美国 AI 风险审查将开放权重模型排除在范围之外

在华盛顿将开放权重系统排除在其针对先进 AI 模型的新 30 天审查流程之外后，Google News 凸显了一场尖锐的政策冲突。这一决定使可下载模型游离于一套旨在识别发布前重大网络安全与国家安全风险的框架之外。

这一排除至关重要，因为开放权重模型让用户能够访问决定训练后系统行为的数值参数。开发者无需依赖原始公司的服务器，即可运行、修改和微调这些模型。支持研究和本地部署的同一种自由，也可能使安全护栏难以维持。

争议的核心并非开放模型是否能够带来益处。它们支持竞争、独立评估、注重隐私的部署以及技术实验。更棘手的问题是，为什么华盛顿会审查先进的封闭模型，却排除那些能力相近、且权重一经发布便永久可得的系统。

白宫将该计划定位为与美国领先实验室的自愿合作，而非对每个新模型进行全面监管。批评者认为，这一狭窄定义将开发者的分发方式与真正产生风险的底层能力混为一谈。

这种区分使两种方法直接冲突。一种根据模型的能力是否能实质性协助危险活动来判断；另一种则将受控访问作为政府审查的实际边界。开放权重系统暴露了第二种方法的弱点。

美国政府实际改变了什么

联邦审查流程建立了一个有意义的检查节点，但据报道，其范围排除了一类重要的先进模型。

唐纳德·特朗普总统于 2026 年 6 月 2 日签署了一项行政命令，建立针对某些先进 AI 系统的自愿审查流程。参与的开发者可以在公开发布前与联邦机构分享模型。

政府最多可用 30 天评估涵盖系统的国家安全风险。该流程聚焦先进网络能力，并涉及多个部门和机构的官员。

根据这篇行政命令报道，政府将这一努力描述为与美国前沿实验室的合作。Anthropic、OpenAI 和 Google 公开欢迎这项倡议。

这一框架是在先进模型展现出日益增强的软件漏洞发现能力后形成的。这种能力能够帮助防御者检查关键基础设施，但也可能降低进攻性网络行动所需的专业门槛。

该政策试图在模型发布进入更广泛市场之前应对这一张力。开发者将提供一个接近完成的模型，联邦专家会对其进行测试，参与方则会收到结果。

这比完全由 AI 公司自行起草的自愿承诺更具实质性。政府评估人员可以使用大多数外部研究人员无法获得的机密威胁信息、国家安全专业知识和安全测试环境。

不过，有关该框架的报道揭示了一个重要边界。据报道，它将受涵盖的前沿模型定义为具备最先进能力并存在国家安全风险的封闭系统。

这篇框架细节报道称，开放模型被排除在外。该文件据称还指出，框架不应在开放模型发布后对其施加限制。

这就形成了本文的核心张力。政府围绕危险能力建立了一套流程，随后又部分通过开发者分发模型的方式来缩小参与范围。

封闭模型仍由其开发者控制。公司可以限制访问、监控使用情况、调整安全护栏，或在发现严重问题后撤回服务。

开放权重发布则不同。一旦人们下载了权重，原始开发者便无法可靠地收回每一份副本，或恢复已被移除的安全护栏。下游用户也可以针对专门任务微调模型。

因此，联邦流程聚焦于在部署后仍保有实质控制力的系统，却排除了那些因其分发方式而更难采取纠正行动的系统。

该框架仍可能改善政府与前沿实验室之间的合作。它可以建立共同的评估方法，并让防御者更早获得有用的网络能力。

但其设计并未回答更广泛的风险问题。如果危险源自能力，分发形式就不应决定官员是否在发布前审查这种能力。

为什么 Google News 正在承载一场更大的政策争论

Google News 的标题反映的是华盛顿如何定义风险的争议，而不是一场关于开源许可的常规分歧。

开放权重一词描述的是训练后参数可供下载的模型。它并不必然意味着开发者已发布训练数据、完整源代码或无限制许可。

这种区别很重要，因为公共讨论常常将开源作为一个宽泛标签。传统开源软件允许人们根据公认的许可条款检查和修改代码。AI 发布可以公开权重，同时保留用于创建模型的数据和方法。

Tech Policy Press 的原始论点主张将开放权重模型纳入联邦审查。其推理遵循一项基于能力的原则：可比风险应在分发前接受可比审查。

这一立场并不要求禁止开放发布。审查可以识别风险、记录模型局限，并为缓解措施提供依据，而无需赋予机构自动否决权。

据报道，现行框架将封闭访问作为一种操作上的捷径。开发者可以向安全的政府环境提供受控系统，保留访问日志，并在测试期间限制查看者。

开放发布会使这一程序更复杂，但并不会令发布前评估变得不可能。开发者在上传模型权重前仍控制着模型。这段时期为政府测试提供了一个切实可行的窗口。

Google News 之所以让这一争议获得更广泛关注，是因为标题将一项技术发布选择与联邦政策联系起来。搜索 Google News 的读者会遇到一个影响开发者、企业和普通 AI 用户的问题。

这场辩论也发生在联邦立场转变之际。政府起初不愿推行审查流程，因为官员担心这会削弱美国的竞争地位。

特朗普在 5 月取消了一场此前安排的签署活动，随后于 6 月批准了经修订的命令。他表示，不希望出台干扰美国领先中国地位的政策。

这段历史解释了该设计为何如此狭窄。政府希望了解最严重的能力，同时不为模型发布建立一套通用许可制度。

其公开表述强调自愿参与、网络防御和支持创新。白宫否认自己正在对每一个新 AI 模型实施监管。

开放权重倡导者也认同其中一些担忧。他们警告，广泛限制可能因抬高较小开发者和研究人员的合规成本，而保护占主导地位的实验室。

他们还认为，获取权重有助于开展独立安全研究。外部研究人员可以检查行为、复现发现，并构建防御工具，而无需等待提供商许可。

这些益处使一刀切的限制难以成立。然而，将开放模型排除在审查之外，并不是限制它们的唯一替代方案。

有限的、由能力触发的评估将审查与发布许可视为彼此独立的决定。政府可以审查先进模型，同时保留公开发布通常仍属合法的强烈推定。

因此，Google News 的讨论呈现了隐藏在框架中的一种错误二选一。华盛顿不必在忽视开放权重风险与禁止开放权重开发之间二选一。

它可以评估高风险能力，公开非机密发现，并将更强干预保留给存在具体危险证据的情形。该方法会让政策聚焦于模型能够做什么。

开放模型带来不同的风险方程

开放权重分发将宝贵的可访问性与控制力的丧失结合在一起，而封闭模型的安全护栏无法完全应对这种丧失。

封闭 AI 服务运行在由提供商控制的接口之后。提供商可以执行使用政策、过滤请求、检测可疑活动，并集中更新系统。

这些控制并不完美。用户经常会找到新的提示技术、工具组合和软件封装方式，从而暴露发布前测试遗漏的行为。

尽管如此，提供商仍保有多种应对选择。它可以修补漏洞、暂停账户、限制功能，或在调查事件时停用模型。

开放权重开发者在发布后会失去其中大部分杠杆。用户可以离线运行模型、移除拒答行为，或将其与能够扩大实际影响范围的工具结合。

风险并不只是开放模型会回答一个被禁止的问题。更大的担忧在于一种可重复的能力：它可以被调整、自动化和分发，而不会受到集中观察。

网络安全提供了一个直接例子。一个能力强大的模型可以帮助安全团队审查代码、确定漏洞优先级并起草补丁。在训练有素的专业人员监督输出时，这些任务能够改善防御。

恶意操作者也可以将类似能力用于漏洞发现或漏洞利用开发。开放权重让这类操作者能够修改系统，并对原始开发者隐藏活动。

生物风险带来了相关担忧。大多数当前模型尚不能替代实验室准入、专业设备或专家知识。不过，评估正日益关注 AI 是否会降低有害工作流程各环节的门槛。

正确的政策问题涉及边际协助。官员应衡量，一个模型是否能让能力较弱的行为者更快、更少出错地完成危险任务。

无论用户是通过应用程序编程接口还是本地下载访问模型，这一标准都应适用。技术交付渠道会改变缓解选项，而不会改变底层能力。

开放权重系统也带来封闭模型难以轻易匹敌的益处。组织可以将敏感数据保留在自己的基础设施内，避免将每一条提示发送给外部提供商。

研究人员可以在不依赖临时访问权限的情况下研究模型行为。开发者可以针对更小型设备、专业语言、无障碍工具或科学工作调整系统。

联邦政府本身也能从本地部署中受益。处理机密或受监管信息的机构可能更倾向于在政府控制的环境中运行的模型。

这些益处使政策问题成为一种权衡，而非简单的安全结论。开放性扩大了能够检查和改进系统的人群，同时也扩大了能够为有害目的修改系统的人群。

早期的联邦工作已认识到这种平衡。在对权重广泛可得的模型进行审查期间，美国国家电信和信息管理局收到了超过 300 条意见。

NTIA 后来建议持续监测并投资评估能力建设，而不是立即限制模型权重的发布。这一立场反映出，人们对边际风险和监管有效性都仍存在不确定性。

新的联邦审查程序可以在这一做法基础上推进。对开放模型进行测试，可在政策制定者决定是否需要采取额外措施之前产出证据。

排除开放模型则恰恰相反。它会让政府失去有关这些系统的结构化信息，而这些系统一旦发布后，可能变得难以控制。

封闭实验室与开放权重开发者面临不平等压力

该框架将封闭式前沿实验室置于直接审查之下，而对开放权重开发者施加的正式义务较少。

OpenAI、Anthropic 和 Google 都支持联邦政府在评估先进 AI 方面发挥更强作用。它们的系统主要仍通过托管产品、受管理的访问方式和精选合作伙伴关系加以控制。

OpenAI 曾主张，联邦政府应主导对最先进系统的测试。其联邦安全提案还支持独立审计、事件报告、安全标准和举报人保护。

这一立场让华盛顿能够在大规模部署前接触领先的封闭系统。它也建立了一套官方程序，可验证参与公司如何识别和管理风险。

开放权重开发者面对的是不同的市场。它们的竞争吸引力通常建立在本地控制、定制能力以及摆脱单一服务提供商约束之上。

因此，围绕封闭实验室设计的审查要求可能会对两类群体产生不同影响。细致的合规规则可能会给缺乏专门政策和安全团队的小型开发者带来负担。

这一担忧值得认真对待。若框架对每个模型施加完全相同的行政要求，就会偏向拥有更大法务和评估预算的公司。

解决办法是设定明确的能力门槛。未达到既定风险门槛的小型模型应当不受密集的联邦审查程序约束。

这一门槛不应仅取决于训练算力。模型架构、训练后技术、工具使用和微调都可能改变模型能力，却未必符合简单的算力衡量方式。

评估人员应使用模型在风险相关任务上的可观察表现。他们还应考虑模型能否在有限人工指导下完成多步骤工作。

模型跨过门槛后，分发方式应影响缓解措施的设计；它不应决定模型是否接受评估。

封闭式提供商可以同意接受监测、访问控制和快速更新。开放权重开发者则可能提供安全文档、分阶段访问、评估结果，以及有关下游修改风险的证据。

这种结构会针对共同的能力标准施加不同的应对措施。它承认一套控制手段无法适用于每种发布模式。

该框架也在最大型实验室之间引发了竞争问题。Meta 历来强调开放权重发布，而 OpenAI、Anthropic 和 Google 对其领先模型则主要依赖受控访问。

如果联邦审查只覆盖封闭系统，这些公司可能面临开放权重竞争对手无需承受的延迟和信息披露义务。据报道，审查期最长可达 30 天。

如果华盛顿日后将开放权重视为天然可疑，失衡也可能朝另一个方向发展。政策制定者可能在未衡量某一具体模型是否带来额外风险的情况下施加广泛限制。

两种结果都可以避免。中立的评估应从能力出发，审视分发方式，并选择与已记录风险相称的缓解措施。

这一做法还能减少监管套利的空间。公司不应仅仅通过将一次发布描述为开放权重，或通过另一实体安排分发，就逃避审查。

同样，公司也不应仅因保留模型权重就获得批准。封闭访问并不能消除有害能力、内部人员风险、越狱攻击或意外的下游使用。

因此，核心冲突在于能力与分发方式之间。封闭实验室拥有更强的发布后控制能力，但开放开发者则提供了集中式服务无法复制的透明度和用户自主性。

可信的联邦体系必须承认这两点。否则，它将对一条进入市场的路径施加压力，却无法理解另一条路径的风险与益处。

基于能力的审查需要什么

可行的审查应测试不同模型的相同危险能力，同时针对各自的分发方式调整保障措施。

首要要求是公开进入该程序的门槛。政府可以对敏感基准测试保密，而不必将整个覆盖规则也一并保密。

开发者需要知道哪些能力类别会触发审查。投资者、研究人员和用户同样需要获得足够信息，以判断该程序是否一致地对待可比系统。

据报道，该框架没有明确公开定义何为最先进能力或国家安全风险。这种模糊性赋予官员对参与资格广泛的裁量权。

基于能力的体系应识别具体领域。网络行动、生物协助、自主复制、欺骗和规避控制，都是先进评估可能涵盖的类别。

每个类别都需要基于任务的测试和专家解读。单一基准分数无法确定模型是否实质性地改变了攻击者成功的可能性。

评估人员应将模型辅助表现与相关基线进行比较。他们需要询问，用户是否能更快完成任务、犯更少的错误，或达成此前超出其技能水平的结果。

测试还应检视脚手架能力，即为模型提供工具、记忆或重复行动机会的软件。基础聊天界面可能低估同一模型在智能体内部的实际表现。

对于开放权重系统，评估应包含现实中的修改情形。研究人员可以测试，常规微调是否会移除安全护栏，或显著提高模型在敏感任务上的表现。

政府无需测试所有可能的下游版本。它需要足够的证据，以理解已发布模型能多容易地脱离其原始安全配置。

发布前程序还应产出一份非机密摘要。该文件可说明接受测试的风险类别、总体发现、已知局限性，以及开发者采取的缓解措施。

透明度将使外部专家能够发现缺口，同时不暴露机密基准测试。它还将为企业买家提供比较模型治理的共同基础。

第二项要求是程序独立性。执行审查的机构需要技术专长，并应具备防止政治报复或商业偏袒的保障机制。

由于行政命令赋予国家安全官员相当大的裁量权，这一担忧变得更加明显。批评者担心，自愿程序可能会通过采购、合同或非正式压力，在实践中变为强制性程序。

明确的申诉程序和一致的门槛将降低这一风险。公司应了解官员如何作出结论，以及如何提交新的证据。

第三项要求是安全处理。封闭实验室担心暴露有价值的模型细节，而开放权重开发者可能正在准备一项在发布前仍需保密的发布。

高安全环境、详细访问日志和严格的人员限制可以解决部分担忧。据报道，该框架已为受覆盖的封闭模型纳入这些控制措施。

政府还必须界定发现严重风险后将如何处理。若审查只产生私下警告，在激励机制偏向快速发布时可能会失效。

然而，自动阻止发布的权力会将自愿评估转变为许可制度。这种变化需要明确的法律授权、程序保障和公开辩论。

更狭窄的起点更容易获得辩护。开发者可以自愿提交模型，获得结构化结论，并在发布时公布标准化安全信息。

政府采购规则可以要求用于敏感联邦场景的模型参与其中。关键基础设施合作伙伴关系则可以根据运营风险设定额外条件。

事件报告应在发布后持续进行。发布前评估无法预见每一种会通过新工具、提示词或微调显现的能力。

联邦政府可以将这些报告接入共享的事件响应体系。封闭式提供商可以集中修补，而开放生态系统则需要通知、更新后的检查点和防御性指导。

对于需要跟踪众多发布版本中的发现结果的团队，可搜索的技术知识库可以保存评估证据和事件决策。但政策挑战仍需要政府标准和独立判断。

基于能力的框架不会消除不确定性。它会在政策制定者作出具有长期竞争后果的决策前，为其提供来自封闭和开放系统的证据。

最大的不确定性在于审查能否改变结果

只有当发现结果影响发布决策、保障措施或模型触达用户前可用的防御手段时，测试才有意义。

当前程序仍是自愿的。开发者可能因为联邦测试能够提高信任、支持政府合作关系，或提供接触机密专业知识的机会而选择合作。

这些激励可能对已经向政府机构和关键基础设施运营商销售产品的公司有效。对于外国开发者或没有联邦合同的团体，它们的作用可能较弱。

开放权重开发也跨越国界。美国的审查无法阻止另一组织从不同司法辖区发布可比模型。

这一限制支持国际协调，但不能成为国内不作为的理由。美国可以建立可供盟友、公司和研究机构复用的评估实践。

更直接的不确定性涉及保密。据报道，政府不计划公布该框架，而其先进网络安全基准测试程序将继续保持机密。

一定程度的保密可防止敏感测试变成攻击者的指南。过度保密则会阻止外部人士评估该政策是否一致、有效或不公平。

政府应公开其覆盖逻辑、程序保障和广泛风险类别。它可以保护那些会揭示可被利用弱点的具体提示词、目标、情报和技术发现。

另一个不确定性涉及时间安排。当开发者提供接近完成的模型和大量内部文档时，30 天或许足以进行聚焦测试。

但对于独立复现、复杂的生物分析，或评估许多修改后的版本来说，这可能时间不足。仓促的程序可能制造具有误导性的安全信号。

固定期限也会促使开发者提交接近发布阶段的系统。这限制了政府在发布前就架构或训练提出调整建议的能力。

更早开展沟通或许会有帮助，但这会让企业面临更长时间的不确定性。也可能增加官员在缺乏明确授权的情况下影响产品设计的风险。

因此，审查应将非正式的早期接触与正式的 30 天评估区分开来。开发者可在提交最终候选模型前讨论评估方案。

最重要的不确定性在于，开放权重模型本身是否被纳入范围。据报道的排除决定，仍可通过指导意见、未来行政行动、立法或与开发者达成自愿协议而修订。

华盛顿不应将每一个可下载模型都视作同等威胁。大多数模型的能力尚未接近促成这项新联邦框架出台的水平。

它也不应因为模型支持研究与竞争，就自动将开放分发视为安全。其带来的益处并不能消除发布后失去控制的风险。

怀疑论的检验标准很直接。官员必须证明，他们的流程能够发现企业自行评估原本可能遗漏的风险。

他们还必须证明，一项认定会带来实质性改变。这种改变可能包括分阶段发布、更完善的文档、更强的防护措施，或更收窄的模型分发计划。

没有这些结果，审查就会沦为仪式化程序。它可能提供政治掩护，却不会改变潜在的发布激励机制。

这一流程甚至可能制造虚假的信心。用户可能会认为，经过审查的模型在联邦评估人员从未检查过的各个领域都是安全的。

公开摘要应明确这些边界。它们应说明测试了什么、未测试什么，以及结果在多长时间内仍具参考价值。

开放权重审查还带来另一项警示。积极的结果只适用于提交的版本，而不适用于每一个后续微调版本或修改后的检查点。

这一限定并不会使测试失去意义。它确保读者理解，评估提供的是证据，而非永久认证。

三个信号将显示华盛顿是否弥合这一缺口

下一阶段将揭示，对开放权重模型的排除究竟是暂时的实施选择，还是联邦 AI 政策中长期存在的弱点。

第一个信号是对模型覆盖范围作出公开澄清。官员应说明，高级开放权重模型能否在其权重公开前进入自愿流程。

如果政府采用适用于不同分发方式的能力门槛，政策将朝着一致的风险评估迈进。如果保留一刀切的排除政策，该框架仍将受市场结构而非风险程度所束缚。

第二个信号是开放权重开发者的参与。一次真实提交将检验安全的政府审查是否能够发挥作用，而不会将开放性变成被禁止的发布策略。

这一案例也将迫使官员调整缓解建议。他们不能只依赖集中式监控、账户控制或发布后撤回等措施。

第三个信号是审查改变了发布计划的证据。读者应关注是否出现与联邦测试相关的延期发布、调整访问计划、公开安全结果或防御性披露。

这样的结果将增强政府审查在企业红队测试之外增加价值的论据。一个未带来任何可见改变的流程，将引发人们对其目的的质疑。

国会行动最终可能将这些原则正式化。立法可以确立更明确的授权、独立监督、报告义务，以及防止政治动机决策的保障措施。

目前，这一行政框架仍是一项实验。它将联邦专业能力引入发布前测试，同时仍未解决有关覆盖范围、透明度和后果的重要问题。

Google News 让这些问题获得了更广泛的关注，但议题并不止于一则标题。开发者需要可预测的规则，企业需要可信的安全信息，研究人员则需要持续获得检视重要系统的机会。

开放权重模型既不应受到自动怀疑，也不应自动获得豁免。其能力应决定是否接受审查，而其分发方式则应决定之后采取何种保障措施。

未来一到三个月将显示，华盛顿能否作出这种区分。请关注覆盖范围的定义、首个开放权重提交，以及任何因联邦认定而改变的发布计划。

如果这些都没有出现，政府将审查那些它仍能施加影响的模型，却忽视那些无法召回的模型。这恰恰与风险导向体系背道而驰。