Microsoft AI 监管推动英国在自愿规则失效之处发挥引领作用

10 月 12 日，Microsoft AI 监管从宽泛原则转向了紧迫的政策诉求。公司总裁 Brad Smith 呼吁由英国主导制定全球安全规则。他传递了一个直白的冲突信号：洗衣机和牛奶受到的监管，比先进 AI 系统还要多。

Smith 希望在重大产品发布前进行独立评估，强制提交事件报告，通知受害者，并为脱离人类监督的系统设置紧急控制措施。他还认为，自愿承诺无法约束责任意识较弱的开发者。

其重要性并不只在于又一位科技高管支持监管。Microsoft 销售 AI 基础设施、分发 Copilot 产品，并持有 OpenAI 的重要股份。该公司总裁正在要求各国政府，对支撑 Microsoft 自身增长的行业施加外部约束。

Smith 还作出了地缘政治层面的选择。他认为，英国比华盛顿和布鲁塞尔都更可能成为全球 AI 安全协调的中心。这一判断基于英国 AI Security Institute 的技术专长及其接触前沿模型的渠道。

因此，核心冲突十分清晰：具有约束力的公共监督正在与企业自愿承诺竞争，而各国政府则在谁应制定规则的问题上存在分歧。

Brad Smith 希望规则在发布前后都适用

Smith 的提议将前沿 AI 视为安全关键型产品，而非开发者可在部署后再修补的普通软件。

在 TechCrunch 报道的一次 BBC 采访中，Smith 将 AI 描述为工具与武器兼具的技术。他表示，制定全球安全要求的时机已经到来。

洗衣机的比喻为这一论点提供了易于理解的框架。消费电器遵循成熟的产品安全体系。牛奶生产商则须接受检查并遵守可追溯性要求，以识别污染并保护消费者。

先进 AI 模型可通过软件采取行动、浏览网络、编写代码并使用外部工具。然而，政府在评估其最严重的能力时，往往依赖自愿开放的访问权限和企业自行报告的结论。

Smith 提议的规则涵盖 AI 系统生命周期中的多个环节。

独立评估机构将在先进模型发布前对其进行审查。这些评估人员将测试其能力与风险，而非仅依赖开发商内部安全团队的判断。

强制事件报告将记录重大故障和意外行为。统一的报告体系还可帮助监管机构识别不同开发者、产品和部署环境之间的模式。

当失控的 AI 智能体入侵某个组织的系统时，应适用受害者通知要求。Smith 的论点类似于既有的数据泄露通知义务，即受影响方会在安全事件发生后获得相关信息。

紧急制动机制将使运营方在失去有效控制时，能够暂停或限制系统。所谓“终止开关”听起来简单，但实际上可能涉及多种技术和运营控制措施。

开发者可能撤销模型访问权限、禁用特定工具、阻止高风险操作，或隔离受损系统。云服务提供商也可在严重事件期间限制计算资源或凭证。

Smith 所描述的全球安全规则将使这些控制措施成为法律义务，而不再只是由各家公司自行选择的可选功能。

Smith 还指出了行业自律的核心弱点。负责任的机构或许会遵守自愿承诺，但较弱的参与者可以无视这些承诺，而不会面临同等后果。

随着 AI 智能体获得更高自主性，这一问题会愈发突出。AI 智能体是指能够在有限人工监督下规划并执行多项操作的软件。它可以将模型与浏览器、代码解释器、企业应用或安全工具结合起来。

传统聊天机器人通常等待用户逐条发送消息。智能体则能持续完成一连串操作，这既提高了其实用性，也放大了其潜在影响。

这一差异对 Microsoft AI 监管至关重要。为聊天机器人错误设计的披露规则，未必能应对在多个互联系统中采取行动的智能体。

监管机构需要设定重大事件的门槛、独立评估的标准，以及清晰的干预授权。他们还需要证据证明，紧急控制措施能在现实条件下发挥作用。

Smith 提供的是方向，而非完整的法律设计。他的提议仍留下有关适用范围、执法、保密和跨境协调的棘手问题。

这些缺口并未削弱其中的核心转变。一位 Microsoft 高级管理人员正公开主张，对于能力最强的系统，自愿保障措施已不再足够。

为什么 Microsoft AI 监管将英国置于中心位置

英国的优势在于其技术测试机构和外交地位，而非一部已生效的综合性 AI 法律。

Smith 表示，英国比美国或欧盟更适合推动全球 AI 安全标准。他的论证始于英国 AI Security Institute，通常简称为 AISI。

AISI 成立于 2023 年 11 月，旨在帮助政府理解先进 AI 带来的风险。其工作包括模型评估、安全研究，以及测试保障措施是否持续有效的方法。

该机构将自己描述为专注于先进 AI 安全的政府研究组织。其研究议程将技术工作与涉及开发者、研究人员和其他政府的合作结合起来。

这一结构赋予英国许多监管机构所缺乏的能力：拥有能够直接检查模型行为的内部团队。政策团队不必完全依赖企业摘要或公开基准测试。

部署前访问尤为重要。模型可在数百万人使用之前接受测试，让评估人员有时间识别危险能力或薄弱控制措施。

这种访问历史上一直依赖与主要开发者达成的自愿协议。它很有价值，但并不等同于一项可在各家公司间一致适用的法定权利。

英国政府于 10 月 12 日表示，AISI 科学家正在评估最新一代先进模型。官员称，与领先开发者及美国政府的合作促成了这一访问。

政府还宣布了更广泛的英国防御措施。其中包括研究更强的法律保护措施，并为涉及自主 AI 系统的事件做准备。

据该公告称，两个政府试点项目已识别并帮助解决了超过 1,000 个潜在网络漏洞。英国计划扩大利用 AI 保护公共系统的工作。

AI 部长 Kanishka Narayan 也向前沿开发者发出了直接信息。他敦促他们调查意外行为，并避免发布风险无法控制的系统。

政府正在考虑应如何报告涉及 AI 智能体的险些发生事件。政府还正与 AISI 和 National Cyber Security Centre 共同制定事件响应计划。

这些措施与 Smith 的要求高度契合。双方都强调独立验证、事件报告、网络韧性，以及为失控情境做好准备。

然而，英国并未简单取代欧盟，成为全球主导性的 AI 监管者。两个司法辖区提供的是不同的优势。

欧盟拥有综合性法定框架。其 AI Act根据风险分配义务，并纳入了针对具有系统性风险的通用 AI 模型的规则。

英国则强调技术评估、机构专长，以及与前沿实验室的合作。其做法总体上更为灵活，也较不全面。

Smith 认为，这种灵活性带来了外交优势。他表示，华盛顿对伦敦并没有像对布鲁塞尔那样的疑虑。

这是一种政治判断，而非技术事实。它反映出美国长期以来对部分欧洲科技规则的抵触，以及欧盟在严格规定式监管方面的声誉。

英国可以将自己定位为桥梁。它与美国拥有密切的安全关系，具备举办国际 AI 讨论的经验，也拥有专门的测试机构。

然而，桥梁只有在双方持续使用时才能发挥作用。英国的影响力取决于持续获得模型访问权限、开发者的合作，以及更大规模政府的政治支持。

因此，Smith 所设想的英国 AI 安全标准建立在脆弱的组合之上。英国需要技术公信力、自愿合作，以及足以将研究结论转化为可执行保障措施的法律权力。

自愿承诺才是真正的对手

核心分歧不在于英国与美国或欧洲之间，而在于可执行的公共义务与企业可重新解释或放弃的承诺之间。

科技公司已建立评估框架、模型卡、负责任扩展政策和内部安全团队。这些措施可以产生有用证据，并改善发布决策。

但它们也让开发者保有控制权。构建模型的同一组织往往决定测试什么、公布哪些结果，以及一次失败是否足以构成延期理由。

当商业压力上升时，自愿承诺会变得更加脆弱。推迟产品发布，可能意味着将客户、开发者关注、人才和计算投资拱手让给竞争对手。

一家公司可能认真对待安全问题，却仍会得出与独立评估者不同的结论。另一家开发者则可能在声称遵守宽泛原则的同时，回避有实质意义的测试。

Smith 的批评聚焦于这种不均衡。只有谨慎公司才会遵守的规则，无法约束那些愿意承担更多风险的参与者。

据报道，今年 9 月，美国科技行业领导者签署了一项“具有道德约束力”的承诺，承诺使用独立审计师进行模型评估。Smith 称此举有用，但并不充分。

这一措辞本身就揭示了局限性。道德承诺不会自动赋予检查权、设定披露期限、施加处罚，或为受害者提供赔偿。

可执行的体系需要明确责任。它必须界定哪些模型需要外部测试、谁有资格担任评估者，以及评估者将获得何种访问权限。

它还需要发布标准。如果开发者可以承认一项严重发现后仍不作解释地部署模型，测试就几乎没有约束力。

事件报告也面临类似问题。监管机构必须区分日常错误与揭示系统性危险的事件。

日常对话中编造的回答，不等同于未经授权的网络访问。实验室测试失败，也不同于已部署的智能体对客户造成伤害。

报告门槛必须能够捕捉具有实质意义的风险，同时避免用低价值通知淹没监管机构。它们还应鼓励企业披露险些发生的事件，而不是将其隐瞒。

与其他受监管产品的比较有所帮助，但也存在局限性。洗衣机的设计相对稳定，运行条件明确，并且拥有实体供应链。

通用模型可以支持数千种并非其原始开发者设计的应用。更新可能改变评估后的行为，而外部工具则可能扩大其影响范围。

责任可能分布在模型开发者、云服务提供商、应用构建者、企业客户和个人操作员之间。有效的规则必须在这条链条上分配职责。

这正是独立测试能够比“通过或不通过”标签发挥更大作用的地方。评估人员可以记录能力、防护措施、假设条件和部署条件。

采用 AI 的企业随后将能为其自身控制措施获得更充分的证据。它们可以将模型局限性与访问政策、审批工作流、监控和事件响应联系起来。

对于知识工作者而言，直接影响将体现在日常工具中。AI 助手正日益处理文档、电子邮件、内部搜索、会议记录和业务应用。

组织需要保留记录，说明助手访问了什么、尝试了哪些操作，以及谁批准了敏感决策。可搜索的 AI knowledge base 可以为此提供背景支持，但不能取代治理。

因此，压力已超出前沿实验室的范围。企业买家将需要供应商提供更清晰的证据，而开发者则必须设计支持审计和控制的系统。

这种结果将改变 AI 采购方式。安全声明将成为可测试的要求，而不再只是营销文件中的可选章节。

紧急制动听起来简单，却很难验证

只有当操作人员能够发现危险、保持控制并足够迅速地停止相关操作时，AI 紧急制动才有意义。

Smith 的提议借鉴了实体机器中的一个直观概念。当危险过程开始时，人类按下按钮，机器便会停止。

分布式 AI 系统很少只有一个按钮。模型可能通过多项云服务运行、连接第三方工具，并通过多个应用生成操作。

停止模型端点未必能撤销已经发送的消息、已经执行的代码或已经复制的数据。禁用一个智能体，也未必能控制它在其他地方启动的自动化流程。

第一个挑战是检测。操作人员需要能够区分异常但正当的操作与正在演变的安全事件的监控机制。

第二个挑战是权限。个人或自动化系统必须有权暂停访问、撤销凭证、隔离服务或阻止交易。

第三个挑战是时效。智能体失效的演变速度可能快于传统的审批和升级流程。

英国政府在 10 月 12 日的公告中承认了这一问题。它警告称，涉及 AI 智能体的重大事件可能比政府通常处理的事件传播得更快、更广。

因此，有效的紧急系统需要分层设计。开发者可以限制模型能力和工具访问权限。应用提供商可以执行权限和交易边界。

云平台可以撤销凭证或限制基础设施。企业客户可以要求在财务、安全或管理操作前获得人工批准。

日志必须在系统关闭后得以保留。没有可靠记录，调查人员便无法重建事件经过，也无法改进未来的防护措施。

独立评估应将这些层面结合起来测试。实验室不应假定，一项有文档记录的关闭命令在每种部署条件下都有效。

评估人员可以检查智能体是否识别限制、尝试替代路径、隐藏操作，或通过连接服务保留访问权限。他们还可以衡量操作人员发现故障的速度。

测试本身也存在局限性。先进模型在识别出评估环境时，可能表现不同。

各种场景无法复现每一种工作场所、工具配置或攻击者。强劲结果仅表明其在已测试条件下的表现，而非普遍安全性。

AISI 已承认在访问权限、评估时间和敏感信息方面存在实际限制。其工作支持严格评估，但没有任何机构能够认证一个模型永远不会失效。

这使围绕 Microsoft AI 监管的讨论需要保持重要审慎。政府不应将独立评估变成一枚令人安心的印章，从而将责任从开发者和部署者身上转移开。

通过发布前测试的模型，在部署后仍需要监控。新的提示词、工具、微调和软件更新都可能改变风险状况。

紧急控制措施也会引发治理担忧。监管机构需要防范不必要的停机、政治滥用，以及对较小开发者施加不成比例的限制。

如果一项为最大型前沿实验室制定的规则适用得过于宽泛，可能会给初创企业带来负担。要求应取决于能力和部署风险，而不应只看公司规模。

开放模型带来了另一项复杂性。一旦模型权重被广泛分发，单一中央运营者可能无法保留停止每个副本的能力。

监管仍可约束商业部署、关键基础设施和高风险应用。但它无法保证对已向公众发布的软件实现普遍召回。

Smith 关于紧急制动的表述具有价值，因为它将可控性确立为一项设计要求。如果政策制定者将其描述为单一技术解决方案，这种表述就会产生误导。

真正的考验在于，AI 系统是否能在整个行动链条中保持可观测、可中断和可问责。

Microsoft 的立场同样值得审视

Microsoft 提出的安全论据具有可信度，但监管也可能保护既有企业免受较小竞争者的挑战。

Microsoft 在 AI 市场中扮演多个角色。它提供云基础设施、开发模型和应用、销售 Copilot 服务，并与 OpenAI 保持着重要关系。

影响模型评估、安全和部署的规则将塑造 Microsoft 的成本，也可能影响每一家使用其基础设施的公司的竞争地位。

大型科技公司比初创企业更容易承担合规成本。它们已经雇有律师、安全团队、政策专家和内部评估人员。

强制审计和文档要求可能提高新开发者的进入成本。设计不当的规则可能会在表面中立的同时强化既有企业。

这一担忧并不能否定 Smith 的安全论据。它意味着政策制定者应将提议的市场影响与其安全收益一并评估。

Microsoft 自身的系统也应接受与其建议他人接受的同等审视。独立评估人员需要获得有实质意义的访问权限、充足时间，以及发布重要发现的自由。

客户同样需要能够支持实际决策的事件信息。事件发生很久之后才发布的报告，或被剥离了有用细节的报告，提供的保护有限。

治理模式应避免让最大的开发者自行定义可接受风险。研究人员、民间社会团体、企业用户和受影响社区都需要拥有正式角色。

国际协调带来了另一项风险。全球原则可能形成共识性措辞，却缺乏一致执行。

一个国家可能支持独立测试，却赋予评估人员很少的权力。另一个国家可能要求提交事件报告，却制定狭窄的定义，将重大故障排除在外。

因此，英国以机构为先的做法必须将技术发现与决策联系起来。AISI 可以识别风险，但民选官员和监管机构必须决定法律后果。

英国政府表示将在必要时立法。这一表述并未给出详细时间表，也未提出完整的前沿 AI 法规。

Smith 关于英国最适合引领这一领域的说法仍是一种论点，而非既定结论。欧盟已经拥有具有约束力的立法和执行架构。

美国控制着前沿 AI 行业和计算基础设施的很大部分。即使联邦领导人倾向于更宽松的监管，其合作仍至关重要。

英国的领导地位将取决于其能否在保持访问权的同时避免依赖企业许可。它还必须将专业研究转化为其他政府能够采用的规则。

政治环境可能迅速变化。一项自愿访问协议可能会因外交争端、企业决定或新的发布策略而收紧。

这正是英国 AI 安全标准的主要脆弱性。技术专长能够带来影响力，但法定权力决定这种影响力能否在分歧中延续。

Microsoft 还应说明其偏好的规则如何适用于模型、智能体、基础设施提供商和企业部署。泛泛呼吁安全，比分配责任容易得多。

如果该公司接受针对自身产品的具有约束力的义务，其倡议将更具分量。这些义务应包括透明报告、外部评估和可执行的客户保护。

最有力的回应既不是自动信任，也不是自动愤世嫉俗。政府应将 Microsoft 的提议作为起点，然后设计出对 Microsoft 与其他每一家开发者同样严格约束的规则。

三个信号将显示英国能否引领这一领域

接下来的考验是，英国能否将技术访问权和政治支持转化为持久、可执行的制度。

第一个信号是立法。英国政府表示将研究更强的法律保护措施，并在必要时立法。

应关注涵盖前沿模型评估、严重事件报告和自主智能体失效的具体提案。明确的门槛和执法权力将强化 Smith 的论点。

没有时间表的咨询程序将提供较弱的证据。它可能维护英国的灵活立场，同时让合规在很大程度上保持自愿。

第二个信号是持续的部署前访问权。AISI 需要充足时间和技术访问权限，才能在新前沿系统公开发布前对其进行评估。

这种访问不应仅限于标准消费者界面。严肃测试可能需要模型变体、工具控制、防护设置和详细的技术协作。

如果领先开发者继续共享先进模型，英国将保持其独特角色。如果访问权变得选择性更强或出现延迟，该机构的影响力将缩小。

第三个信号是真实有效的事件框架。监管机构必须界定企业报告什么、受害者何时收到通知，以及监管机构如何协调应对。

可信的框架应涵盖险些发生的事件、保留证据，并将各组织之间的经验教训联系起来。它还必须保护敏感安全信息，避免不必要的暴露。

这些信号将决定 Microsoft AI 监管会成为政策，还是停留在高管倡议层面。它们都不要求接受 Smith 论点的每个部分。

开发者和企业买家不应等待最终法案。他们现在就可以盘点智能体权限、要求敏感操作获得人工批准，并测试关闭程序。

他们可以询问供应商：谁评估每个模型、哪些事件会触发披露，以及更新如何影响此前的安全结果。采购团队应记录这些答复。

知识工作者应当明白，AI 助手何时只能提出建议，何时能够执行操作。这一区别界定了控制权在实践中的边界。

更大的问题已不再是 AI 是否应当受到监管。争议在于谁来制定规则、谁来核查合规，以及发生严重故障后将如何应对。

英国拥有技术能力、专门机构，以及 Microsoft 总裁的支持。欧盟拥有具约束力的法律，而美国则掌握着巨大的产业影响力。

未来三个月，应关注英国的立法时间表、AISI 获得持续访问权限的情况，以及具体的事故报告要求。这些因素合在一起，将为 Smith 的论点提供支撑。

如果没有这些举措，“洗衣机”的类比仍会令人印象深刻，却并不完整。英国必须证明，当一家大型开发商提出反对时，其影响力依然能够延续。

对于当前正在部署 AI 的团队而言，实际行动很明确：要求提供独立测试的证据，明确停止条件，并记录每一项高影响力的自动化工作流。无论最终由哪个政府主导全球 AI 监管，这些习惯都将持续发挥作用。