白宫完成 AI 审查框架，但规则仍处于保密状态

白宫已完成一套用于审查先进 AI 模型的框架，但尽管政府计划设置 30 天审查窗口，相关规则仍未公开。这一消息在官员向主要科技公司介绍该自愿流程后，经由 Google News 广泛传播。这立刻引发了国家安全保密与公众问责之间的冲突。

据报道，该框架针对具备先进能力、可能带来国家安全风险的封闭式模型。训练参数可供下载和修改的开放权重模型据称被排除在外。官员尚未公布用于区分受覆盖系统与豁免系统的标准。

这种区分至关重要，因为 OpenAI、Anthropic、Google、Meta、Microsoft 和 Nvidia 都参加了有关该框架的私下讨论。其中一些公司开发封闭系统，另一些则大力投资开放发布或支撑开放发布的基础设施。因此，政府正在竞争性开发模式之间划出一条影响深远的界线，却没有向公众说明这条界线具体在哪里。

该政策紧随总统 Donald Trump 于 6 月 2 日签署的关于先进 AI 创新与安全的行政命令。该命令要求在发布前，政府可自愿获得受覆盖前沿模型的访问权限；同时还指示各机构建立一套机密基准，用于衡量先进网络能力。

这一框架并非传统的许可制度。企业在推出模型前并无法律义务必须取得联邦许可。然而，政府要求、国家安全关系、采购决策以及声誉压力，都可能使一项自愿流程在实践中产生实质影响。

这正是为何这一事件不只是又一项华盛顿政策公告。白宫希望开发者共享敏感模型，以便联邦专家发现安全风险；与此同时，它要求公众信任一项尚未公布的标准，而该标准据称排除了一个重要类别的高能力 AI。

白宫 AI 框架带来了哪些变化

该框架为政府获取部分尚未发布的 AI 模型建立了结构化渠道，但筛选规则仍未向公众公开。

Trump 的 AI 安全行政命令要求联邦政府制定一套机密基准评估流程。该流程用于判断 AI 模型是否具备先进网络能力，并是否达到“受覆盖前沿模型”的门槛。

前沿模型是指处于 AI 开发前沿、能力极强的通用系统。“受覆盖”意味着政府认为该模型属于该命令以安全为重点的审查流程范围。

该命令要求参与的开发者在模型公开发布前最多 30 天，向联邦政府提供受覆盖模型的访问权限。政府随后可评估国家安全风险，尤其是涉及先进网络行动的风险。

这套未公开的框架据称补充了操作层面的细节。根据 框架报道，受覆盖系统必须是闭源的、具备最先进能力，并引发国家安全关切。员工在审查期间可能面临访问限制。

据报道，开发者被鼓励在接近公开发布日期时提交系统。这种做法缩短了政府测试与商业可用之间的延迟，也让审查人员获得更接近完成状态的模型版本。

但临近发布时进行审查也会带来实际压力。30 天给联邦团队留下的时间有限：他们需要复现发现、区分真实漏洞与测试伪影，并评估缓解措施是否有效。当每个模型的工具、安全防护与部署设置各不相同时，难度会进一步上升。

模型的风险还取决于人们如何访问它。API 服务允许开发者监控使用情况，并集中调整安全防护措施；可下载的模型权重则允许外部运营者修改系统、移除限制并私下部署。

这些差异说明，审查程序不能依赖单一基准分数。受控实验室测试或许能揭示模型在有利条件下能够做什么，但并不能自动预测攻击者会如何在真实环境中调整并利用同样的能力。

白宫有合理理由保护部分细节。公开精确的网络测试可能帮助开发者直接针对这些测试进行训练，也可能让敌对行为者了解政府机构最关注哪些攻击方式。

不过，保密并不需要覆盖每一个层面。政府可以保护测试提示词和机密威胁情报，同时公布治理规则、资格原则、审查时间表、申诉程序和汇总结果。

这种区分在安全工作中很常见。防御方很少公布敏感的操作细节，但可信的监督仍需要可见的程序。缺少这些程序，外部人士就无法判断相似模型是否获得相似对待。

因此，该框架改变的不只是模型测试。它赋予联邦官员在某些商业 AI 发布最后阶段发挥作用的空间，尽管这一流程在形式上仍属自愿。

核心悬而未决的问题，并不是每项基准是否都应公开，而是政府是否已披露足够信息，让开发者、研究人员和公民能够评估流程本身。

为什么 Google News 的报道聚焦保密问题

最具新闻价值的并非联邦 AI 测试本身，而是决定将管理这类测试的框架隐藏起来。

Google News 的搜索结果之所以强调这一对比，是因为该政策要求来自两个方向的信任。AI 公司必须相信政府能够妥善处理其专有模型；公众则必须相信双方会在发布前识别危险能力。

白宫表示，该框架旨在支持国家安全与美国 AI 领先地位。这一立场反映出更广泛的政策权衡：在应对严重风险的同时，避免建立会削弱本土企业的缓慢审批制度。

这一担忧此前曾推迟该政策。5 月，Trump 取消了一场原定的签署活动，因为他担心拟议命令可能损害美国的科技领先优势。该延迟发布的命令表明，政府官员当时仍在争论何种程度的监督才算适当。

Trump 于 6 月 2 日签署了修订后的命令。该命令明确避免引入许可制度或强制性预先审批要求。自愿设计在行业速度与政府访问权限之间提供了一种折中方案。

这套机密基准从未被预期会完全公开。行政命令称，政府应制定并维护一套机密流程，用于评估先进网络能力。这一措辞为官员保护敏感测试提供了明确依据。

然而，争议更进一步。报道显示，更广泛的框架也将保持未公开状态。缺失的信息包括官员如何界定覆盖范围、如何管理机密材料、如何限制访问，以及测试发现严重问题时将如何应对。

这些问题并非无关紧要的行政细节。它们决定了谁将在 30 天窗口期内承担风险，也影响参与是否会让大型公司相较小型实验室占据优势。

一家拥有既有政府关系的公司，可以安排律师、安全工程师和政策人员参与审查。较小的开发者在完成重大发布的同时，可能难以准备相关文件。

如果参与会影响联邦采购或获得政府合作关系的机会，该流程就可能成为竞争门槛。它在纸面上仍属自愿，却会影响商业结果。

该框架还可能造成信息披露不均。参与公司能获得外部人士无法看到的政府预期信息，这些知识可能影响内部测试、招聘和发布规划。

受邀群体之外的研究人员则有不同担忧。独立专家无法评估框架是否覆盖了正确的威胁，或是否采用可信的评估方法；他们只能依赖官员和参与公司的总结。

在该命令出台前，外部研究人员提交的监督指导建议呼吁引入独立技术参与和公众认可，同时也警告涉及与开发者存在争议或诉讼的机构时可能产生利益冲突。

这些建议凸显了一个治理问题。同一个联邦政府既可以充当评估者、客户、监管者、情报持有者和诉讼一方。明确程序有助于防止一种角色在不知不觉中扭曲另一种角色。

Google News 这一关键词或许会让读者通过聚合平台来到这篇报道，但原始报道仍比信息流本身更重要。聚合标题会压缩不确定性，并可能让一项尚未完全成形的政策显得比实际更确定。

已获确认的内容更为有限：行政命令确实存在；它建立了自愿模型共享流程与机密网络基准；据多方报道，私下行业简报也确实举行过。

其他细节仍属报道内容，而非官方公布的信息。其中包括最终覆盖定义、开放模型被排除在外，以及审查期间对员工的限制。白宫尚未发布可供独立核实这些条款的文件。

因此，读者应当区分保密与不确定性。官员可能已完成内部框架，但公众仍缺少判断每一项已报道条款是否在最终流程中保留下来的文本。

封闭模型面临审查，而开放模型据称得以豁免

该框架最具决定性的权衡在于：据称它审查更易控制的封闭模型，同时排除更难遏制、可供下载的系统。

封闭模型仍处于提供商的运营控制之下。用户通常通过应用程序或 API 访问它们，而提供商保留模型权重及配套基础设施。

开放权重模型允许下载训练参数。它们并不总是在传统软件意义上属于开源，因为训练数据和完整代码可能仍不可用。不过，外部运营者通常仍可独立修改和部署它们。

据报道，该框架聚焦具备最先进能力的封闭系统。这一选择为审查人员提供了明确的合作对象：开发者控制访问权限，可以提供安全测试环境，并能在发布前修改模型。

封闭模型提供商还可以在上线后执行缓解措施。他们可以封禁滥用账户、更新过滤机制、监控可疑活动并撤回工具。这些控制措施使政府建议更容易落实。

开放权重发布则带来不同情况。一旦权重开始流传，原始开发者就无法可靠地召回每一份副本。独立运营者可以移除安全措施，或针对专业任务对模型进行微调。

这使得发布前审查在某种意义上更加重要。危险能力一旦公开，就更难控制。然而，这也使可执行的审查框架在政治和技术上更难建立。

政府一直支持将开放模型作为创新和美国影响力的工具。其更广泛的AI 行动计划认为，开放系统可以成为全球标准，并应获得支持性环境。

将其排除在外，会减少对 Meta 等公司以及发布可下载权重的小型开发者的压力。这也避免了将审查流程施加于那些能力会在社区修改后发生变化的系统。

然而，这种排除可能颠倒政策的风险逻辑。封闭提供商之所以面临政府审查，部分原因在于其仍保持控制。报道称，开放开发者却可能避开这一流程，尽管下游分发限制了控制能力。

据报道，OpenAI 和 Anthropic 曾支持一种基于能力的做法，无论模型是开放还是封闭都应适用。该立场关注的是系统能够促成什么，而非开发者如何分发它。

基于能力的门槛听起来很中立，但实施仍然困难。审查人员需要在 API、本地部署、微调版本以及工具访问权限不同的模型之间进行可比测试。

开放模型的默认形态可能显得能力较弱，但在接受专门训练后会变得更危险。封闭系统在实验室中可能得分很高，但其部署后的防护措施或许会阻止相同行为。

政府还面临时机问题。封闭开发者可以共享稳定的候选发布版本。开放项目则可能在更长时期内发布组件、检查点和技术细节。

不过，完全排除这一类别会留下明显缺口。中国开发者一直利用开放权重发布迅速传播模型，并吸引国际采用。美国官员将这种扩散描述为竞争挑战和安全担忧。

结果是，这项政策据称集中于最容易监管的公司。这可以带来有用的发现，但并不一定会将注意力导向不受控制分发最广泛的系统。

它也可能影响产品策略。如果封闭发布承担额外审查成本，开发者就多了一个重新考虑模型发布方式的理由。一些公司可能发布低于报道门槛的较小开放系统，同时将最强产品保持封闭。

另一些公司可能避免自愿参与，除非政府关系使其值得这么做。该框架的影响将取决于参与是否会成为领先实验室的预期规范。

仅限愿意参与的封闭模型提供商的审查，仍可提升安全性。它能在数百万用户获得访问权之前识别漏洞，也能为发布后发现的事件建立沟通渠道。

担忧是比较性的，而非绝对性的。当该命令所述关注点涉及危险能力时，政府尚未说明为何分发形式应决定资格。

在官员解释这一边界之前，该框架看似在奖励最难控制的模型类别。这正是推动该报道的核心矛盾。

自愿流程仍可对 AI 公司形成压力

该框架不具备正式许可权，但联邦准入、采购和国家安全关系赋予其实际影响力。

据报道，OpenAI、Anthropic、Google、Meta、Microsoft、Nvidia 以及较小型公司参加了白宫讨论。他们的出席表明，该框架影响的不只是行业的一隅。

模型开发者重视避免安全故障，但也在意发布时间。旗舰产品发布延迟可能扰乱企业合同、开发者路线图、基础设施承诺和竞争定位。

因此，即使没有法律期限，30 天审查窗口也会造成紧张关系。开发者需要决定何时冻结候选模型，以及向政府测试人员提供多少访问权限。

过早共享会暴露尚未完成的工作，并可能产生误导性结果。过晚共享则几乎没有时间修复发现的弱点。发布前几天加入的缓解措施还可能改变性能或带来新问题。

保密性是另一项担忧。前沿模型代表重大投资，且包含敏感技术信息。开发者需要确信竞争对手、承包商或未获授权的官员无法访问其系统。

据报道，审查期间的员工访问限制似乎旨在应对这一风险。限制访问可以减少泄密和内部威胁，但当只有小团队能复现政府发现时，也会使调试变慢。

知识产权规则与网络安全同样重要。模型审查可能暴露系统指令、训练方法、评估数据或尚未发布的能力。公司需要明确限制，规定机构如何保留和共享这些信息。

政府还必须决定测试失败后会发生什么。该命令描述的是合作而非许可，因此官员可能没有直接权力阻止发布。

他们仍可要求缓解措施、警告公司、限制政府使用或重新考虑合同。在极端情况下，其他法律授权可能适用，尽管该框架本身并未设立此类授权。

这种模糊性能够促进合作，因为它让流程保持灵活。但它也可能导致结果不一致。一家公司可能自愿推迟，另一家公司则可能在收到类似担忧后仍然发布。

公开报告可以在不暴露机密细节的前提下减少这种不一致。政府可以披露参与数量、广泛的风险类别、平均审查时长以及已采取缓解措施的数量。

汇总报告将使观察者能够评估该流程是否具有实质内容。它还会揭示该框架是否只覆盖一小批预先选定的公司。

过去的自愿 AI 承诺展示了无形合规的弱点。一项针对早期白宫承诺的独立研究发现，问责制取决于对公司行为进行公开、可验证的披露。

新框架的不同之处在于，它涉及机密安全评估。尽管如此，同样的结构性教训依然适用：当外部人士无法验证标准或合规情况时，承诺无法支撑广泛信任。

大型开发者可能欢迎一定程度的保密。公开披露某模型触发了危险网络门槛，可能损害产品发布或向攻击者泄露信息。私下审查提供了一个讨论风险的场所，而不会立即引发市场危机。

政府测试人员也可能需要坦诚访问。如果每项发现都会自动进入公开记录，公司可能会减少合作。保护敏感结果可以提升技术交流质量。

政策挑战在于，在保持这种坦诚的同时，防止一个私密俱乐部定义可接受的 AI 发布。当前的保密性使人难以判断官员是否找到了这一平衡。

小型实验室面临特殊的不确定性。它们不知道未来模型是否符合资格、参与需要做哪些准备，或拒绝邀请是否会带来后果。

基于开放权重进行开发的开发者则面临另一种模糊性。基础模型可能获得豁免，而能力很强的修改版本可能跨越风险门槛。没有公开框架解释官员将如何处理这种情况。

企业客户也应关注。经过政府审查的模型并不会自动适用于银行、医疗保健、法律工作或关键基础设施。据报道，联邦审查聚焦于国家安全和高级网络风险，而非所有运营故障。

购买 AI 系统的公司仍需自行评估。它们应审查数据处理、访问控制、工具权限、故障恢复和供应商事件流程。

知识工作者也面临相关区别。一个模型可以通过复杂的网络测试，却仍可能编造事实、暴露机密数据，或在业务工作流程中采取未经授权的行动。

除非官员明确其边界，“政府审查”一词可能成为误导性的营销信号。狭窄的发布前评估无法替代部署后的持续监测。

这使透明度不仅对民主重要，也对行业重要。买方在将参与视为一般可靠性的证据之前，需要知道审查涵盖什么。

秘密标准造成问责缺口

机密测试材料可以保护国家安全，但隐藏其周边治理机制会阻碍对公平性、范围和有效性的独立审查。

保密最有力的理由涉及基准完整性。如果政府公布每一项测试，开发者可能会针对确切问题进行优化，而非提升底层安全能力。

敌对行为者也可能获知机构认为最具影响力的进攻技术。机密基准可以纳入无法安全写入公开文件的威胁情报。

这些理由并不能证明完全不透明是正当的。官员可以在保护操作内容的同时披露框架结构。他们可以说明谁评估模型、如何管理利益冲突，以及开发者如何质疑发现结果。

公众还需要对门槛有一个大致定义。“最先进”会在领先公司每次发布新系统时发生变化。相对标准可能在没有正式修订的情况下变动。

国家安全风险同样十分宽泛。网络能力包括漏洞发现、漏洞利用开发、凭证窃取、社会工程和自动化入侵。这些活动在难度和潜在危害上差异很大。

模型可能在孤立的技术任务中表现良好，却在漫长的攻击序列中失败。另一种模型可能只有在连接浏览器、代码执行、凭证或专用工具时才会变得危险。

因此，该框架应区分原始模型能力和已部署系统能力。这一区别会影响由哪家公司负责缓解措施。

模型开发者控制训练和核心防护措施。云平台控制基础设施和账户监测。应用构建者控制工具、权限和用户工作流程。

在缺乏公开治理模型的情况下，责任可能在这些参与者之间转移。每一方都可能辩称，是另一层造成了风险。

保密还可能掩盖不一致的对待。与关系密切公司有关的封闭模型可能获得量身定制的审查，而不太熟悉的开发者则面临不确定性或延误。

没有公开证据表明此类偏袒已经发生。问题在于，外部人士缺乏检验它所需的信息。问责规则存在的部分目的，就是让不平等对待能够被发现。

批评者还担心行业俘获。受邀参与私下讨论的公司可以影响会影响自身产品的定义。它们的技术知识必不可少，但参与不应变成排他性控制。

独立研究人员、民间社会团体和受影响行业可提供不同的专业知识。网络安全专家可以测试进攻能力，而劳工、民权和消费者专家则可以识别基准狭窄范围之外的风险。

该框架无需涵盖所有社会关切。其明确目的在于安全。不过，官员应说明哪些风险不在其授权范围内，以免公众将沉默误认为已被覆盖。

自愿参与的设计还带来另一个问责问题。如果一家公司选择不参与，政府可能永远不会评估其模型。官员尚未公开说明是否会披露这种拒绝。

公布公司名称可能形成压力，使这一流程演变为非正式的强制要求。然而，若对每项参与决定都保密，公众就无法了解该项目的代表性如何。

一种平衡做法是披露总体参与情况，仅在获得同意时公布公司名称。也可以在敏感细节失去操作价值后，发布匿名案例研究。

该框架还需要纠错机制。基准测试会产生假阳性和假阴性。模型可能因不现实的设置而失败，也可能因测试遗漏新的攻击技术而通过。

独立复现有助于发现这些弱点。如果所有方法都维持机密，外部研究人员就无法审查该基准是否衡量了现实世界风险。

政府可以设立获得安全许可的独立审查小组。成员将在严格规则下接触敏感方法，同时发布关于有效性和治理的非机密评估。

国会也可以定期获得机密简报和公开摘要。立法监督无法消除保密要求，但能将权力分散到行政部门和参与公司之外。

由于 AI 能力变化迅速，到期和修订规则同样重要。围绕某一代模型设计的基准，在新工具、训练方法或部署模式出现后可能失去相关性。

白宫应明确将多久更新一次框架，以及由谁批准这些更新。否则，该标准可能在持续影响商业发布的同时悄然改变。

这一担忧并不能证明隐藏的框架薄弱。它说明了为什么外部人士无法负责任地认定其足够强大。

政府可以保留机密网络安全测试，同时公布足够的程序信息以建立正当性。在此之前，信任主要仍取决于接受评估机构自身的保证。

Google News 头条淡出后值得关注的事项

三个信号将显示，这一秘密框架会成为可信的安全项目、行业规范，还是短暂的自愿实验。

第一个信号是白宫发布非机密摘要。官员无需公开敏感提示词、攻击路径或威胁情报，但应披露框架的覆盖原则、参与机构、审查阶段、数据保护措施和升级流程。

这样的摘要将强化保密措施经过严格限缩的论点。持续沉默则可能表明，政府隐瞒的不只是技术测试，还有治理选择。

尤其要关注对开源模型排除在外的解释。如果政府确认分发形式决定覆盖范围，就应说明为何仅凭能力不足以决定是否纳入。

清晰的解释可以使这种权衡具有可辩护性。它或许能表明，该项目聚焦于政府能够审查的系统，以及能够实施缓解措施的提供商。没有解释，核心矛盾就会依然存在。

第二个信号是，主要开发商在下一次重大发布前会如何行动。OpenAI、Anthropic、Google 以及其他闭源模型提供商，能够揭示这项 30 天流程是否会成为行业常规做法。

一家公司可能会宣布自己参与了审查，但不披露机密发现。它可以概述因审查而改变了哪些广泛层面的缓解措施，并说明审查未涵盖什么。

这类披露可通过提供可验证的影响证据来强化框架。若一次次发布都没有任何确认，就很难判断参与是真实的还是象征性的。

发布时间同样重要。若开发商在政府测试后推迟模型发布，将表明该流程具有实际影响力。不过，公司和政府需要谨慎措辞，避免暴露具体漏洞。

如果每个接受审查的模型都按计划发布且没有可见变化，仍可能有两种解释：这些系统可能确实通过了测试，或审查缺乏影响力。政府的汇总报告可以区分这两种结果。

第三个信号是，开放权重模型是否会永久处于该流程之外。据报道的豁免可能只是初步范围界定，而非最终政策。

官员可以为可下载系统制定单独路径。该流程可能评估发布前权重、分发控制、溯源措施，或开发商发布的风险评估。

同时覆盖两类模型、以能力为基础的框架，将减少当前的不一致性。但这也需要更多资源，以及更清晰的方式来评估修改后的版本。

如果开放模型仍获豁免，而其能力逐渐接近领先的闭源系统，政府的理由将被削弱。届时，该政策规制的将更偏向可控性，而非风险。

行业反应将提供另一条线索。Meta 和开放模型倡导者可能会将豁免辩护为研究与竞争所必需。闭源模型开发商则可能提出异议，若他们承担审查成本而竞争对手得以避免。

国会应密切关注这些激励因素。自愿性的行政框架可以快速推进，但持久的监督可能需要立法来规范保密性、机构权限和公开报告。

企业采购方不应将参与审查视为通用安全标签。他们可以询问供应商，模型是否进入联邦审查、测试了哪些广泛问题，以及哪些部署风险仍由自己负责。

集成这些模型的开发者应保留自身的控制措施。最小权限访问、沙箱执行、人工审批、审计日志和事件响应，无论是否经过联邦测试，仍然必不可少。

研究人员应关注各机构是否会在机密基准之外发布评估科学。衡量模型自主性、网络协助能力和安全防护可靠性的公开方法，可以推动整个领域的进步。

Google News 的新闻周期最终会转向下一次模型发布或华盛顿争端。头条消失后，未解的治理问题仍将存在。

可信的框架不要求公众完整访问国家安全测试。它需要足够的透明度，以表明谁被覆盖、决策如何作出，以及流程是否改变了结果。

白宫已建立一条渠道，用于在发布前审查部分能力最强的商业 AI 系统。这是具有意义的政策步骤。

但它尚未建立公众对这一渠道的信心。据报道对开放模型的排除、自愿参与的结构以及未公开的规则，让太多内容依赖于私下保证。

未来三个月内，请关注非机密框架摘要、开发商围绕重大发布的披露，以及有关开放权重系统的决定。这些信号将共同揭示，该项目能否超越其秘密开端而走向成熟。

在此之前，通过 Google News 看到这篇报道的读者应将该框架视为一项正在运作、经报道的工作，而非经过验证的安全认证。政府已完成撰写影响前沿 AI 发布的规则。它仍需说明，公众为何应信任这些规则的适用方式。