北京
出品 | 網易智能
作者 | 小爪
編輯 | 王鳳枝
只要模型能力足夠強，無論權重是否公開，都應在發布前接受強制安全測試。 這是Anthropic首席執行官達里奧·阿莫代最新提出的主張。
阿莫代同時否認Anthropic主張封禁開放權重模型。但在他提出的規則下，普通開放模型可以繼續下載、修改和本地運行；可能顯著提升網絡攻擊、生物武器或自主行動能力的模型，則要先證明風險得到控制。決定模型能否直接發布的，不再是它采用開放還是閉源路線，而在于它越過了哪一道能力門檻。
Anthropic已經在Claude的發布過程中實踐這套邏輯。按照公司的"負責任擴展政策"，模型能力上升，測試、安全和部署要求也要隨之提高。如今，阿莫代希望把一家公司的內部規則，推成開放模型和閉源模型都要遵守的發布門檻。
不禁開放模型，但要管住三個關口
阿莫代提出的三項措施覆蓋了模型從訓練到發布的不同環節，并非都是"發布閘門"，但它們共同構成了他設想的管控體系。前兩項針對訓練前的資源獲取和訓練過程中的行為，是已有政策立場的重申或延伸；第三項，發布前強制安全測試，才是此次聲明的核心新主張。
第一道關口在訓練之前。 他主張繼續限制中國獲得先進芯片和芯片制造設備。按照他的判斷，限制先進算力，比禁止美國企業使用已經發布的中國模型更能直接回應國家安全風險。
第二道關口在訓練過程中。 阿莫代主張限制"工業規模的蒸餾"，也就是大規模利用更強模型的輸出訓練另一個模型。他把蒸餾納入安全討論的理由是：如果蒸餾能讓缺乏算力的一方以更低成本獲得接近前沿的模型能力，它就可能繞過芯片管制設定的算力門檻。
不過，Anthropic和OpenAI對中國公司的相關指控仍是企業方面的說法。
第三道關口才落到產品發布。 阿莫代主張，所有"能力足夠強"的模型都應在上線前接受網絡安全、生物風險和失控風險測試，無論它們采用開放還是閉源方式。能力較弱的創業公司和學術模型可以豁免；閉源前沿模型也不能因為權重沒有公開就繞開測試。
開放權重模型一旦越過危險能力門檻，發布難度可能比閉源模型更高：閉源服務還可以更新安全措施、限制訪問或撤回版本，已經下載到用戶手中的模型權重卻很難再收回。
所以，Anthropic不是從監管立場后退，而是把監管線從"開放還是閉源"移到了模型能力和生產流程上。
RSP：Anthropic給自己寫的合同
Anthropic的"負責任擴展政策"（RSP）最早發布于2023年，最新版本在今年7月8日生效。它不是政府頒發的模型許可證，更像是Anthropic給自己設定的一份發布合同：在訓練和上線更強模型時，公司必須完成哪些評估，又要在什么情況下提高安全要求。
這份政策的核心是一組"如果—那么"規則。 如果模型達到某項危險能力門檻，Anthropic就要啟用更嚴格的安全措施。公司用"AI安全等級"區分不同要求，等級越高，部署保護和模型權重安全標準也越高。模型是否需要升級防護，不取決于它準備叫Claude什么名字，也不取決于它打算通過聊天產品還是API提供，而取決于評估中表現出的能力。
這套規則已經影響過Claude的上線方式。Anthropic在2025年為相關模型啟用了第三級安全保護，其中包括更嚴格的危險內容分類器、訪問控制、持續紅隊測試，以及防止模型權重被竊取的安全措施。今年7月更新的版本又加入風險報告和更明確的外部審查安排：公司長期利益信托可以要求啟動外部審查；一旦啟動，未經刪節的報告內容都要至少由一名外部評審查看，公開版本還要標出哪些地方經過刪節。
不過，Anthropic尚未公開披露RSP在哪些具體發布決策中導致了延遲或方案變更。
Anthropic從一開始就沒有把RSP只當作內部制度。 公司在今年發布第三版政策時回顧稱，它曾希望這套機制促使其他實驗室建立類似規則，隨后成為行業標準，或者進入正式法律。阿莫代此次提出的強制發布前測試，正是把這條路徑繼續向前推：Anthropic已經要求Claude遵守的能力分級邏輯，也應約束其他公司的開放和閉源前沿模型。
一家公司可以為自己的產品設定門檻，也可以在不確定時選擇更謹慎的發布方式；一旦把它變成所有公司的共同規則，問題就不再只是"要不要測試"。誰來定義模型已經"足夠強"，才是這套方案最難回答的一步。
最難的不是測試，而是定義"足夠強"
"能力足夠強"看上去只是一個技術條件，實際決定了哪些模型可以直接發布，哪些模型必須承擔額外的測試、時間和安全成本。門檻設得太低，大量面向單一任務的小模型也可能被拖進前沿模型審查；設得太高，真正危險的能力又可能在觸發規則前公開出去。
Anthropic自己已經遇到這個難題。公司今年回顧RSP的運行情況時承認，預先設定的能力門檻比最初想的更模糊，現有模型評估也很難給出決定性答案。
以生物風險為例，模型已經能夠通過不少可以快速完成的測試，但這既不足以證明風險很低，也不足以證明風險很高。更接近真實環境的實驗耗時更長，等結果出來時，能力更強的新模型可能已經出現。
測試條件也會改變結果。 同一個模型是否可以使用工具、能夠嘗試多少次，以及評估者采用什么提示方式，都可能影響它表現出的能力。測試沒有充分調動模型，危險能力可能被低估；只用少數容易量化的任務代替真實風險，又可能把門檻變成一張看似精確、實際并不穩定的分數表。
阿莫代的方案建立在一個前提上：存在某些能力水平，模型一旦達到，公開權重可能造成不可逆的嚴重傷害。目前，公開的安全評估，包括Anthropic自己的RSP測試和RAND等機構的獨立研究，尚未給出確定性結論：現有開放模型是否已經顯著降低了大規模生物或網絡攻擊的實施門檻。 風險的不確定性同時支持兩種解讀：可能說明門檻還不緊迫，也可能說明評估手段還不夠靈敏。
這道門檻已經在X上變成一場非常直接的爭執。阿莫代發布聲明前一天，前白宮AI與加密事務負責人戴維·薩克斯指責Anthropic接下來可能不會公開要求"封禁"，而會轉向限制誰能使用、誰能參與開發，以及開放模型可以做到多強；他認為這些措施最終仍會削弱開放模型。第二天，阿莫代開篇便回應稱，Anthropic從未主張封禁開放權重模型。
門檻之外，還有一個同樣關鍵的問題：誰來執行測試。 如果測試由開發者自行完成，利益沖突難以避免；如果交給政府機構，目前沒有任何現成的監管機構具備評估前沿模型能力的技術儲備；如果由第三方審計完成，審計標準的制定權本身也可能成為競爭工具。阿莫代的聲明沒有明確回答這個問題，但這個問題的答案，可能比門檻設在哪里更直接地決定這套方案是否可行。
阿莫代在聲明中為能力較弱的創業公司和學術模型保留了豁免，但豁免仍然要回到同一個判斷：誰來認定它"能力較弱"。如果測試標準、評估機構和合規費用主要由少數資金雄厚的實驗室塑造，安全門檻也可能在客觀上變成競爭門檻。
批評者由此提出"監管護城河"質疑：Anthropic的安全主張可能保護以閉源模型收費的商業模式。阿莫代對此否認，并主動承認全面禁令確實會幫助美國閉源模型公司，但稱這從來不是他的目標。
反對者擔心的也不全是政治立場。Webflow工程負責人、前谷歌員工Yan Xie在X上提出，昂貴的模型審計對開放權重項目未必現實，而小公司又需要依靠這類模型打造自己的垂直產品。這只是一名產品負責人的具體擔憂，卻點中了阿莫代方案需要解決的矛盾：不能讓低風險模型承擔前沿實驗室的合規成本，也不能因為開發者規模較小，就默認它發布的模型沒有危險能力。
商業利益不能推翻安全風險；但換個方向看，安全規則本身也會帶來市場后果，同樣需要審視。能力測試是否合理，最終還要回到更具體的問題：開放權重究竟在哪些場景幫助防守者，又在哪些場景讓攻擊能力更容易擴散。
開放陣營的反駁
Anthropic與開放權重聯名信的共同點，其實比表面上更多。阿莫代認可開放權重能夠擴大AI獲取、增加部分市場的競爭，也能讓客戶更好地控制模型。他與聯名方都反對全面禁令，也都承認一項特殊風險：模型權重一旦公開，原開發者很難再追蹤修改版本，更無法像撤回在線服務那樣把它收回來。
分歧出現在安全收益上。 黃仁勛7月24日在自己的第一條X帖子中寫道，開放模型能夠加強安全和網絡安全，世界既需要前沿閉源模型，也需要前沿開放模型。截至核驗時，這條帖子獲得約6300萬次瀏覽和17萬個贊。聯名信給出的理由是，面對使用AI的網絡攻擊，防守者也需要能力相當的模型；更多研究者能夠運行、修改和測試模型，漏洞和保護措施就可能更快被發現。
Hugging Face聯合創始人兼首席執行官克萊芒·德朗格（Clément Delangue）的說法更直接。他在X上稱，封禁開放模型對防守者造成的傷害會是攻擊者的"十倍"，反而讓世界變得更危險。開放陣營的核心邏輯就在這里：攻擊者總會尋找繞過限制的辦法，封禁開放模型反而可能讓防守團隊更難獲得能力相當的工具。
阿莫代則認為，開放權重是否更有利于防守，要看具體風險。在網絡安全場景中，更多團隊獲得模型，確實可能幫助它們分析攻擊、調整工具和修補漏洞；但在生物風險場景中，攻擊和防御需要的時間并不對稱。按照他的設想，危險在于：AI可能將攻擊端的瓶頸（設計危險病原體）大幅壓縮，但防御端的瓶頸（臨床驗證和規模化生產疫苗）仍然受物理和生物過程約束。
這意味著，同一項"開放"在兩種場景中可能產生相反結果。它可以讓更多防守者獲得工具，也會讓更多攻擊者持有無法撤回的模型副本。公開權重還不等于模型變得完全可解釋：研究者可以運行和修改參數，卻不能像檢查普通開源軟件那樣，逐行確認一個大型模型為什么會產生某個輸出。
兩種立場背后也存在不同的商業激勵。 芯片、云計算和開發工具公司會從更多模型、更多部署中獲得需求；Anthropic 等前沿實驗室則主要通過專有模型和API 收費。商業模式不能證明哪一方的安全判斷正確，卻會影響它們更愿意承擔哪一種風險：基礎設施公司更擔心少數模型壟斷入口，閉源實驗室更擔心能力發布后失去控制。
雙方真正爭的是默認順序。 聯名信希望先保留模型開放和擴散的空間，再針對已經出現的濫用、侵權和安全問題采取措施；Anthropic 則希望能力較強的模型先證明風險可以控制，再決定是否允許它以不可撤回的方式發布。
阿莫代也承認，后一種方案只有在全球范圍內實施才有效。如果美國實驗室需要等待測試，而其他國家的同等能力模型仍可直接公開，強制審查既擋不住風險，也可能只拖慢遵守規則的公司。如何讓不同國家接受同一套發布門檻，才是這份聲明留下的最大難題。
誰來握住發布閘門
Anthropic 的聲明沒有結束開放權重之爭，而是把爭論推進了一步。全面禁令開始失去行業支持后，新的分界線變成了能力：普通開放模型可以繼續發布，接近前沿水平的模型則要先通過測試。問題也隨之從"模型能不能開放"，變成"誰有權認定它已經強到不能直接開放"。
這道閘門需要在兩個層面同時成立。第一，規則設計層面：審查成本和標準制定過程不能系統性地偏向資金充裕的閉源實驗室，否則安全門檻會在實踐中變成市場壁壘。第二，國際協調層面：如果美國實驗室需要等待測試，而其他國家的同等能力模型仍可直接發布，規則既擋不住風險，也只拖慢遵守規則的公司。
在此之前，Anthropic 提出的是一套清楚的發布原則，還不是一套能夠在全球執行的發布制度。
本文來源：網易智能
責任編輯：
王鳳枝_NT2541
