参议院 AI 安全测试之争：联邦审查与企业控制的对立

随着议员们就最先进模型在面向用户之前应遵守的规则展开谈判，参议院 AI 安全测试已成为一场决定性的冲突。争议聚焦于一个实际问题：开发者应自行测试其系统，还是必须由联邦专家在部署前进行独立审查？

这一差异可能决定未来的法律是建立外部检查关卡，还是将企业主导的风险管理正式制度化。参议员 Ted Cruz、Amy Klobuchar 和 John Thune 正在起草这项立法，但参议员 Maria Cantwell 希望引入更严格的强制性联邦测试。

法案文本尚未公布，因此关键细节仍可能发生变化。但已披露的分歧已暴露出华盛顿新兴共识的核心弱点。议员们日益认同前沿 AI 需要护栏，但尚未就谁掌控安全决策所依据的证据达成一致。

法案草案尚未公布便已引发争执

这项正在成形的参议院提案，已将模型测试从一项技术程序变成了围绕监管权力的角力。

该立法由 Klobuchar 和 Thune 在 Cruz 的参与下制定；Cruz 担任参议院商务委员会主席。作为该委员会首席民主党议员的 Cantwell，正对其据称的测试框架提出反对。

根据测试谈判，草案将允许开发者自行进行安全评估，并将结果提交给商务部长。Cantwell 则希望国家实验室和国家安全机构参与强制性安全测试。

这一区别之所以重要，是因为企业主导的评估，起点是受监管开发者自行生成的证据。政府官员可以审查结果、质疑方法，并可能依据最终法案拒绝部署。

独立的联邦测试则基于不同前提：在接受开发者的结论之前，官员需要直接接触模型、其安全措施以及真实的评估环境。

两种结构都不会自动保证安全。企业评估人员对自身系统有深入了解，而联邦评估人员能够提供独立性，并接触机密威胁信息。这场冲突关乎哪一种优势应成为法律规定的最低标准。

Klobuchar 将自己的立场描述为两种方法之间的桥梁。她表示，开发者应与政府专家合作，对模型进行验证和测试，特别是那些可能逃脱开发者控制的模型。

这一表述仍留下未解问题。与政府专家合作，可能意味着共享报告、配合进行特定测试，或提交模型接受直接审查。每一种版本赋予联邦官员的权力程度都不同。

Cruz 也承认需要设置护栏。他称有关领先 AI 实验室安全实践不足的指控“极其令人担忧”，同时强调美国应继续保持对中国的领先地位。

因此，这项法案的分歧并非存在于监管与不监管之间。争议在于前沿 AI 评估的力度、时点和制度归属。

时机同样重要。在一名前 OpenAI 和 Anthropic 员工公开提出相关指控、重新引发国会对失控风险的关注后，参议院谈判加速推进。

这些指控推动了政治紧迫感，但不能替代经验证的技术发现。国会必须设计能够超越一次病毒式传播的警告或单一异常事件而发挥作用的规则。

未公布的文本也带来了另一项限制。助理和知情人士的说法可以指出争议所在，却无法准确确定该提案究竟要求什么。

“自愿”“强制”和“政府验证”等术语，可能掩盖重大的法律差异。最终效果将取决于法定义务、执法权力、期限、例外情况和司法审查。

目前，最明确的变化是政治层面的。高级别参议员正在就灾难性风险评估的具体责任展开谈判，而不再仅通过听证会和自愿承诺讨论 AI 安全。

参议院 AI 安全测试为何取决于谁掌握测试权

只有当评估者能够质疑开发者的假设、方法和部署决定时，安全制度才具有实际意义。

前沿模型是经过大规模训练、能够执行多种任务的通用系统。在这场辩论中，议员们关注的是可能导致严重网络、生物、化学或核危害的模型。

部署前测试是在模型更广泛发布或投入运营之前对其进行审查。评估者会检验其能力、安全措施、抵御滥用的能力，以及在对抗性提示词或条件变化下的行为。

这个说法听起来很直接，但每个组成部分都需要政策选择。国会必须决定哪些模型符合条件、哪些危害应被纳入、由谁设计评估，以及何种结果会阻止部署。

开发者主导的制度具备速度和技术熟悉度的优势。内部团队可以在训练期间进行测试、迅速调查失败情况，并在无需反复转移敏感模型访问权限的情况下修改安全措施。

开发者也掌握重要的背景知识。他们比外部评估者更了解训练过程、系统架构、安全控制和已知的失败模式。

然而，内部测试会产生激励问题。承担延迟发布模型成本的同一家公司，也可能决定令人担忧的结果是否足以证明这种延迟合理。

这并不意味着开发者会忽视安全发现。它意味着立法必须考虑常见的机构压力，包括发布时间表、竞争定位、投资者预期和客户承诺。

只有在审查人员获得足够信息时，政府审查才能减少这种冲突。一份摘要报告或许会披露测试分数，却无法说明评估是否覆盖了真实威胁，或是否忽略了危险路径。

独立测试在证据生成与商业决策之间提供了更强的隔离。国家实验室和安全机构还可能拥有私人评估者无法获得的专业知识或机密威胁情报。

但联邦测试也有自身约束。机构需要具备资质的人员、受保护的计算环境、安全的模型访问权限、可重复的基准，以及处理商业机密的程序。

能力同样会影响时效。如果多家开发者同时提交日益复杂的模型，而缺乏足够人员和基础设施，集中式测试项目可能成为瓶颈。

这种可能性正是支持“企业测试加政府验证”模式的理由。它分散了评估工作，同时保留一定程度的联邦监督。

这种折中方案的强度取决于“验证”的含义。审阅企业文件弱于复现其测试，而复现部分测试又比进行独立评估更为有限。

国会还必须界定失败的后果。要求进行测试，与要求在发布前修复已发现的问题，并不是一回事。

模型可能在评估中展现出令人担忧的能力，但如果法律没有具有约束力的部署门槛，它仍可能通过测试。报告结果会带来透明度，却未必能防止风险暴露。

据报道，Cantwell 提出的方案强调在部署前进行强制测试和修复。该立场将评估视为一道监管闸门，而不仅仅是一项文件要求。

另一种方案似乎旨在建立开发者义务，同时保护正当程序和持续创新。其支持者称，政府仍将保留验证合规性的能力。

因此，双方都声称支持有实质意义的监督。真正的检验在于，当开发者存在异议时，政府能否独立发现问题并要求采取行动。

灾难性风险既是共识，也是漏洞

议员们对“灾难性风险”这一标签达成共识，但其定义将决定法律是能捕捉危险模型，还是极少适用。

灾难性风险通常指发生频率低、但后果极其严重的危害。在前沿 AI 政策中，例子往往包括复杂的网络攻击，或对生物和核威胁活动的协助。

Cantwell 曾特别主张，国家实验室的专家应评估先进模型是否会助长这些活动。她的框架将模型测试与政府内部已分布存在的国家安全能力联系起来。

Cruz 使用了同样宽泛的风险语言，同时将安全与地缘政治竞争并置。这种组合反映了国会中的一种常见立场：美国应监管严重危害，但不应不必要地拖慢本土开发者。

张力存在于“灾难性”一词本身。狭窄定义的门槛可以将监督聚焦于极端情形，并避免让规模较小的开发者承担不成比例的义务。

但它也可能排除未达到法定门槛的严重危害。反复出现的安全失败、操纵、欺诈或劳动力扰动，可能仍处于聚焦全国性灾难的框架之外。

宽泛定义则会带来不同问题。企业可能难以判断一项能力何时越过界线，而监管者可能获得对模型部署的广泛裁量权。

覆盖门槛同样重要。法律可能依据训练支出、计算资源、模型能力或组织规模来监管企业。

每一项衡量指标都可能过时或失真。训练成本会变化，计算效率会提升，而危险能力并不总是随着某个数值门槛整齐上升。

基于能力的触发条件看起来更具适应性，但它需要可靠的测试。这些评估必须区分偶尔产生令人担忧输出的模型，与实质性降低严重危害门槛的模型。

测试条件会影响结果。模型的表现可能随着工具访问权限、微调、外部数据、更长的推理时间，或熟练用户的反复尝试而变化。

已部署的产品也可能不同于此前测试的基础模型。安全规则必须在不要求每次微小更新都进行完整审查的前提下，处理后续修改、连接工具和新的运行环境。

这一挑战在 AI agents 中尤为明显。agent 可以使用软件、账户或外部服务来规划和执行多步骤任务，这会扩大不可靠行为带来的后果。

静态基准可能无法捕捉这些互动。评估者需要真实环境，以揭示模型在能够行动、重试、隐藏错误或利用连接系统时会如何表现。

国会还需要建立更新评估标准的程序。若将今天的测试硬编码进法律，随着模型和部署模式变化，机构可能会持续衡量已经过时的风险。

众议院两党共同提出的 FRONTIER Act 提供了一个可供比较的方案。该法案拟对先进开发者提出分级要求，包括模型卡、风险框架、独立审计、事件报告以及持续评估。

这一模式将监管分散到多项义务之中，而非依赖单一的发布前关卡。它还试图将严格要求聚焦于规模最大的开发者。

参议员 Mark Warner 则采取了另一种路径。据报道，他提出的 AI safety framework 将要求先进模型在部署前接受政府测试，同时对安全事件采用自愿报告机制。

这些提案表明，国会可选择多种执法组合。强制测试、独立审计、事件报告和部署审批可以相互强化，但彼此并不可互相替代。

测试只能捕捉某一时点、特定条件下的行为。事件报告则捕捉部署后出现的故障——届时，真实用户会将模型接入难以预测的数据和系统。

因此，这项参议院法案的可信度不只取决于其“测试”标签。它必须将覆盖范围、评估方法、纠正义务、部署决策和发布后监测连接起来。

联邦规则可能取代更严格的州级保障措施

如果国会通过联邦标准限制州级 AI 法律，围绕测试的争议将变得更加重要。

联邦优先权原则会阻止各州在联邦法律专属管辖的领域执行相关规则。科技公司通常支持联邦优先权，因为遵循一套全国框架比应对多套州级制度更容易。

统一性具有实际价值。前沿模型可服务全国用户，而相互冲突的测试和报告要求可能会使一次全国性发布变得复杂。

统一的联邦体系还可以集中专业能力。国家实验室、安全机构和商务部能够协调单个州无力获取的威胁信息。

不过，全国标准既可以是底线，也可以是上限。底线允许更严格的州级保护继续存在，而上限则阻止各州进一步加码。

Cantwell 曾警告，不应以削弱州级立法的薄弱联邦标准取而代之。AI 安全组织也同样将部署前测试与保留有效的州级保障措施联系起来。

白宫采取了较为宽松的路径。其 legislative blueprint 呼吁优先于其认为负担过重的州级限制，同时保留部分消费者保护措施。

California、Colorado、Texas 和 Utah 已经出台了针对私营部门 AI 的规则。它们的方法各不相同，既体现出联邦优先权可能终止的政策试验，也展现出统一规则可能降低的复杂性。

对据报道正在进行的参议院谈判，应放在这场更广泛的较量中评估。如果各州仍可要求更严格的控制措施，一项温和的联邦测试规则将产生不同后果。

如果法律排除了州级规则，联邦制度中的每一处缺口都会变得更加重要。自愿或由公司主导的标准，可能成为获准监管的最高水平，而不只是初始基线。

这给希望推动两党行动的立法者带来压力。较弱的法案或许能吸引更多选票，但若与广泛的联邦优先权绑定，可能让支持州级权力的人更难妥协。

行业也面临相关选择。开发者或许更偏好单一联邦框架，但若游说制定较低的全国监管上限，可能削弱公众对该框架的信任。

据近期有关政策辩论的报道，OpenAI 原则上支持强制性联邦规则。不过，支持立法并不能说明该公司是否接受直接的政府测试，还是仅接受结构化的自我评估。

Anthropic 的公开安全立场往往比一些同行更为积极，但其没有就有关这些谈判的原始报道置评。因此，其对尚未公开文本的确切立场仍不明朗。

州级试验确有成本，但也能形成推动力。当国会不采取行动时，州法律可以促使企业加强披露、风险管理和特定行业保护。

联邦立法者最终可能将联邦优先权作为交易的一部分。开发者获得一套统一规则，而监管者获得报告、测试准入和可执行的安全义务。

这一交易只有在全国规则足够严格、足以证明取消其他选择合理时才能成立。否则，统一性可能沦为减少问责的方式，同时被包装成监管确定性。

对企业采购方而言，这一问题超越了法律理论。联邦标准可能影响供应商提供何种安全文档，以及客户能否比较不同模型的评估方法。

组织不应将符合法定要求视为系统适用于所有用途的安全证明。聚焦灾难性伤害的法律门槛，可能几乎无法说明保密性、幻觉、歧视或运营可靠性。

评估 AI 产品的团队仍需要保留供应商声明、测试结果、事件和部署决策的自身记录。可检索的 AI knowledge base 可以帮助在规则和产品不断变化时保存这些证据。

最严格的测试规则仍面临实际限制

强制性联邦测试可以建立独立的检查点，但无法将不确定的评估变成对现实行为的精确预测。

前沿模型评估仍是一门不断发展的学科。测试可以识别令人担忧的能力，但结果取决于提示词、工具、访问权限、评估者技能以及对部署场景的假设。

模型可能在一次评估中安全地失败，却在微调或集成后表现不同。它也可能在普通用户无法复现的人为条件下显得危险。

这种不确定性支持加强测试，因为不应由任何一家公司单独界定何为可接受的证据。但它也提醒人们，不应把政府批准视为永久性的安全认证。

各机构需要说明完成审查意味着什么。批准或许只表明模型在特定条件下达到了既定门槛，而不代表其每一种用途都安全。

监管者还必须保护敏感信息。模型权重、安全控制、专有评估数据和已发现的漏洞，都可能成为间谍活动或犯罪窃取的高价值目标。

国家安全机构具备相关专业能力，但扩大访问权限也会带来新的安全责任。国会必须明确谁可以检查提交材料，以及各机构如何将其隔离保护。

正当程序也是合理关切。如果商务部长可以延迟部署，开发者需要明确标准、答复期限、申诉权和纠正事实错误的程序。

这些保障不应使干预变得不可能。一个允许无休止挑战的审查体系，可能会让模型在监管者解决严重安全关切之前就获准部署。

较小开发者面临不同问题。如果合规需要大量人员、法律支持和专业基础设施，复杂的联邦测试可能会巩固最大型实验室的优势。

基于风险的门槛可以减轻这一负担。然而，立法者应审视这些门槛是否会鼓励企业重组开发流程，或隐瞒信息以避免纳入监管范围。

开源模型又增加了一层复杂性。一旦模型权重被广泛提供，对某个开发者的限制可能无法控制其他方对模型的下游修改或部署。

测试仍可在发布前揭示风险。不过，执法必须覆盖分发决策、衍生模型以及下游部署者的责任。

国际竞争给每一种选择都增加了压力。Cruz 和其他立法者认为，美国在采用安全参数的同时，必须保持对中国的领先。

这一论点可以为高效监管提供依据，但也可能被用作削弱任何影响发布进度要求的理由。国会需要有关实际延误的证据，而不能假定每一次外部审查都会损害竞争力。

可靠标准可通过降低不确定性来促进采用。当供应商提供可比较的证据，且严重事件进入可信报告系统时，企业和政府客户可以更快行动。

European Union 提供了一个外部参照。其 AI 框架已对先进通用模型的提供者纳入透明度和事件报告义务。

不同法律体系限制了直接比较，但全球方向已很明确。各国政府正从自愿安全承诺转向明确义务、文档要求和监管机构访问权限。

美国可以设计独特框架，而不回避这些核心问题。决定性问题在于，监管能否产生足够独立的证据，以挑战开发者的发布决定。

国会还应避免围绕一项存在争议的警告来制定法律。病毒式传播的说法可以加速关注，但持久的监管需要可重复的程序和经过验证的技术发现。

这名前员工的指控仍是政治催化因素的一部分，而非某个特定模型存在灾难性危险的证据。无论这些指控最终得到证实、被缩小范围还是被否定，该法案都应能够运作。

这种审慎区分反而强化了可信评估的理由。当公共讨论中充斥立法者和用户都无法直接核实的紧急说法时，独立测试最具价值。

与此同时，测试无法回答与 AI 相关的所有社会问题。它无法解决版权争议、就业替代、能源使用、儿童安全或日常消费者欺骗问题。

一项严格聚焦于灾难性风险的法律不应假装可以做到这些。其价值应根据它实际覆盖的严重风险，以及赋予监管者处理这些风险的权力来衡量。

三个信号将显示这项妥协是否真正有力度

下一阶段将揭示，立法者是在建立部署检查点，还是在建立一个将最终控制权留给开发者的报告体系。

第一个信号是实际法案文本的公布。读者应关注诸如“应当”之类的措辞，以及对独立访问、测试、补救和部署审批的明确要求。

定义与强制要求同样重要。文本应明确受监管的开发者、受监管的模型、灾难性风险门槛，以及触发重新评估的事件。

决定性条款将说明出现危险结果后会发生什么。要求提交调查结果，弱于有权要求修复或阻止部署。

法案还应澄清，政府专家是否能够设计并开展自己的测试。如果准入仅限于开发者自行选择的证据，核心的独立性问题仍无法解决。

如果公布的文本赋予机构直接测试权和可执行的补救措施，Cantwell 的关切就将影响这项妥协。若主要依赖自我评估，则由开发者主导的方法将占上风。

第二个信号是 Senate Commerce Committee 的行动。此前针对相关 Thune-Klobuchar 提案的审议会议在 August 休会前被取消，这表明讨论并不保证立法进展。

定于日程的审议将表明，委员会领导层已缩小分歧，足以让该提案进入修正案和记名表决环节。再次延后则意味着，紧迫性尚未促成共识。

修正案程序将揭示该法案背后的联盟。需关注参议员是否会试图加强强制测试、收窄机构权限、调整责任规则，或将该框架与州法律优先适用联系起来。

Klobuchar 的角色尤为重要，因为她处于更强硬的联邦测试立场与共和党提案发起人之间。她的最终支持可表明，两党措辞是否包含超越共同修辞的实质内容。

Cruz 的批准同样重要，因为他掌控委员会议程。他在灾难性风险规则与同中国竞争之间的权衡，将影响测试授权以及法案推进速度。

Cantwell 能够影响民主党的支持，尤其是在该提案提交参议院全院表决时。她的反对将使这项措施更难被呈现为一项持久的两党和解方案。

第三个信号是参议院提案如何与相互竞争的联邦和州级框架互动。如果此次谈判陷入停滞，FRONTIER Act 和 Warner 的测试计划将为立法者提供替代选择。

竞争性法案可能会促使谈判者强化措辞。它们也可能分散注意力，让各个联盟都能支持 AI 安全，却没有任何提案取得进展。

优先适用将是一个关键标志。若广泛限制州级规则，联邦测试制度就必须达到更高标准，才能赢得州官员和安全倡导者的支持。

事件报告同样值得关注。近期对 AI 政策之争 的分析发现，现实世界安全失效的公开披露仍存在缺口。

测试和事件报告覆盖不同阶段。对于可预见的风险，国会需要在发布前进行审查；对于受控评估未能发现的失效，则需要在发布后收集证据。

最有力的信号将是一个组合系统。开发者将持续开展内部评估，政府专家可以独立测试纳入范围的模型，严重事件则会触发强制报告。

这样的结构既能保留公司的专业能力，又不会要求公众完全依赖公司自行生成的证据。它还可让标准随着监管机构从已部署系统中学习而不断演进。

最弱的结果则是使用宽泛的安全措辞，却不界定访问权、执法方式或后果。这种结果或许能满足国会采取行动的诉求，却几乎不会改变发布决策。

参议院 AI 安全测试之所以重要，是因为评估者并非程序细节。评估者决定由谁界定问题、控制证据，以及决定不确定性是否足以证明应当延后。

开发者、企业买家和 AI 用户应关注法案文本，而非围绕它的口号。“强制性规则”仍可能依赖自我评估，而“政府核验”也可能从文书审查到独立测试不等。

各组织无需等到国会行动后，才改善自身的评估记录。它们可以记录模型版本、允许的用途、安全审查、事件、供应商披露，以及作出部署决策的理由。

这些工作在任何联邦框架下都将继续有用。它有助于团队将监管主张与自身运营风险进行比较，并在模型或政策变化时保留背景信息。

未来几个月，请提出三个具体问题：政府专家能否直接测试模型，监管机构能否在发布前要求修正，以及在联邦规则保持沉默之处，各州能否保留更强的保护措施？

答案将表明，国会究竟创建了一个外部安全关卡，还是仅仅规范了开发者描述自身判断的方式。