Anthropic 与 Google 会谈让自愿 AI 安全测试直面发布竞赛

Anthropic、Google、OpenAI 和 Meta 于 8 月 4 日与特朗普政府官员展开会谈，尽管双方在政府 AI 安全测试问题上存在严重分歧。此次会议聚焦一套已完成的先进模型自愿审查框架。然而，其标准、时间表和后果在很大程度上仍未公开。

Anthropic 与 Google 的讨论并非又一次围绕负责任 AI 的泛泛对话。它们检验的是，联邦审查人员能否在模型发布前审查前沿模型，同时不获得正式监管权力。这也暴露出安全审查与争相发布能力日益强大的系统之间的根本冲突。

这种冲突已经超越政策理论层面。据报道，政府担忧已影响 Anthropic 和 OpenAI 近期的模型部署。与此同时，Meta 仍与开放权重发布紧密相关，而这类模型一经公开便难以控制。

因此，核心问题十分实际：当审查失败可能威胁到公司的发布时间表、客户或政府合同时，自愿测试能否影响其决策？

白宫已有框架，但企业仍需要明确规则

8 月 4 日的会议标志着工作重心从讨论联邦 AI 审查转向协商这些审查将如何运作。

白宫邀请 Meta、Anthropic、Google 和 OpenAI 的工作人员审阅其已完成的先进 AI 模型评估框架。据报道，此次聚会被安排为工作人员级别会议，而非首席执行官与唐纳德·特朗普总统之间的峰会。

这一差别很重要。技术和政策团队现在需要解决公开声明尚未回答的操作问题，包括定义、提交程序、审查时间表、披露规则，以及处理有争议结果的流程。

政府表示，已在特朗普总统 6 月 2 日行政命令规定的期限前完成自愿框架。然而，政府尚未公开完整文件，也未确认每一家参与企业。

根据一篇关于评估框架的报道，该框架旨在帮助开发者判断其开发中的模型是否符合联邦审查资格。据称，其网络能力基准将维持机密状态。

保密基准可以防止开发者专门设计模型以通过已知测试，也能保护可能暴露进攻性网络安全技术的细节。然而，保密也让客户、研究人员和立法者更难判断审查流程是否一致。

至少从其公开表述来看，该框架是自愿性的。这意味着参与企业并非在回应传统许可要求。没有任何已公开法律会自动禁止发布获得较差评估的模型。

自愿并不一定意味着无关紧要。政府采购 AI 服务、控制对机密网络的访问、管理出口限制，并塑造国家安全政策。即使没有专门的 AI 监管机构，这些权力也能影响企业。

因此，这次会议带来了若干悬而未决的问题。哪些模型会达到测试门槛？开发者必须提前多久联系联邦审查人员？谁能获得结果？官员能否要求限制发布？

另一个问题涉及分歧。实验室可能接受技术结果，但质疑政府对结果的解读。它也可能认为，危险能力只会在不现实的条件下出现。

这种可能性并非抽象。安全评估往往取决于提示词、工具、权限、脚手架以及反复尝试。所谓脚手架，是指帮助模型规划、使用工具并完成更长任务的软件结构。

改变这些条件可能会实质性改变结果。一个在普通聊天界面中显得能力有限的模型，在连接代码执行或网络工具后可能变得更强大。

公开框架最终必须说明，审查人员如何区分可信的安全风险与人为制造的实验室演示。在此之前，这次会议代表的是流程上的进展，而非有效监督的证明。

它也构成了本文的主要张力：政府希望尽早接触敏感系统，而开发者希望获得不会扰乱竞争性发布的可预测审查。

为什么 Anthropic、Google 及其竞争对手此刻面临压力

由于先进模型正变得可用于网络行动，而不只是更擅长回答问题，联邦安全审查变得更加紧迫。

政府的努力源于数项相互交织的担忧，包括政府采购、机密部署、模型盗窃、网络攻击，以及先进智能体可能在受控环境之外行动的可能性。

AI 智能体是能够规划任务并使用外部工具的基于模型的系统。这些工具可包括浏览器、终端、云服务或软件代码库。

这种访问能力为开发者和安全团队带来实际益处，同时也改变了风险状况。聊天机器人可以描述软件漏洞，但智能体可能会搜索目标并尝试利用漏洞。

政府在 2026 年早些时候扩大了测试合作关系。Google、Microsoft 和 xAI 同意接受评估，而与 Anthropic 和 OpenAI 更新后的安排则延续了此前的工作。

一份 5 月发布的测试项目摘要称，政府评估人员正在审查先进模型的国家安全风险。这些合作关系为目前正在讨论的更广泛框架提供了制度基础。

6 月 2 日的安全指令增加了政治压力。该指令将前沿模型开发与国家安全及联邦部署决策联系起来。

对 Anthropic 和 OpenAI 而言，压力关乎访问和时机。两家公司均开发封闭模型，可以向评估人员提供受控的发布前访问权限。它们也依赖频繁发布，以巩固在企业和消费者市场中的地位。

Google 面临类似的时机问题，但其影响范围覆盖更大的产品组合。其模型可能影响云服务、办公软件、搜索产品及政府关系。因此，审查延迟带来的后果可能超出单个聊天机器人的发布。

Meta 面临不同挑战。开放权重模型会分发运行和修改该系统所需的数值参数。一旦这些权重开始流传，Meta 和政府都无法可靠地收回每一份副本。

这种差异并不意味着开放权重模型天然不安全。研究人员、初创公司和防御者可以检查并调整它们。开放访问能够支持封闭供应商可能永远不会授权的独立测试。

然而，这种发布模式使部署前控制更加复杂。政府审查人员必须在公开前发现问题，因为后续限制的覆盖范围有限。封闭模型提供商则可通过托管服务和账户权限保留更多控制权。

企业之间也彼此施压。与漫长审查流程合作的开发者，可能会在采用更窄流程的竞争对手面前失去时间优势。在重大产品发布临近时，这种激励会更强。

当合作带来不均等成本时，自愿体系便会举步维艰。如果一家公司等待而另一家公司发布，谨慎的参与者便承担商业代价。这种结构可能使安全承诺演变为协调问题。

政府官员也面临自身压力。他们需要足够的访问权限来发现严重风险，但又不能显得在选择商业赢家。模糊的门槛可能让一家公司的模型被纳入审查，却让可比竞争对手置身事外。

风险还延伸至企业买家。企业正越来越多地将模型连接到内部文档、代码、客户记录和运营系统。部署后才发现的问题可能蔓延至许多下游产品。

采购团队将希望了解某个模型是否完成了政府测试，也需要了解这种保证的边界。通过机密评估并不意味着该模型在每个私有网络中都能安全运行。

开发者也面临类似的信息缺口。他们可能通过 API 获得模型，却看不到其最关键的评估证据。政府参与可以提高信心，但保密也可能用另一套不透明流程取代原有流程。

Anthropic 与 Google 的会议之所以重要，是因为这些压力正在汇聚：模型能力不断进步，联邦采用范围持续扩大，近期安全事件也使延迟行动更难辩护。

自愿 AI 安全测试遭遇商业发布竞赛

该框架的决定性取舍在于，有意义的审查能否与由竞争企业控制的发布时间表并存。

发布前测试并非新承诺。2023 年，包括 Anthropic、Google、Meta 和 OpenAI 在内的七家领先开发商接受了白宫的自愿承诺。

这些发布前承诺包括内部和外部安全测试，也涵盖信息共享、网络安全保护、公开报告以及识别 AI 生成内容的方法。

新流程看起来更聚焦，也更具操作性。它关注可能引发国家安全担忧的先进能力，尤其是在网络安全领域。政府目前正试图界定政府评估人员何时介入开发周期。

这种变化很重要，因为承诺测试比承诺接受后果更容易。企业已经进行内部评估并发布经过选择的发现。更棘手的问题出现在外部审查人员要求延迟或限制时。

一个有用的框架至少需要四项要素：明确的模型门槛、充足的测试时间、对结果的既定访问权限，以及解决争议的流程。

门槛决定哪些系统符合资格。训练期间使用的算力提供了一种可能的衡量标准，但它并不直接反映能力。配备有效工具的较小模型，可能在专业网络任务上胜过较大模型。

能力基准提供了另一种方法。它们测试系统能否完成与高级攻击、防御、生物研究或自主运行相关的任务。然而，基准表现会随提示词和工具访问权限而变化。

时机带来另一个问题。开发者往往会一直改进模型直至发布前不久。对早期检查点的审查可能遗漏后续变化，而晚期审查则可能与营销、基础设施和客户承诺发生冲突。

该框架还必须处理模型更新问题。供应商无需重新训练基础模型，就可以更改系统提示词、安全过滤器、工具权限或检索组件。一些更新可能会实质性改变风险。

一次审查无法覆盖未来的每一种配置。政府可能需要设定触发重新测试的变更阈值。否则，经过认证的版本可能成为一个实质不同产品的基础。

结果共享也带来相关的权衡。全面公开可能暴露敏感弱点或机密测试。完全保密则会阻止独立研究人员核查政府的结论。

一种可行的折中方案是公开评估类别、方法和高层级结论，同时保护可被利用的细节。政府尚未披露其框架是否遵循这一模式。

争议处理流程同样重要。实验室应能够凭借证据对结果提出异议。然而，无休止的申诉会让公司得以拖延时间，并在问题解决前发布产品。

正是在这里，自愿监管遭遇了商业现实。Anthropic、Google、OpenAI 和 Meta 并不按照统一的时间表开发模型。每家公司都有不同的投资者、客户、基础设施和战略重点。

OpenAI 和 Anthropic 主要通过受控服务分发其领先系统。Google 将托管模型与更开放的产品结合起来。Meta 已将开放权重作为其大部分 AI 战略的核心。

政府无法以完全相同的方式对这些模型实施干预。限制一项 API 功能，与推迟可下载权重的发布并不相同。其技术机制和下游影响并不等价。

因此，该框架需要的是可比的结果，而非完全一致的程序。每个被覆盖的开发者在测试发现严重风险时，都应面临可信的应对措施。这种应对可以反映模型触达用户的方式。

后果可能包括增加额外保障措施、限制工具访问、分阶段部署或扩大监控范围。对于开放权重发布，审查人员可能要求更早提交，因为发布后的控制措施较弱。

不过，在框架更加明朗之前，这些可能性仍属推测。白宫已确认框架完成，但完成并不等于已被采纳。参加会议的公司尚未公开接受每一项条款。

当参与者重视政府信任时，自愿模式仍然可以发挥作用。联邦合同和接触国家安全客户的机会提供了强大激励。声誉成本也可能阻止公司无视可信的发现。

当一项存在争议的发现影响重大产品发布时，这一体系就会变得脆弱。那一刻将检验合作究竟是一种治理机制，还是仅仅是一项公开承诺。

秘密基准测试留下巨大的问责缺口

政府测试可以识别严重危害，但仍可能无法提供公共问责所需的透明度。

机密网络安全基准测试有其合理目的。公开每项任务和漏洞利用路径，会帮助恶意行为者，并鼓励开发者针对测试进行优化。

然而，隐藏的基准测试会造成信息不对称。官员和参与公司能看到客户、研究人员和竞争对手无法审查的证据。公众随后只能得到结论，却看不到其技术依据。

这种结构引发了对一致性的质疑。每家公司获得的工具、时间和尝试次数是否相同？评估人员测试的是基础模型还是完整的智能体系统？是否启用了可比的保障措施？

答案可能会显著改变表现。拥有终端访问权限和已存储凭证的模型，与同一模型处于受限聊天窗口时，风险特征截然不同。

政府审查人员还需要具备足够的专业能力和计算资源，才能测试多个前沿系统。资源不足的项目可能造成延误，却无法产出可靠结论。

AI 标准与创新中心，即 CAISI，已成为联邦评估工作的重要组成部分。其影响力将取决于技术能力，以及跨届政府持续有效的授权。

独立性带来了另一项挑战。当政府机构同时采购模型、协商国防访问并管理出口政策时，它们并非中立观察者。采购利益可能会使测试偏向眼前的运营需求。

公司也有自身的利益冲突。它们最了解自己的模型技术，但也控制着证据和发布决策。仅靠自我报告无法化解这种矛盾。

独立评估表明，披露情况值得审视。一项针对 2023 年白宫承诺的同行评审研究发现，公开可观察到的合规情况存在很大差异。

这项承诺评估中，得分最高的公司约为 83%，而受评估公司的平均分约为 52%。该研究衡量的是已披露的行为，而非所有保密的安全活动。

这一限制很重要。较低的公开评分并不能证明一家公司没有开展内部工作。它表明外部观察者缺乏足够证据，无法核实其是否持续履行承诺。

另一项 2026 年评估发现，领先实验室普遍存在不足。这项安全指数给 Anthropic、OpenAI 和 Google DeepMind 评为 C+，而 Meta 获得 D+。

这类评级取决于各组织的方法论和判断，不应被视为监管结论。不过，它们显示出各界持续关注独立审查、风险管理和公开证据。

如果特朗普政府的框架建立标准化评估，它可能改善这一状况。如果公司将参与框架作为安全证明，却不披露参与涵盖的内容，它也可能加剧不透明性。

政府审查不应成为普遍的认可印章。前沿评估聚焦于特定条件下的选定风险，无法验证每一次部署中的隐私、偏见、可靠性、安全性和滥用问题。

因此，企业采购方应提出具体问题。测试的是哪个模型版本？审查了哪些能力类别？启用了哪些保障措施？供应商是否在评估后作出更改？

他们也应保持内部控制。无论是否经过联邦评估，访问权限、网络隔离、日志记录、人工审批和事件响应仍然必不可少。

处理敏感研究的团队可以通过维护可搜索的AI 知识库来强化这一流程。它可以保存模型版本、评估记录、部署决策和事件证据。

当供应商悄然更新模型时，文档记录尤为重要。团队需要知道，行为变化究竟来自自身工作流、供应商更新，还是新的工具集成。

此外还存在政治不确定性。自愿框架可能迅速变化，因为它们不像立法那样稳定。未来的官员可能扩大、缩小或重新解释测试门槛。

国会尚未建立针对前沿模型的全面联邦许可制度。因此，该框架通过行政权力、采购影响力、国家安全权力和公司合作运作。

这种安排可以比立法更快地作出响应，也可能导致规则不一致且审查渠道有限。

持怀疑态度的结论并不是测试没有价值，而是参与本身无法证明安全性、独立性或平等对待。有关实施的证据将比会议公告更重要。

开放与封闭模型带来不同的安全问题

最困难的政策问题并非哪种开发理念获胜，而是同一框架如何处理仍可控的系统和已不可控的系统。

Anthropic、Google、OpenAI 和 Meta 都对美国在 AI 领域的领导地位抱有共同利益。但它们并不共享同一种分发模式，也不认同开放性如何影响安全。

Anthropic 和 OpenAI 将其能力最强的模型权重保持私有。用户通常通过托管产品或应用程序编程接口（即 API）访问这些系统。

这种结构使供应商保持持续控制。它们可以暂停账户、拦截请求、更改保障措施、监控异常活动并撤回功能。但它也将信息和决策集中在公司内部。

Meta 的开放权重方式将更多控制权交给用户和下游开发者。组织可以在自己的基础设施上运行模型、修改模型并对其进行评估，而无需依赖托管供应商。

Google 同时采用两种模式。它既提供受控的前沿服务，也发布旨在供更广泛适配的模型。这使 Google 与测试争论的双方都密切相关。

开放模型的支持者认为，更广泛的访问能够增强研究、竞争和防御性安全。独立专家可以检查行为、复现发现并开发防护措施，无需寻求许可。

批评者则强调不可逆性。危险的托管功能可以被集中关闭，而下载后的权重则可能持续存在于私有服务器、外国司法辖区和经过修改的系统中。

封闭系统也有自身风险。外部专家无法充分检查专有训练数据或模型权重。供应商决定哪些研究人员获得访问权限，以及哪些发现会被公开。

因此，这一比较是分布式审查与集中控制之间的权衡。两种方式都无法消除滥用、安全故障或误导性的安全声明。

对白宫而言，实际任务是界定等效的审查义务。开放权重供应商可能需要更早进行评估，并提供更完整的发布文档；托管供应商则可能需要在部署后持续监控。

发布后监控很重要，因为用户会在真实环境中发现意外能力。受控 API 能够通过使用模式、滥用报告和安全事件产生证据。

开放模型产生的集中可见性较少。下游托管方可能增加保障措施、移除保障措施，或创建专用版本。原始开发者无法观察每一次部署。

框架应考虑这些差异，同时不能将安全作为保护封闭式既有企业的借口。只有大型实验室能够满足的规则，可能会削弱竞争，却无法降低风险。

较小的开发者和学术团体也依赖开放模型。它们往往缺乏训练前沿系统所需的计算资源。限制访问可能会将能力集中到少数资金雄厚的公司手中。

相反，不受限制的公开发布可能将成本转嫁给防御者。安全团队可能面对经过修改的系统，却没有可靠的供应商可联系。

这一紧张关系解释了 Meta 出席 8 月会议的重要性。若框架仅围绕受控 API 设计，就会让一条重要分发路径游离于其逻辑之外。

这也解释了为何不应夸大 Anthropic 与 Google 的一致性。两家公司都参与安全研究，但其产品、政府关系和开放策略各不相同。

这场会议并未形成统一的行业立场。它让相互竞争的公司参与同一场谈判，因为政府需要制定能够跨越其差异而有效运作的规则。

对于企业用户而言，分发架构应当影响采购决策。托管模式提供集中化控制，但会加深对供应商的依赖。自托管模式提供本地控制权，但也将更多安全责任转移给客户。

开发者应梳理模型权重、提示词、凭证以及生成的操作分别存放在哪里。他们还应明确，在发生事故时，谁有权停用系统。

与其笼统地询问开放或封闭 AI 是否普遍更安全，这些问题更具可操作性。答案取决于威胁模型、部署控制措施以及实际运营该系统的组织。

联邦测试应当让这些差异清晰可见。如果它把所有模型都压缩为单一的通过或不通过标签，就会掩盖决定现实风险的机制。

三个信号将表明该框架是否真正具备约束力

下一项考验是落实，首先要看企业参与情况、发布后果，以及相同标准是否确实适用于各开发者。

第一个信号是对覆盖门槛的公开说明。企业需要知道，哪些模型在发布前必须进行沟通。客户也需要足够的信息，以理解联邦审查究竟意味着什么。

明确的门槛将增强该框架的可信度。它可以降低官员通过私下协商或政治偏好选择模型的可能性。

持续的模糊性则会削弱它。开发者可能辩称某个系统不在该框架范围内，而外部人士却无法验证这一说法。

第二个信号是，模型获得令人担忧的结果后会发生什么。一个可信的流程应当形成有记录的回应，例如增加额外防护措施、分阶段开放访问，或开展进一步评估。

最能说明问题的案例，将涉及一款临近发布、具有重要商业价值的模型。如果每一次困难审查最终都按原定时间发布，该框架看起来就会只是咨询性质的。

仅仅延迟并不能证明成功。官员必须将任何干预与明确风险及相称补救措施联系起来。否则，测试可能变成不可预测的行政障碍。

第三个信号是，Meta、Anthropic、Google、OpenAI 及其他参与开发者是否获得可比的对待。可比并不意味着程序完全相同，而是指等同风险应受到等同审查。

关注开放权重发布是否足够早地进入流程，以便进行有意义的审查。同时也要关注封闭式提供商是否提交重大更新，而不是只提交经过精心挑选的版本。

公开报告可以支持这种比较，而无需披露机密基准。政府可以披露参与日期、广泛风险类别、已完成的缓解措施以及尚未解决的争议。

企业可以发布补充证据。模型卡、系统卡、事故报告和版本历史可以说明联邦评估前后发生了哪些变化。

企业采购方不应等待完美的政策。他们可以围绕模型版本管理、安全证据、更新通知、访问控制和事故协作建立采购要求。

开发者可以记录每项部署背后的假设。一套实用的工程知识库可以将模型评估与架构决策及后续事故关联起来。

知识工作者也应关注结果。模型正越来越多地对文档、通信内容和软件采取行动，而不再只是生成文本。因此，安全失效可能影响机密信息和业务运营。

8 月 4 日的会议之所以重要，是因为它迫使政府与领先实验室讨论运营规则。但这并不意味着这些规则已经奏效。

一个成功的框架将会在高风险发布前建立可预测的测试，并在评估发现问题时作出可信回应。它还会披露足够的信息，使外部人士能够评估一致性。

一个薄弱的框架则会产生私下会议、未公开的标准，以及有关合作的宽泛声明。企业将保留其发布动机，而政府则会在缺乏明确授权的情况下承担声誉责任。

未来几个月应当能够回答，正在形成的是哪一种版本。读者应关注门槛、首个存在争议的结果，以及不同分发模式所受到的对待。

对于 Anthropic、Google、OpenAI 和 Meta 而言，真正的承诺始于安全发现变得不便之时。对于白宫而言，考验始于干预带来政治或商业代价之时。

在这些时刻到来之前，自愿 AI 安全测试仍是一个正在协商的框架，而不是一套成熟的问责体系。问题在于，它的首个困难案例会改变一次发布，还是仅仅改变围绕发布的表述。