。

“自愿”一词暗示公司保有完全独立性。但在实践中，拒绝政府测试可能带来商业、政治和声誉方面的后果。

前沿实验室寻求联邦合同、研究合作、安全许可和获取政府专业知识的机会。它们也希望政策制定者将其视为值得信赖的美国基础设施提供者。

一家在识别出先进网络能力后拒绝测试的公司，会面临棘手问题。企业客户可能会追问，开发者为何拒绝接受已有的政府评估。

官员也可能重新考虑采购决定。即使不正式阻止产品公开发布，他们仍可能限制其在敏感系统中的使用。

Anthropic 近期与华盛顿的关系说明了这种压力。该公司此前曾因军事用途限制以及联邦对 Claude 的访问问题，与政府发生冲突。

Anthropic 反对将其技术用于完全自主武器和国内监控。这场争议随后升级为试图限制政府使用其产品。

后来，Anthropic 领导层与白宫官员举行的会议聚焦网络安全、AI 安全和持续保持美国领导地位。这段关系表明，政策分歧能够多么迅速地影响模型提供商的政府业务。

随着先进网络能力变得更加紧迫，政府的立场发生了变化。据报道，Anthropic 的 Mythos 模型因其能够识别重大软件漏洞的说法而受到关注。

这些能力带来了双重用途问题。同一模型既可以帮助防御者定位弱点，也可以帮助攻击者在补丁发布前利用系统。

6 月命令正是在这场安全讨论中出现的。其流程让联邦评估人员能够提前获得访问权限，同时避免建立正式的发布否决权。

Anthropic、OpenAI 和 Google 均在公开声明中欢迎这一命令。OpenAI 首席全球事务官 Chris Lehane 强调了民主制度、技术专长、问责与公众信任。

它们的支持不难理解。当模型展现出令人担忧的新能力时，一套统一的联邦流程可以取代临时拼凑的谈判。

它还可以避免某一家开发商成为唯一推迟发布的公司。当竞争对手可能推出能力相当的系统时，竞争压力会让单方面克制变得困难。

如果所有相关开发商都参与，共同的测试窗口就能缓解这一问题。每家公司都能在一定程度上确信，其最接近的竞争对手也面临类似预期。

然而，自愿测试并不能消除竞赛。公司仍自行决定何时将模型视为足够成熟、可以提交测试，评估人员能获得哪些访问权限，以及如何回应评估发现。

据报道，30 天的窗口期相较于传统监管审查而言很短。这反映出一个产品计划快速变化、性能优势可能在数月内消失的市场。

在临近发布时收到的政府反馈，仍可能改变上市安排。公司可能限制某些工具、加强监控、推迟广泛开放，或仅向特定合作伙伴提供该系统。

这种结果在法律上并不构成政府批准。但对客户和投资者而言，联邦评估后的延迟看起来可能非常相似。

反过来也可能发生。公司可能不顾政府担忧继续推进，并表示参与测试从未转移最终决定权。

届时，官员将面临选择：公开分歧、施加采购压力、寻求其他法律授权，或接受公司的决定。

因此，该框架真正的力量将来自关系，而非法律惩罚。这使得一致的对待方式至关重要。

如果一家实验室获得低调的灵活处理，而另一家面临公开压力，自愿合作将失去可信度。公司会将这一流程视为政治谈判，而非技术风险管理。

这正是这一政策故事中的主要对立：自愿合作与非正式预先许可之间的对立。二者的边界将通过实际的发布争议来界定，而不仅仅取决于行政命令的措辞。

未公开的规则带来了问责问题

政府希望进行对手无法研究的保密测试，但保密又使外界无法判断这一流程是否公平或有效。

网络安全评估往往需要保密细节。公布每一条提示词、漏洞利用环境和评分阈值，可能让开发商专门针对测试进行优化。

这也可能暴露防御弱点。围绕关键基础设施设计的基准测试，可能泄露攻击者可用于攻击真实系统的信息。

因此，存在保密或机密组成部分是可以理解的。政府评估人员需要有空间测试危险能力，同时避免制造一份公开的操作手册。

更令人担忧的是围绕框架本身的广泛保密。据报道，白宫并不计划公布由这些公司审阅的完整文件。

这一决定掩盖了基本的治理问题。公众不知道确切的能力阈值、决策流程、申诉机制，或规范评估人员访问权限的规则。

官员将如何区分模型能力与模型行为，同样尚不清楚。一个系统可能拥有危险的技术知识，却能在正常条件下拒绝有害请求。

评估人员需要测试，在执意绕过限制的尝试下，安全防护是否仍然有效。这类尝试通常被称为越狱，即旨在突破模型限制的提示词或技术。

一次成功越狱并不自动证明存在灾难性风险。评估人员必须考虑其可靠性、所需专业知识、可用替代方案，以及模型是否实质性降低攻击者的成本。

同样的区分也适用于防御性使用。能够发现漏洞的模型，可以帮助组织修补软件、分析事件，并在部署前测试应用程序。

因此，政府评估结果可能支持多种应对措施。官员可能建议加强防护、限制访问、强化监控、延迟发布，或向防御性合作伙伴受控提供。

如果没有公开原则，观察者就无法知道为何选择某一种应对方式。他们也无法比较 Anthropic、Google 和 OpenAI 之间的结果。

该框架还面临另一项验证挑战。政府官员可能缺乏足够独立的算力、工程人才或评估时间，来彻底测试每一个重要模型。

短暂审查可以识别明显风险，却可能遗漏异常行为。模型性能也会在部署后因工具访问、系统提示词、更新和用户创建的集成而变化。

发布前测试只能捕捉一个快照。它无法替代模型面向客户并进入真实环境后的持续监控。

此前的 AI directive 被定位为一项狭义的国家安全措施，而非对每一个新模型的监管。有限的范围可以让流程保持可管理性。

但狭窄的覆盖范围也带来了筛选问题。官员需要可信标准，以决定哪些系统应接受审查，哪些系统仍处于框架之外。

政治历史加剧了这一担忧。该政府在围绕网络安全重建较窄流程之前，撤除了多项先前的联邦 AI 安全保障措施。

支持者认为，这一转变是更有针对性的做法。批评者则认为，在先进系统产生政府无法忽视的风险后，这是一种临时拼凑、重回监管的做法。

参议员 Mark Warner 欢迎 6 月的政策，同时批评政府拆除了先前的保护措施。他的回应体现了围绕必要测试与执行不一致的两党紧张关系。

当前框架还依赖公司对自身模型的声明。开发商拥有最好的内部数据，但也有快速发布产品的财务激励。

独立评估人员可以质疑这些声明。然而，他们的可信度取决于明确的授权、一致的方法，以及足以证明公平对待的透明度。

不应将 Anthropic、Google 和 OpenAI 的流程描述为已尘埃落定的监管。它是一项保密实验，其最重要的程序尚未在公开争议中得到检验。

三个信号将显示该框架是否有效

下一批有意义的证据，将来自模型发布、对开放权重模型的处理，以及政府对分歧的回应。

第一个信号是一款受覆盖模型进入自愿审查流程。观察者应关注开发商是否在临近发布时提交访问权限，以及随后是否调整发布计划。

延迟、受限发布或安全防护更新，将表明测试影响了实际决策。发布未变并不能证明失败，因为评估人员可能没有发现严重问题。

最有力的证据将包括公司解释哪一类风险改变了其计划。它可以保护机密细节，同时说明总体推理过程。

完全没有披露将削弱公众信心。客户会知道审查发生过，却不知道公司是否处理了实质性发现。

第二个信号是官员如何应对一款具备强大网络能力的前沿开放权重模型。这一案例将考验该框架最显眼的豁免条款。

会后报道表示，政府不会依据现行规则测试开放权重系统；同时也指出，随着技术进步，这一立场可能发生变化。

一项能力强大的美国开放发布，将检验华盛顿是否更重视国内开放性，而非一致的评估。一项外国发布则会暴露自愿美国流程的局限。

政府可能通过研究、出口管制、采购规则或防御准备来回应，而不是进行发布前测试。每种选择都会对创新和访问权限产生不同影响。

开放模型问题也会影响竞争。如果封闭提供商面临延迟，而开放权重竞争对手无需接受政府审查便能分发能力相当的模型，它们可能提出异议。

如果评估人员按性能而非可控性衡量风险，这种异议将更加强烈。可下载的模型即使在原始开发商停止支持后，仍可能无限期可用。

第三个信号是官员与参与公司之间首次严重分歧。这一事件将界定“自愿”在实践中的含义。

如果公司在没有报复的情况下继续推进，该框架将看起来像真正的咨询。如果联邦机构施加无关压力，批评者将称其为非正式许可。

透明的争议处理流程可以降低这种风险。官员可以说明总体担忧，让公司回应，并明确任何政府行动所依据的法律授权。

该框架还需要在各公司之间保持一致对待。Anthropic 艰难的政治关系不能成为对其采用比 Google 或 OpenAI 更严苛标准的理由。

反过来也是如此。公司的政府合同或高管关系，也不应减少对其模型施加的审查力度。

对于开发商和企业买家而言，这些信号在任何法规改变之前就已十分重要。自愿审查可能影响发布时间表、功能可用性和对先进系统的访问。

安全团队应预期会出现更多分阶段部署。提供商可能最初限制高风险工具、监控特定用户，并在额外测试后扩大访问范围。

产品团队也应区分提供商的保证与独立评估。政府审查可以提升信心，却不能保证每个工作流程中的表现都安全。

知识工作者将面临一种更隐性的影响。在安全、法律和采购团队了解审查结果之前，他们所在组织可能会限制新模型的使用。

当团队比较多个提供商时，这种延迟会使内部文档管理更加复杂。一个可搜索的 AI knowledge base 可以在这些审查过程中保留评估记录、政策变更和部署决策。

白宫会议并未产生一套全面的 AI 监管机构。它建立了一项更狭窄的安排：特定公司共享先进的封闭模型，以供保密测试。

这项安排可以在部署前识别真实的网络风险，但也可能将影响力集中在联邦官员和最大的实验室手中。

其合法性将取决于可观察到的一致性。政府必须证明，决定其回应方式的是技术证据，而非政治或市场力量。

开放权重豁免仍是最棘手的未决问题。它按分发方式区分系统，而这些系统的能力仍在持续趋同。

未来三个月，请关注经过审查的模型发布、高能力开放发布，以及首起关于测试的公开分歧。这些事件将共同揭示，Anthropic、Google 和 OpenAI 加入的是一套有用的安全流程，还是一套未公开的审批系统。

评估新 AI 产品的团队，应在调整敏感工作流程前记录这些信号。应询问：哪一个模型接受了测试、审查覆盖了什么内容，以及部署后由谁控制访问权限。这些答案比提供商笼统的安全表述更重要。