Nathan Goes to China – Part 2: AI Safety with Chinese Characteristics

中国 10 家头部 AI 公司里，只有 5 家会定期公开安全评估报告，初创公司普遍优先冲速度。

中国并非不管AI安全，而是用另一套逻辑在管

本期没有外部嘉宾，由主持人 Nathan 主讲。他自费完成两周中国行，与研究者、科技公司人员多次交流，再对照公开论文和监管材料，试着从中国自己的制度和技术语境里理解 AI 安全。核心看点不在于给中国模型贴“安全”或“不安全”的标签，而在于拆开看：谁在设标准，谁在做研究，监管盯住的是模型、服务，还是模型进入现实后的行动。

这期回答了 8 个问题：

1. 中国真的会为了 AI 安全而放慢本国公司的发布速度吗？
2. 美国在模型安全上的领先，究竟是体系优势还是 OpenAI、Anthropic 两家公司的优势？
3. 为什么中国看待开源权重模型时，更在意服务场景而非模型本体？
4. 中国 AI 安全讨论为何从内容审核转向了智能体与机器人失控？
5. 没有强势民间非营利组织，中国的 AI 安全研究由谁来推动？
6. 中国研究者与西方 AI 安全社区到底有多同步？
7. 中国为何有“安全治理”，却暂时没有一套“儒家式对齐”目标？
8. 一个中国政府能在境内下架的开源模型，为什么仍可能给全球带来风险？

被问到“任何美国监管都会把竞赛拱手让给中国”的说法是否成立时，Nathan 给出的不是原则判断，而是一段已经发生过的监管史。ChatGPT 在 2022 年底推出，GPT-4 随后于 2023 年出现，中国公司当时也急着把自己的大模型服务推向公众。但据他了解，中央政府曾让多家公司的部署暂停约 6 个月，先把标准和审核流程补上。对一家正在追赶的公司而言，这不是象征性动作：不能上线，就没有产品收入，没有用户数据，也拿不到“谁先发布”的市场声望。

监管者当时传递的意思很直接："No, you cannot launch yet. We will get our act together. We will have standards."（不，你们还不能发布。我们要先把事情理顺，要先有标准。） 这与“只要美国减速，中国一定加速”的想象正相反。中国政府至少展示过一种能力：它愿意为了自己定义的安全和秩序，暂时让本国公司承受商业损失。

这意味着，把“中国绝不会减速”当作政策前提，会高估监管必然带来的竞赛劣势，也会低估中美建立最低安全共识的空间。竞争并不会消失，但竞争不等于每个环节都必须取消刹车。边界也很清楚：这次暂停发生在 2023 年，当时的模型能力、资本投入和地缘政治压力都低于今天。六个月的先例证明“可以减速”，不等于未来每次都会同样减速。

在比较中美前沿模型的实际防护能力时，Nathan 先泼了盆冷水：中国模型目前对滥用的防护总体较弱，安全评测披露和模型卡也较少。模型卡就是模型发布方说明能力边界、测试结果和风险控制的公开文档。但他紧接着指出，不能把这个差距粗暴写成“美国体系全面领先、中国体系全面落后”。

如果把“近前沿”——也就是虽未必最强、但能力已接近最强一档——的公司也算进去，中美各有约 10 到 12 家模型公司。美国的平均分，很大程度上由 OpenAI 和 Anthropic 两家公司抬高。Google 的 Gemini 也比多数同行强一些，但与前两者的差距没有那么悬殊。Nathan 的判断是：若从美国样本中扣掉 OpenAI 和 Anthropic，其余美国公司与中国公司的安全差距会明显收窄。

这意味着，国家均值会掩盖企业之间的极端分化。真正改变全球安全基准的，往往不是一个国家整体更有道德感，也不是某种制度天然更优，而是少数公司愿意投入红队测试、越狱防护、风险评测和披露机制。反面也不能抹掉：若按用户实际使用量加权，美国模型目前仍有更强的滥用防护、更完整的模型卡和安全评测披露。只是这份领先，更像两座高峰把整片地形拉高，而不是整片大陆都处在同一海拔。

在解释中国 AI 安全生态的核心指导思想时，Nathan 提到上海 AI Lab 主任兼首席科学家 Xiao Bowen 在 2024 年 WIC 提出的“45 度线”。这条线可以理解成数学里的 y=x：模型能力往上走一步，安全措施也要同步往上走一步，二者保持斜率为 1 的关系。Xiao 的表述是："As your capabilities rise, your safety standards and measures also need to get stronger and stronger."（随着能力提升，你的安全标准和措施也必须不断变强。）

这套逻辑和西方 AI 安全圈中“提前为远期灾难能力做准备”的思路并不相同。45 度线不主张安全永远落后于能力，但它隐含着另一层判断：如果某种能力尚不存在，为它预先建设远超现实需求的防护，可能浪费资源，甚至干扰技术发展。安全在这里更像随水位上升而加高的堤坝，而不是在河流出现前就先筑一座大坝。

这意味着，中国更可能在模型能力逼近、风险变得可见时加码安全，而不是为遥远的尾部风险——即低概率但后果极大的风险——预先投入大量资源。它的长处是务实，能把标准绑定在可观察的能力上；短处也在这里：如果能力不是线性爬坡，而是突然跃迁，防护可能来不及同步。Nathan 也承认，45 度线目前更多是愿景，现实里的安全措施尚未稳定地跟上能力增长。

被问到中国是否只关心敏感内容和审查时，Nathan 的现场观察提供了一个细节：在一些中国 AI 服务里，敏感问题的答案会先生成几句，随后被服务上层的监控机制截断，页面改成拒答。这说明“模型本体”与“用户实际看到的服务”并不是同一回事。模型可能愿意回答，但套在模型外面的监控层会把输出收回。

不过，他在多处交流中反复听到的头号议题，并不是内容审核，而是 agents，也就是能自行规划、调用工具并采取行动的智能体。对方不断追问的是："Agents taking autonomous actions. What could happen? Can we keep them under control?"（智能体在自主采取行动。会发生什么？我们能把它们控制住吗？） 中国对机器人投入很重，受访者预期智能体不会永远停在聊天窗口里，而会从数字世界进入工厂、家庭、物流和其他实体场景。

这意味着，安全议程正从“模型能不能说某句话”，转向“模型能不能下订单、调用接口、操控设备，以及出事后谁能停下来”。行动权限、工具调用、机器人行为和事故响应，会比单纯的文本过滤更接近中美都能讨论的共同问题。但“控制”不是一个中性词。在不同制度和语境里，它既可以指防止智能体自主失控，也可能包含对公共信息和社会秩序的控制。两种含义会重叠，却不能混为一谈。

在比较中美 AI 安全研究为何由不同类型机构主导时，Nathan 把差异追溯到组织生态。美国早期 AI 安全社群一度很边缘，但相对宽松的非营利组织和慈善资助环境，让一些看起来“过于超前”的议题能持续存在。有人只要说服一位资助者，就能成立组织、做研究、传播自己的风险判断。中国的非营利组织活动范围更窄，缺少由独立倡议组织长期推动 AI 安全的同类生态。

所以，中国大量 AI 安全研究落在大学和实验室里，议题也更偏向可靠性、未成年人保护等可制度化、可评测、可发表的问题。一位已经发表大量 AI 安全论文的中国教授，被 Nathan 问及午餐桌上是否会互相报 P(doom) 时，回答得很干脆。P(doom) 是“人类会因 AI 灾难而灭亡的主观概率”："No, P Doom like no, we're not like trading P Doom numbers at lunch."（不，P Doom？不，我们不会在午餐时互相交换 P Doom 数字。）

这意味着，跨国合作若仍以西方倡议组织的语言、审美和末日风险框架为入口，很容易找错人。更有效的路径，是通过大学、实验室和可验证的研究问题建立信任。大学体系提供了稳定的人才和研究能力，但它也会偏向常规、可管理的课题。那些难量化、难发表、听上去过于遥远的极端尾部风险，天然更难成为主流议程。

在追问中国 AI 安全研究究竟有多少实质内容时，Nathan 给出了一组增长数据。Concordia 的 aisafetychina.com 统计显示，中国 AI 安全论文从 2023 年每月仅数篇，增长到 2026 年中每月约 50 到 60 篇。用他的话说，"It's more than 10xed over the last three years."（过去三年里，这已经增长了十倍以上。） 论文数量不是质量保证，但从“每月几篇”到“每月五六十篇”，至少说明它已不是零星兴趣。

更关键的是研究对象和引用关系。清华大学 AI 学院新设 AI Safety Hub，五位创始领导成员中有一位欧洲教授，并把伦敦的 Constellation 和 LASR 当作参照。Nathan 在活动中还听到中国研究者直接提及 Apollo Research、METR、Palisade、UK AISI 和 Redwood Research。研究议题也高度具体：自我复制、评测伪装、欺骗行为、视觉—语言—行动模型的鲁棒性，以及机械可解释性。机械可解释性，简单说就是拆开模型内部结构，找出某个行为到底由哪些计算部件触发。

这意味着，中美在“技术问题怎么定义”这件事上正快速收敛。即使制度互信不足，评测、欺骗、鲁棒性和可解释性这些可复现的问题，仍能成为最可操作的合作接口。边界是，论文数量只是很粗糙的指标。50 篇论文不等于 50 套可部署的防护，也不等于企业真的会按研究结论修改产品。

当 Nathan 试图寻找“儒家传统能否成为 AI 宪法”的中国式对齐方案时，他先从北京孔庙的一次使用体验出发。他用中国 AI 了解孔子，得知孔子所在地区的后人据称已延续 79 代，仍认同其后裔身份并举行纪念仪式。这个数字让他提出一个大胆问题：如果某种价值能穿越 79 代人，它是否也能成为递归自我改进 AI 的长期对齐目标？对齐，指的是让能力持续增强的 AI，仍稳定地遵循人类希望它遵循的目标和边界。

一位教授的回答却把这个设想拉回现实："It's an interesting idea, but we are probably the generation in all of Chinese history that is the weakest on this traditional philosophy."（这是个有意思的想法，但我们可能是中国历史上最不熟悉这种传统哲学的一代。） 对方解释，许多人是工程师，没有系统接受儒家传统训练。Nathan 主动问了多位人士，最终没有找到明确在做“儒家式 AI 宪法”或传统价值对齐的团队。

这意味着，中国当前的安全能力，可能更擅长规则执行、风险管理与可靠性，而尚未形成一套能穿越长期能力跃迁的价值叙事。它可以告诉模型哪些事不能做，却未必已经回答“能力远超今天后，它应成为什么样的行动者”。这不是“中国没有价值观”的结论，而是一个具体的研究空白：传统资源存在，技术治理也存在，但二者尚未被连接成可操作的长期对齐工程。

在讨论中国为何对开源权重模型相对不那么恐惧时，Nathan 听到的核心判断是：模型权重公开，不等于任何人都能随手运行。新模型可达数万亿参数，推理需要严肃硬件，不是下载到手机或笔记本就能用。中国监管者因此更习惯从“服务”而不是“模型本体”出发思考：若开放权重模型被认定危险，可以要求云厂商、推理服务商停止运行，再借助监管和基础设施追踪压制大规模非法推理。

这种信心背后有具体条件。中国已经禁止加密货币；国家电网公司在 WIC 和高校机器人项目中存在感很强；异常电力使用也可能成为识别大规模非法推理的线索。Nathan 用一句话概括这种想象："The Chinese internet does forget."（中国互联网是会遗忘的。） 也就是说，政府相信它能在本国让危险模型从服务、云端和大规模使用场景中消失。

这意味着，中国国内的模型治理能力，不能自动解决开源模型的跨境外部性。美国和多数其他国家未必能按同样方式收回模型，更无法保证下载、复制、微调后的权重不继续扩散。尤其是生物风险：即便危险能力最初从中国开放权重模型流出，它造成的后果仍可能回流中国。真正的分歧不再只是“能否在本国控制”，而是“谁为不可逆的全球扩散负责”。国内能关掉的水龙头，未必能收回已经流进全球管网的水。

“中国会为安全踩刹车”与“中国或许能在境内收回模型，却无法替全球收回风险”，指向的是同一件事：不能用“中美谁更重视安全”这种二元题，把不同层次的治理混成一团。中国确实展示过为了标准而延迟发布的能力，也确实拥有较强的服务和基础设施治理手段；但这些能力主要作用于本国境内，不能自动变成对全球扩散风险的答案。

同样，“安全焦点正在从模型说什么转向智能体会做什么”，与“中国不是在重复安全口号，而是在快速复制同一批技术问题”也连在一起。中美研究者正越来越多地讨论欺骗、鲁棒性、评测和智能体控制，因为它们面对的是同一种技术：模型开始调用工具、接触系统、进入现实世界。技术问题正在收敛，推动研究的组织却不同。美国更依赖非营利组织和少数头部公司，中国更依赖大学体系、政府标准与服务监管。

对读者而言，最容易犯的错，是把“有治理”误当成“已解决”，或把“防护较弱”误当成“完全不在乎”。真正需要盯住的是更具体的问题：模型的能力增长时，防护是否真的同步；开放权重跨境扩散后，谁有能力承担后果；以及当 AI 从回答问题变成替人行动时，现有的服务监管、研究评测和价值目标，是否还够用。