RSP 与政策

Module 06 · RSP

RSP 与治理：一份可以自己修订的约束，能约束到什么程度

本章的子主线只有一句：**Anthropic 以「单边承诺在竞争均衡下难以维持」论证外部监管的必要性，而 2026 年 RSP 的退却使它自己成为这套论证最直接的案例。**但同一年的另一半事实同样重要——外部国家权力也可能以不透明、报复性的方式行使，因此「需要外部约束」并不等于「任何政府行动都正当」。两条线在本章里同时推进，谁也不为谁背书。

自愿门限硬承诺取消分类学→度量学越狱与部署现实LTBT × S-1Department of War立场演变与反方我的看法


  
  
  
  
  形状表示信息来源，颜色表示可信度，文字为准。本章的一手来源以 `anthropic.com/responsible-scaling-policy` 的版本档案与 changelog、Anthropic 官方声明、以及加州北区联邦地区法院的判决书原件为主。



  
  
  
  
  
  
  **第二维 · 结论独立性**（方角 + 五格进度条）：这个结论被谁验证过。它与第一维**正交**——「一手 · 高」只说明「Anthropic 确实这样报告」，不说明「该判定已被独立确认」，因此本章凡涉及能力、阈值判定与评测数字的地方，两枚徽章成对出现。



  关于第二维的三条本章特定规则
  

**① 本章 audited（第三方审计）与 independently-replicated（已独立复现）的实际计数是零。**这不是标注偷懒，而是一个应当被读者看到的结果：本章引用的 RSP 判定、Risk Report、红队时长、越狱分级、阈值是否被越过——全部由被评价者自己产出，全部没有可独立发布结论的外部审计版本。第 3 节的对辩会正面处理这件事。**② 司法与政府文书只保留第一维。**加州北区法院的初步禁令原件、判决书原文、政府的指定函，都是第三方权威文书而非「实验结论」，四档「谁做的实验」在语义上不适用；本章的做法是不给它们套 company-produced，改在正文或 .src 里写明「法院文书，非公司自产」。③ 与 US／UK AISI 的合作评测、以及第三方拿公司提供的受限访问权限做的测试，一律记 collaborative，不记 audited，并在就近的出处写明权限范围。

  本章速记
  
    

• **用 ASL-1 到 ASL-4 去理解 2026 年的 RSP，会得到一个已经过时的心智模型。**自 v3.0（2026-02-24）起，ASL 编号退居附录，主叙事换成了 Risk Report（连续量化）与 Frontier Safety Roadmap（带目标日期的公开待办）。这是一次从分类学到度量学的转变。

• **2026 年没有任何模型触发 ASL-4。**Opus 4.6 / 4.7 / 4.8、Mythos Preview、Fable 5、Mythos 5、Sonnet 5、Opus 5——全部前沿模型都在 ASL-3 防护下部署；2026-02-10 官方明确判定 Opus 4.6 未越过 AI R&D-4 能力阈值。

• **硬性单边承诺在 2026 年 2 月被取消，这条链有三个可核对的节点。**2024 年 Nick Joseph 在播客上担心 RSP 顶不住商业压力；2025-05-22 Opus 4 真的触发了 ASL-3；2026-02 Jared Kaplan 对 TIME 说「如果竞争对手在狂奔，单边承诺没有意义」。

• **准确的判定不是「安全被抛弃」，而是从结果型单边承诺退到程序型透明与比较承诺。**约束的性质确实变弱了，可审计性却部分增强了——这两句必须同时说。

• **同一年里，阈值被持笔者自己改了三次（v3.1、v3.3、v3.4）。**其中 v3.1 对 AI R&D 阈值的「澄清」，把一个按另一种读法可能已经触发的阈值，重新定义成了尚未触发的阈值。

• 「尚未有红队发现通用越狱」不等于「不存在通用越狱」。2026-01-09 的第二代宪法分类器报告了 1,700 累计小时红队、198,000 次尝试无通用越狱；五个月后，一个窄口越狱引来美国政府的出口管制指令，Fable 5 与 Mythos 5 全球下线约 18 天。

• Anthropic 对国防部的两条「红线」，措辞比通常转述弱得多。它自称是「the most lean forward of all the AI companies」，接受 98% 或 99% 的国防用例，且不作原则性反对全自主武器——拒绝的理由是今天的可靠性还不够。

• **Department of War 案停在初步禁令阶段，不是胜诉。**法官认定 Anthropic「很可能胜诉」、记录「strongly suggests」政府理由是托辞；但覆盖整个联邦采购体系的 §4713 指定仍在生效，截至 2026-07-25 两案实体判决均未作出。

• 本章还主动纠正三条针对 Anthropic 的流行批评，因为写过头的批评同样要纠正。「取消硬承诺 = 安全被抛弃」是过度解读（第 2 节）；「靠安全叙事搞监管俘获」作为统一解释装不下四条反证，只有一个更窄的版本成立，而这两句必须一起写（第 7 节）；「出口管制已经完全失败」这个强版本不成立，但「管制有效」同样没有被证明（第 7 节）。

  怎么读这一章

本章有六个地方会给出同屏的双向解释（最强批判性 + 最强同情性 + 当前判定 + 什么新证据会改变判断）。这不是和稀泥：凡是证据明确的地方，本章直接裁决——比如「信托任命的董事已构成董事会多数」有官方逐字原文，就不给相反说法留位置。**双向只用于动机、因果、制度意义、未决诉讼和外推强度这五类问题。**另外一条术语纪律先摆在这里：ASL（AI 安全等级）与生物安全等级 BSL 的类比是一个目标类比，不是「两者已同等成熟」的陈述——BSL 背后有几十年的实验室事故史、国际标准与外部检查体系，ASL 没有。

1 · 自愿门限的原始承诺：RSP v1 / v2 与 ASL

这一节只回答一个问题：2023 到 2025 年，Anthropic 到底承诺了什么，以及那个承诺的结构长什么样。

2023 年 9 月 19 日，Anthropic 发布了第一版负责任扩展政策（RSP，Responsible Scaling Policy）。它的结构极其简单，简单到可以写成一行：**先定义哪些能力是危险的，再定义在到达那些能力之前必须先具备哪些防护，然后承诺——防护没到位就不训练、不部署。**这就是所谓 if-then 承诺。

Nick Joseph 在 2024 年 5 月的一次播客访谈里，给过一个比官方文本更好懂的三段式描述：定义风险等级 → 造评估去判断模型是否到了这一级 → 定义在这一级上训练或部署所必须采取的预防措施。他同时讲清了一个容易被忽略的技术细节——评估测的不是红线能力本身，而是黄线：「这些评估不能直接测那个能力，因为你希望它们在你训练出一个真正危险的模型之前就转为阳性。但我们可以把它们想成黄线：一旦你越过那里，你就应该重新评估。」

出处：Nick Joseph on whether Anthropic’s AI safety policy is up to the task ^[1]，80,000 Hours Podcast #197，2024-08 发布（录制于 2024-05-30）· 官方节目页与文字稿（访问日期 2026-07-25）

1.1　三条 theory of change：RSP 想干成的三件事

RSP 从来不只是一份内部安全规程。2026-02-24 的 v3.0 公告回顾了它当初想同时达成的三个目标，这段自述值得原样看，因为后面所有的争论都围绕它展开：① 内部强制函数（internal forcing function）——让安全措施成为发布或训练的硬性前置条件，而不是「有空再做」；② 向上竞争（race to the top）——「我们希望 RSP 随时间演化成自愿的行业标准，或者去影响 AI 立法」；③ 建立关于风险的共识——能力阈值本身就是一个行业时刻，到达阈值时可以「用我们获得的证据去向其它公司和政府倡导」，即从单边行动推向多边行动。⚠️ 这三条是公司对自己动机与目标的自述，不是对效果的测量；它们能证明「RSP 想干什么」，不能证明「RSP 干成了什么」。

这三条一起看，才能理解 RSP 的真实定位：**它是一份写给自己看的规程，但它的设计意图是被别人抄走。**这个意图在 2023–2024 年确实部分实现了——OpenAI 的 Preparedness Framework 与 Google DeepMind 的 Frontier Safety Framework 都在 RSP 发布后的数月内出现，共享同一个「能力等级绑定安全要求」的骨架。

1.2　v1 → v2.2：每版真正变了什么

      版本生效日期真正变了什么（不含风格性修订）| 版本 | 生效日期 | 真正变了什么（不含风格性修订） |

      
        v1.02023-09-19首版。提出 ASL 分级与 if-then 条件承诺，并借用生物安全等级（BSL）作为**目标类比**。| v1.0 | 2023-09-19 | 首版。提出 ASL 分级与 if-then 条件承诺，并借用生物安全等级（BSL）作为目标类比。 |

        v2.02024-10-15**ASL 的语义被改写**：从「这个模型是 ASL-3 的」改成「这个模型跨过了某条能力阈值，因此需要 ASL-3 那一组防护」。官方 changelog 原话是 ASL 现在指「groups of technical and operational safeguards」。同时引入 **Capability Report** 与 **Safeguards Report** 两份内部文件，以及 **Responsible Scaling Officer** 一职。| v2.0 | 2024-10-15 | ASL 的语义被改写：从「这个模型是 ASL-3 的」改成「这个模型跨过了某条能力阈值，因此需要 ASL-3 那一组防护」。官方 changelog 原话是 ASL 现在指「groups of technical and operational safeguards」。同时引入 Capability Report 与 Safeguards Report 两份内部文件，以及 Responsible Scaling Officer 一职。 |

        v2.12025-03-31新增 CBRN 开发能力阈值；把 AI R&D 阈值拆成两级。| v2.1 | 2025-03-31 | 新增 CBRN 开发能力阈值；把 AI R&D 阈值拆成两级。 |

        v2.22025-05-14唯一实质改动是收窄 ASL-3 安全标准的威胁模型：把「sophisticated insiders」与「state-compromised insiders」**双双**排除在防护范围之外（此前只显式排除了其中最高级的一档）。| v2.2 | 2025-05-14 | 唯一实质改动是收窄 ASL-3 安全标准的威胁模型：把「sophisticated insiders」与「state-compromised insiders」双双排除在防护范围之外（此前只显式排除了其中最高级的一档）。 |

      
      表 1 · RSP v1.0–v2.2 的逐版差异。版本号与生效日期取自官方版本索引页。**⚠️ 整张表的内容——改了什么、为什么改、哪些改动算「实质」——全部出自公司自己撰写的 changelog；本报告未检索到任何外部机构对这些版本差异做过独立比对与定性。** 出处：anthropic.com/responsible-scaling-policy [@src-5162f8e9ef]（访问日期 2026-07-25）。
    
  

  

v2.0 的语义改写值得多说一句，因为它决定了后面所有讨论的粒度。**把安全绑定在「模型」上是粗粒度的，把安全绑定在「具体能力 + 具体威胁模型」上是细粒度的。**细粒度的好处是可以只对真正危险的那一小块能力上重防护，而不是把整个模型锁进保险柜；代价是「这个模型属于哪一级」这个公众最容易理解的问题，从此没有了简单答案。

v2.0 公告里还有一段在企业自律框架中极其罕见的内容：Anthropic 主动列出了自己违反上一版 RSP 的四处地方——最近一次评估比三个月的间隔晚了三天完成；更新自主性评估的占位任务时，旧政策的一处歧义可能被解读为这也需要走政策更新流程；部分评估缺少 best-of-N 或思维链提示这类基本的能力引出技术；某一领域的评估没有明确设计用来建立旧政策提到的六倍缩放缓冲。官方结论是「In all cases, we found these instances posed minimal risk to the safety of our models」。⚠️ 最后这句「风险极小」是违规者对自己违规后果的评估，本报告未检索到任何外部复核；违规清单的完整性同理——它只能列出公司自己识别到的违规。

    关键洞察
    

这份「自我违规清单」是评价 RSP 时最容易被两边同时忽略的证据。批评者会说「连自己写的规矩都守不住」，支持者会说「你看它多诚实」——**但它真正证明的是第三件事：一份没有外部执行者的规程，其违规成本等于「主动公开」这一件事本身。**公开是唯一的惩罚，也是唯一的证据来源。这个结构在 2026 年被推到了极限，见第 3 节。

1.3　2025-05-22：ASL-3 第一次真的被触发

2025 年 5 月 22 日，Claude Opus 4 发布，成为第一个在 ASL-3 部署与安全标准下发布的 Anthropic 模型。在此之前所有模型都在 ASL-2 基线防护下部署。这是 RSP 从纸面变成「真的挡住了什么」的第一次。

    警示 · 这里最容易被写错
    

官方的措辞极其谨慎，它说的不是「Opus 4 确认越线了」：「To be clear, we have not yet determined whether Claude Opus 4 has definitively passed the Capabilities Threshold that requires ASL-3 protections. Rather, due to continued improvements in CBRN-related knowledge and capabilities, we have determined that clearly ruling out ASL-3 risks is not possible for Claude Opus 4 in the way it was for every previous model.」——三段式逻辑是：**① 我们没有确定它跨过了阈值；② 但我们也无法像对之前每一个模型那样清楚地排除它跨过了；③ 所以我们预防性地启用更高标准。**同一份公告还明确排除了更高级别：Opus 4 不需要 ASL-4 标准，Sonnet 4 不需要 ASL-3 标准。把这条写成「Anthropic 承认模型危险到了 ASL-3」是实质性误读。

出处：Activating ASL3 protections ^[2]，2026 年访问版本，2025-05-22 · 官方公告（访问日期 2026-07-25）。「无法清楚排除 ASL-3 风险」与「Opus 4 不需要 ASL-4、Sonnet 4 不需要 ASL-3」都是公司自己的能力判定。

ASL-3 由两块互不相干的东西组成，混为一谈会看不懂后面的争论。部署侧的范围窄得出奇——官方原文写明它「不针对与 CBRN 无关的问题，不防御非通用越狱，也不阻止提取那些广泛可得的单条信息」，比如沙林的化学式。它的三件事是：让系统更难被越狱（部署宪法分类器）、在越狱发生时检测到（漏洞赏金、离线分类、威胁情报）、迭代改进防御。安全侧则是防权重被偷，「超过 100 项不同的安全控制」，威胁模型明确定为「sophisticated non-state actors」。⚠️ 「100 项控制」是公司自报的计数，其有效性未经外部渗透测试公开验证。

安全侧最有意思的一项叫出口带宽限制（egress bandwidth controls）：模型权重体积巨大，只要把机房向外的网络速率压到足够低，就能「利用模型权重的体积创造一个安全优势」——你可以攻破整个系统，但你搬不走几百 GB 的权重而不被带宽监控发现。把「模型太大」这个通常算缺点的性质变成安全资产，是这份文档里最漂亮的一个设计。同类的还有第 16 项：安装并监控蜜罐，包括伪造的模型权重。

为什么这一节必须写：2025-05-22 是承诺侵蚀链的中间环节。它把 if-then 机制从纸面推进到了「至少触发过一次」。⚠️ 这句话的强度要卡准，因为它很容易被读成「机制被证明有效」：「ASL-3 防护确实被启用了」是外部可观测的事实（模型带着这套标准发布，谁都能看到）；但「这带来了多大成本」只有公司自述，没有任何外部核验；而**「触发过一次」与「机制在压力下可靠」之间还差得很远**——最直接的反证就是九个月后同一机制里最硬的那一块被拆掉了。正因如此，2026 年 2 月的转向才更值得追问：一个刚刚演示过自己能运转的机制，为什么会在九个月后失去它的硬约束。

2 · 竞争均衡与硬承诺的取消

本章第一个反叙事主锚点。三个节点、两种解释、一条裁决——以及这条链在全站只出现这一次。

    **图 1 ·** 三个节点由三个不同的人在三个不同场合说出，因此这是一条**可核对的预言兑现链**，不是事后建构的叙事。**本图与这三节点的完整叙述在全站只出现这一次**，其它页面只保留日期或一句结论。用中性色而非红色，是因为这里要呈现的是张力，不是错误。来源：节点一 80,000 Hours #197（2024-08 发布，录制 2024-05-30）；节点二 anthropic.com/news/activating-asl3-protections（2025-05-22）；节点三 TIME 独家《Anthropic Drops Flagship Safety Pledge》（2026-02）。本图为编者自绘（访问日期 2026-07-25）。
  

  

2026 年 2 月，Anthropic 大幅改写 RSP，取消了「若无法事先保证有恰当的风险缓解措施就不训练、不发布模型」这一核心承诺。对外解释这次转向的人是首席科学官 Jared Kaplan，他对 TIME 说：

We felt that it wouldn’t actually help anyone for us to stop training AI models. We didn’t really feel, with the rapid advance of AI, that it made sense for us to make unilateral commitments … if competitors are blazing ahead. — Jared Kaplan，Anthropic 首席科学官 TIME 独家《Anthropic Drops Flagship Safety Pledge》，2026-02 · time.com ^[3]（访问日期 2026-07-25）

这句话在 TIME、Engadget、WinBuzzer、CNN 四处独立复现，引语本身可信度高，但它是媒体采访中的直接引语，不是官方文本。 与它配套的是新版 RSP 正文里那段更完整、也更值得引用的自辩——这一段是一手政策文本：

    金句
    

「This approach represents a change from our previous RSP, driven by a collective action problem. … Our previous RSP committed to implementing mitigations that would reduce our models’ absolute risk levels to acceptable levels, without regard to whether other frontier AI developers would do the same. But from a societal perspective, what matters is the risk to the ecosystem as a whole. If one AI developer paused development to implement safety measures while others moved forward training and deploying AI systems without strong mitigations, that could result in a world that is less safe—the developers with the weakest protections would set the pace, and responsible developers would lose their ability to do safety research and advance the public benefit. Although this situation has not yet arisen, it looks likely enough that we want to prepare for it.」

出处：RSP v3.0 正文导论，2026-02-24 · 官方政策文本（访问日期 2026-07-25）。「集体行动困境已经足够可能」这个判断是公司自己对行业格局作出的，不是任何外部机构的评估结论。

请注意最后一句的时态：「Although this situation has not yet arisen」——公司自己说这个情形还没有发生，只是看起来足够可能，所以要提前准备。这是理解整件事分寸的关键：**这不是对已发生危机的应对，是对预期竞争格局的先行调整。**你可以把它读成审慎，也可以把它读成给未来的自己预留空间，两种读法都从这句话里得到支持。

      CN-01
      

硬性单边承诺的侵蚀

      证据 · 一手政策文本 + 独家直接引语
    
    
      ① 原主张是什么
      

RSP 是一份有约束力的单边硬承诺：防护措施到位之前，不训练、不部署跨过阈值的模型（hard tripwire）。这个承诺不以别人是否跟进为条件——v2.x 承诺的是把 Anthropic 模型的绝对风险水平降到可接受，明确写着「without regard to whether other frontier AI developers would do the same」。

      ② 压力测试发生了什么
      

2024 年，RSP 的主要设计者之一 Nick Joseph 在 80,000 Hours 播客上被直接追问：这套东西能不能顶住最终会对准它的激烈商业压力，是不是最终必须把运作交给外部审计者或监管机构。节目章节名就叫「Nick’s biggest reservations about the RSP approach」。2025 年 5 月，Claude Opus 4 真的以 ASL-3 部署——机制被触发了一次，承诺被兑现了一次。2026 年 2 月，硬性 tripwire 被取消，Jared Kaplan 对 TIME 给出的理由是竞争对手在狂奔时单边承诺没有意义。

        ③ 最强批判性解释
        

估值上升时承诺变软。取消发生在 Series G（2026-02-12，投后 $3,800 亿）同月，也发生在与国防部红线冲突的白热期。更结构性的一点是：阈值和承诺由被约束者自己持笔修订——一份可以被单方面改写的承诺，其约束力上限等于持笔者的自我克制。Engadget 的说法是：这些话「在真空里听起来足够合理」，但「你也可以把它们读作一家火热创业公司的伦理随估值上升而变灰的最新例证」。

        ④ 最强同情性解释
        

单边暂停在竞争均衡下可能把前沿交给保护最弱的开发者，结果是更不安全的世界；公开承认集体行动困境，比继续保留一个自己知道守不住的承诺更诚实。而且 v3 不是净减法：它同时引入了 Risk Report、Frontier Safety Roadmap、LTBT 的程序权（v3.2）与内部不合规举报回路（2026-03-24 公开），并要求 Risk Report 公开发布、接受独立外部审查。承诺变软的同时，可核对的东西变多了。

      ⑤ 现有证据能裁决到哪里
      

这不是「安全被抛弃」，而是从结果型单边承诺退到程序型透明与比较承诺：约束的性质确实变弱了，可审计性部分增强了。矛盾的正确分类是「集体行动困境 · 单边承诺不稳定」，不是「虚伪」——因为公司公开修订了文本、公开给出了理由、并公开保留了原承诺失效的记录。判断这是不是「伦理软化」，需要的是动机证据，而动机证据目前不存在；判断这是不是「约束减弱」，只需要读文本，而文本是清楚的。

      ⑥ 什么新证据会改变判断
      

三类：① 出现一个内部文件或可靠证词，显示取消 tripwire 的直接动因是某笔具体交易或某轮融资的要求——那会把分类从「集体行动困境」推向更强的指控；② 出现一次 Risk Report 或外部审查实际阻止了某个发布的公开记录——那会证明程序型承诺具有实质约束力；③ 出现一次 v3 的「比较承诺」被援引却未被执行的案例（即公司自认落后于竞争者的安全水平却照常发布）——那会证明程序型承诺连自身条件都不触发。截至 2026-07-25，这三类证据都没有出现。

在给出这一节的第一条裁决之前，先说明一件从这里开始贯穿全章的标注：每一条反方、每一张裁决卡上，都会挂一枚「所在层」标签。它标的不是「谁对谁错」，而是这场争论原则上能不能被证据解决——因为不标层，读者会以为所有争论都是同一种争论，然后拿一种层的证据去反驳另一种层的主张。

• 经验层**可以被数据推翻。**争的是事实：日期、文本、发生了什么。原则上只要材料齐了就能收敛。

• 测量层可以被证明「目前测不了」。争的不是结论，而是这个结论所依赖的量有没有可观测的定义。这一层的典型结局不是某一方获胜，而是双方共同承认缺口。

• 世界观层**原则上不能被现有证据判定。**争的是「什么算可接受的风险」「权力应该放在谁手里」这类前提。这一层能做的只有把双方的假设与推论链摆出来，让读者看见分岔点在哪。

这个三层结构不是本报告的发明，它有两条互相独立的外部支撑：Existential Risk Persuasion Tournament 用金钱激励让 80 位领域专家与 89 位超预测者互相说服四个月，中位估计仍相差约 8 倍，几乎无人改变主意；而 Narayanan 与 Kapoor 在自己的文章里直接自陈，他们**「陈述的是一种世界观，而不是论证一个命题」**。前者是「世界观层不会收敛」的实证版本，后者是它的自证版本。

    批评不成立 · CR-7五档归类：过时 / 误解经验层
    

「Anthropic 取消硬承诺 = 它抛弃了安全」——这是过度解读，本报告主动纠正

上面那条侵蚀链是真实的，但它在传播中被升级成了另一句话：「Anthropic 放弃安全了」。**这句话不成立，而且它不成立的理由不需要为 Anthropic 说好话，只需要读文本。**本报告把它单独标出来，是因为一份只收录「Anthropic 哪里站不住」的清单本身就是不平衡的——对它的批评同样会写过头，写过头的批评同样要纠正。

• **v3 不是净减法，它有实质的替代机制，而且是四项，不是一项。**Risk Report（量化所有已部署模型的风险并公开发布）、Frontier Safety Roadmap（带目标日期的公开待办）、外部专家可获取未删节报告（v3.2 起启动权与人选批准权在 LTBT 手上）、competitor-contingent commitments（比较式承诺）。这四项的逐条证据在 第 3 节。

• 准确的判定只有一句：从结果型退到程序型，约束确实变弱，但可审计性可能变强。这是一次真实的权衡，不是单向的退却。⛔ 因此不得写「安全被抛弃」；⛔ 也不得反过来写成「其实变严了」——「可能变强」这三个字里的「可能」不能删，因为它取决于一件尚未发生的事：外部评分机构第一次给 v3.x 打分（见下一小节末尾登记的那条可追踪预测）。

• **还有一条比上面两条都更有力的补充，它把整件事的性质讲清楚了。**2024 年 11 月——比取消硬承诺早了整整十五个月——Anthropic 自己就在 Lex Fridman 的访谈里公开说过：不能指望这些公司自愿遵守自愿计划，而且「我们自己」也在这句话的范围之内（完整原文与语境见下一小节 D-11 的「Anthropic 回应」一格）。于是 2026 年 2 月发生的事，准确描述是「它预言过的那种失败，最后发生在了它自己身上」——这与「它背叛了自己的理论」不是同一件事，恰恰相反，这是它的理论被自己验证了一次。

**但纠正一条过头的批评，不等于把这一页翻过去。**与这条裁决配套的限制必须同时在场，而且它是一句独立的话：程序型承诺的阈值与条款，仍然由被约束者自己持笔修订，而 2026 年这一年确实被修订了三次。换句话说，RSP v3.x 同时展示了一个自愿框架能做到的上限，和这个框架的结构性天花板——这两句缺任何一句都不诚实。这一组判断在本报告里是三条互相独立的路径共同得出的（本报告的事实基线、一份独立评审、一份反方证据档案），因此本章把它当作定论写，不加「有人认为」这类对冲。⛔ 这不是「双方都有道理」：批评的强版本（安全被抛弃）明确不成立，弱版本（约束变弱）明确成立，两者的裁决方向是清楚的、不同的。

2.1　Race to the Top 还能不能当治理底座

上面这条链只回答了「硬承诺为什么被取消」。它没有回答一个更前置的问题：**RSP 三条 theory of change 里的第二条——「向上竞争（race to the top）」——在 2023 到 2026 年究竟兑现了多少。**这个问题不能只用 Anthropic 自己的退却来回答，因为「发明者自己退了」在逻辑上只证明这一家没顶住，不证明机制本身失灵。**要证明机制失灵，需要一个不依赖 Anthropic 的外部论证。**下面这个对辩的反方就是这样一条论证。

    对辩 · D-11 · 竞争会不会奖励安全
    
      
        最强版本
        

**把标准公开写出来，会制造三种真实的压力，而这三种压力都不需要任何人有善意。**声誉压力：一家公司公开承诺了什么，就多了一处可以被指着质问的地方；人才压力：安全研究者会用脚投票，而前沿实验室之间的人才流动是双向可见的；客户压力：企业采购会问「你们的框架是什么」，一个没有框架的供应商在这个问题上是空的。

而且它的扩散部分确实兑现了，这一点批评者往往略过。2023-09 RSP v1.0 发布后数月内，OpenAI 的 Preparedness Framework 与 Google DeepMind 的 Frontier Safety Framework 都出现了，共享同一个「能力阈值绑定安全要求」的骨架；到 2025 年，已有 12 家公司发布或更新了前沿安全框架，而这些框架已被欧盟 AI Act 的 Code of Practice 与加州 TFAIA 当作治理工具引用。**system card 从一家的做法变成了行业规范。**这不是修辞胜利——它意味着监管者在立法时有了现成的可引用对象。

        最强反方
        

这条反方跨两层，而且两层的处境完全不同：经验层「跟进有多慢、各家框架是否可比」是可核对的事实争论，材料已经齐了；测量层「谁更安全」这个量有没有可观测的定义则是另一回事——它的结局不会是某一方获胜，而是双方共同承认目前测不了。下面第一条打的是经验层，第二、三条打的是测量层。

Steven Adler（Clear-Eyed AI，前 OpenAI 安全研究员）《Don’t rely on a race to the top》给出的是一条不依赖任何动机假设的机制批评：Race to the Top 解决不了 adoption problem。他的三步论证是：① 跟进太慢——Meta 在 Anthropic 发布 RSP 之后约 17 个月才发布自己的框架，即便算跟进，这中间的一年半里行业没有任何共同最低标准；② 跟进了也不可比——各家框架的阈值、后果、外审安排与暂停条件全都不同，「谁更安全」因此不是一个可比较的量；③ 声誉机制只在有共同度量时才起作用，没有共同度量，声誉压力就没有着力点。他的结论是：真正需要的是「抬高地板」的共同最低规则，而不是让先行者不断抬高自己的天花板。

还有一条更尖锐的制度证据：所有人都为背叛留了明文出口。Frontier Model Forum 的技术报告《Risk Taxonomy and Thresholds for Frontier AI Frameworks》逐条汇编了各家框架里的「边际风险条款」——Anthropic、OpenAI、Google DeepMind、Microsoft、Meta、Amazon 六家全部写入了竞争者逃逸条款，即「若另一方将在不实施同等防护的情况下越过能力阈值，我方可重新考虑保障要求」。**每一家都用同一个补丁限制它：我仍会比对方更严。**这正好是博弈论预测的那个均衡的文本形态。

        可验证证据
        

① 跟进延迟：Meta 框架晚于 RSP 约 17 个月（Adler 的口径；两份框架的发布日期均可公开核对）。② 没有共同度量：SaferAI 2025-12 的 65 项标准评估（arXiv:2512.01166）给 12 家首尔峰会后发布框架的公司打分，区间只有 8%–35%，而把行业中已存在的最佳实践全部采纳，理论上限也只有 52%；近乎普遍的三条缺口是未定义定量风险容忍度、未指定暂停开发的能力门限、未系统识别未知风险。⚠️ 口径限定：该评估截止 2025-10，评的是 RSP v2.2，不含 2026-02 的 v3.0——这一点论文自己写明了。

③ 独立评分的绝对水平：Future of Life Institute《AI Safety Index: Winter 2025》（2025-12 发布，证据截止 2025-11-08；8 家公司 × 6 领域 × 35 项指标 × 8 位独立专家）里，Anthropic 总分 C+（2.67）排第一，但没有任何一家超过 C+；而在与本章主题最相关的存在性安全域，Anthropic、OpenAI、Google DeepMind 全是 D，且已是连续第二版无人超过 D。⚠️ 这类分数是评分体系的产物而非自然事实：FLI 与 SaferAI 都抱有明确的安全立场，SaferAI 自己承认公司内部可能有未体现在公开文件里的实践、因而评分可能偏低；两家评的都是公开文件，没有深访问权限，因此本报告不把它们记作第三方审计。

④ 六家框架的竞争者逃逸条款——这是「理论预测被明文制度化」的直接文本证据，但它证明的是制度设计而非行为：截至 2026-07-25，本报告未检索到任何一家公司实际援引该条款下调保障的公开记录。⚠️ 汇编者 Frontier Model Forum 本身是由被汇编的这几家公司共同组建的行业机构。 ⑤ 发明者自己取消了硬 tripwire，理由正是竞争压力（本节三节点链）。⑥ 声誉机制有覆盖盲区：开放权重提供者的分发不经过 API，因此不受「客户流失」这条渠道约束；而**「企业采购会惩罚更弱的安全框架」这一环，本报告没有找到任何公开采购数据支持**——它目前是一个假设，不是观测。

测量层**⑦ 这一条单独列出，因为它是本对辩里唯一的 S 级证据，也是本章全部反方材料里定级最高的那一条。**Ren 等人的《Safetywashing: Do AI Safety Benchmarks Actually Measure Safety Progress?》（Center for AI Safety 等，NeurIPS 2024 Datasets & Benchmarks Track，arXiv:2407.21792，代码与评分矩阵公开、可在新模型上重跑）发现：约一半的安全基准与「通用能力」这个潜在因子高度相关——ETHICS 与能力分数的 Spearman 相关达 82.2%、TruthfulQA MC1 达 81.2%，而能力分数本身与训练算力的相关高达 94.3%。**这对 Race to the Top 的杀伤是釜底抽薪的：如果「更安全」在很大程度上只是「更强」的重新包装，那么「示范效应把行业拉向更安全」这个命题在可测量的意义上是空的——大家本来就在往更强走。**论文给出的替代标准叫 differential safety progress（差分安全进展）：在能力的默认轨迹之外让模型更安全。

⚠️ 这条 S 级证据必须连着它的三条限定一起读，否则会被用过头。① 论文没有点名任何公司，也没有测量过任何公司的宣传与其基准分数之间的关系——把它当成「对 Anthropic 的实证指控」是过度延伸；它砍向整个安全基准生态，只是因为 Anthropic 是把「我们在安全上做得更好」当立身之本的那一家，所以对它的伤害最大。② 论文明说 “we don’t claim that safety and capabilities are necessarily orthogonal”。③ 同一篇论文的两个负相关发现反过来支持 Anthropic 的核心主张：谄媚为 −66.8%、权力寻求（MACHIAVELLI）为 −49.9%——模型越强，这两项越差，也就是「能力提升不会自动带来安全」。这是一条双刃证据，两面都必须写。⛔ 另需注意：截至 2026-07-25，本报告未检索到 Anthropic 对这篇论文的具名回应，但这不得写成「拒绝回应」。

**⚠️ 关于这一格的读法，有一条计数纪律要先说：看最强等级，不要看条数。**上面七条里真正决定裁决走向的是 ⑦ 那一条，而不是「一共有七条」这件事。本章第 7 节处理的出口管制争论正好是反面例子：反方条数更多，最强等级却更低（见那一节的裁决卡）。十个评论者重复同一个论点，仍然只是一条证据。

        Anthropic 回应
        

Anthropic 已经基本接受了这条批评，而且比批评者更早说出口。2024-11-11 Lex Fridman 访谈里，Dario 的原话是：“I don’t think you can trust these companies to adhere to these voluntary plans on their own… if there’s nothing watching over them, if there’s nothing watching over us as an industry, there’s no guarantee that we’ll do the right thing and the stakes are very high.”——「包括我们自己」这半句是他主动加的。RSP v3.0（2026-02-24）把它写成了政策语言：这次修改「driven by a collective action problem」。2026 年 6 月《Policy on the AI Exponential》给出了替代方案：“It is time to go beyond transparency to more serious and binding regulation of AI.”——按 FAA 模式建立强制第三方测试，也就是 Adler 所说的抬高地板。

但有两处没有回应，必须照实写。截至 2026-07-25，本报告未检索到 Anthropic 或其研究人员对以下两项的具名公开回应：FLI 指数里存在性安全域的 D 级评分；SaferAI 两次下调其评分的具体理由（缺风险容忍度、缺中央风险团队、2025-05 在 Claude 4 发布前几天移除内部威胁承诺）。⛔ 这不等于「拒绝回应」——正确写法只能是「未检索到公开回应」。

        Reviewer 裁决
        

整格证据强度 B，但其中最强的一条（⑦ Safetywashing）到 S。反方的机制分析与真实制度事件高度一致（跟进延迟、无共同度量、六家逃逸条款、发明者自己回退），而这几条各自都能被独立核对；扣分项是：Adler 与 SaferAI 的论证仍属外部推理与评分体系，不是对采纳行为的因果测量，而这条线上最响的另一支——「监管俘获」式的动机判断，按本报告的分级多数只到 D 级（利益相关方立场，无可区分预测）。五档归类：这条反方属「实质削弱」——它削弱的是「Race to the Top 可以充当治理底座」这个强版本，⛔ 它不削弱「格式扩散真实发生过」这个弱版本。

**裁决：Race to the Top 可以作为补充激励，不能作为治理底座。**可以写成一句定论——Race to the Top 在格式层兑现了，在约束层没有；它扩散的是格式，不是牙齿。这句话之所以可以不加「有人认为」这类对冲，是因为它是两条互不知情的评审路径各自独立得出的同一个判断，而不是本报告单方的取舍。因此本章在任何地方都不把「别家也跟进了」当作安全水平的证据，只当作格式扩散的证据。⛔ 同时不得写成「Race to the Top 已被证伪」——扩散是真实发生的，而且它给了立法者可引用的对象。

什么新证据会改变判断：【向上修正】① 出现一家公司在没有竞争压力时主动收紧框架；② FLI 或 SaferAI 的下一版评分出现全行业系统性上升；③ 出现一个被广泛采纳、且与能力去相关的安全基准。【向下修正】④ 有公司实际援引竞争者逃逸条款下调保障并被公开记录；⑤ FLI 存在性安全域连续第三版无人超过 D。【最关键的一次检验】SaferAI 与 FLI 对 RSP v3.0 的首次评分——两家目前的公开评分都基于 v2.2 或更早，这次评分会直接裁决「程序型承诺是否真的比结果型承诺更可审计」这句 Anthropic 的核心自辩。截至 2026-07-25，它尚未发生。

    可追踪预测 · 检索缺口 C7
    

**上面这条裁决留了一个明确的、有日期的检验口，本报告把它登记成一条可追踪的预测，而不是一句「有待观察」。**缺口是这样的：SaferAI 与 FLI 目前的公开评分全部基于 RSP v2.2 或更早——SaferAI 那份 65 项标准的评估自己写明证据截止 2025-10，FLI《AI Safety Index: Winter 2025》的证据截止 2025-11-08，两家都还没有评过 2026-02-24 的 v3.0。

**预测本身（可被后来的读者直接判对错）：当 SaferAI 或 FLI 首次给 RSP v3.x 打分时，Anthropic 在「风险治理成熟度 / 透明度」这类程序性维度上的得分会上升，而在「存在性安全」这个结果性域上不会突破 D。**理由是这两类维度衡量的恰好是本章反复分开的两样东西——程序型承诺增加的是可审计性，减少的是硬约束。如果两项同时上升，本章「从结果型退到程序型」这个框架就该被修正；如果两项同时下降，那么「可审计性可能变强」这半句自辩就失去了外部支持。

**为什么这条值得单独钉出来：它是 Anthropic 那句核心自辩——「程序型承诺比结果型承诺更可审计」——未来最关键、也是第一次的外部检验。**在它发生之前，这句自辩只有公司自己的证词支持。截至 2026-07-25，它尚未发布。

    失效边界 · 同类结构的第二个例证
    

「集体行动失败 → 个体原则让步」这个结构在 Anthropic 身上还出现过一次，可以并列参照但不要展开成第二条主线：2024 年 3 月它确曾以国家安全为由拒绝沙特直接投资，但 2025-07-20 Dario 的全员备忘录已明确转向，承认中东有「easily $100B or more」的资本，「没有它，留在前沿会实质性地更难」。关键在于：Anthropic 曾在集体层面极力推动禁止在中东建大型数据中心，失败之后作为单个公司只能接受既成事实，而 Dario 在备忘录里主动坦白了这一点。⛔ 这不是「说一套做一套」——备忘录是主动坦白的，不是被揭发的。

2.2　为什么这件事不需要假设任何人不诚实：竞争均衡下的单边承诺

本章到这里为止的写法，一直在小心避免一个诱惑：**把「硬承诺被取消」解释成某个人或某家公司变坏了。**这个诱惑之所以要避免，不只是出于公允——更根本的原因是，它是一个更差的解释。有一套形式化文献可以在完全不假设任何人不诚实的前提下，预测出同一个结果；而这套文献里最贴近的一篇，第一作者今天就在 Anthropic 工作。

      形式化模型它预测什么2026 年可对照的事实| 形式化模型 | 它预测什么 | 2026 年可对照的事实 |

      
        Armstrong、Bostrom & Shulman，*Racing to the precipice*，*AI & Society* 31(2): 201–206，2016**棘轮效应**：各队为抢先完成而略微削减安全预防，直到抵达一个「possibly one of very high danger」的 Nash 均衡。反直觉的第四条：**各队对彼此能力的信息越多，危险越大**，因为可以更精确地把安全投入压到刚好够赢。取消 tripwire 的自辩逻辑与之同构：「保护最弱的开发者会定节奏」。而六家框架里的竞争者逃逸条款，是这个均衡的**明文**版本。| Armstrong、Bostrom & Shulman，Racing to the precipice，AI & Society 31(2): 201–206，2016 | 棘轮效应：各队为抢先完成而略微削减安全预防，直到抵达一个「possibly one of very high danger」的 Nash 均衡。反直觉的第四条：各队对彼此能力的信息越多，危险越大，因为可以更精确地把安全投入压到刚好够赢。 | 取消 tripwire 的自辩逻辑与之同构：「保护最弱的开发者会定节奏」。而六家框架里的竞争者逃逸条款，是这个均衡的明文版本。 |

        Askell、Brundage & Hadfield，*The Role of Cooperation in Responsible AI Development*，arXiv:1907.04534，2019-07-10竞争压力会激励 AI 公司在安全上**投入不足**，除非五个条件同时满足：High Trust、Shared Upside、**Low Exposure**（单方合作而对方不合作时损失小）、Low Advantage、Shared Downside。并明确预测：**领跑者彼此接近（close frontrunners）会恶化集体行动问题。**Kaplan 的理由几乎是 Low Exposure 一条的逐字兑现；v3.0 正文写的是「负责任的开发者将失去做安全研究的能力」。**而该文第一作者 Amanda Askell 现为 Anthropic 研究员、Claude 宪法主要作者。**| Askell、Brundage & Hadfield，The Role of Cooperation in Responsible AI Development，arXiv:1907.04534，2019-07-10 | 竞争压力会激励 AI 公司在安全上投入不足，除非五个条件同时满足：High Trust、Shared Upside、Low Exposure（单方合作而对方不合作时损失小）、Low Advantage、Shared Downside。并明确预测：领跑者彼此接近（close frontrunners）会恶化集体行动问题。 | Kaplan 的理由几乎是 Low Exposure 一条的逐字兑现；v3.0 正文写的是「负责任的开发者将失去做安全研究的能力」。而该文第一作者 Amanda Askell 现为 Anthropic 研究员、Claude 宪法主要作者。 |

        Naudé & Dimitri，*The race for an artificial general intelligence*，*AI & Society* 35: 367–379，2020在**赢者通吃的全付竞赛**里，只有最有竞争力的队会参赛；解决方向不在竞赛内部，而在**降低赢家收益**（中间奖、创新公共采购、征税等）。隐含判断是：只要保留赢者通吃结构，靠示范抬高标准就不够。这与 Anthropic 2026 年从示范转向法定强制的方向一致。| Naudé & Dimitri，The race for an artificial general intelligence，AI & Society 35: 367–379，2020 | 在赢者通吃的全付竞赛里，只有最有竞争力的队会参赛；解决方向不在竞赛内部，而在降低赢家收益（中间奖、创新公共采购、征税等）。 | 隐含判断是：只要保留赢者通吃结构，靠示范抬高标准就不够。这与 Anthropic 2026 年从示范转向法定强制的方向一致。 |

      
      表 · 三个形式化模型与 2026 年的对照。三篇均为可公开检索的正式文献；本报告引用的是研究档案中摘出的逐字段落，**未逐篇核对原文 PDF**，故标二手。出处：Armstrong/Bostrom/Shulman 2016；Askell/Brundage/Hadfield 2019（arXiv:1907.04534）；Naudé/Dimitri 2020（访问日期 2026-07-25）。
    
  

  

把三条合起来，得到的是一个不含任何道德变量的推理：**单边承诺在多方竞争中是劣势策略。**承诺方独自承担成本（延迟、放弃收入、放弃能力），而收益是弥散的（整个生态更安全一点），不承诺方则同时获得承诺方让出的市场与那份弥散收益。因此单边承诺不是一个稳定均衡——只要有一方不跟进，跟进者就在为不跟进者补贴。稳定的均衡只有两个：要么是一条对所有人同时生效的共同最低规则（external floor），要么是全体都不承诺。而在没有 floor 的世界里，「全体都不承诺」是那个会被自然趋近的均衡，第一个退出的人只是较早地承认了这一点。

**这就是本节最重要的一句话：hard tripwire 的取消可以被完整地解释掉，而不需要假设任何人不诚实。**把它读成「估值上升导致伦理软化」，需要的是动机证据；把它读成「一个可预测的均衡收敛」，只需要三个公开事实——竞争者确实在推进、承诺方确实独自承担成本、外部 floor 确实不存在。在两个解释都能覆盖全部观测的情况下，本报告采用后者，因为它可证伪：如果哪一天出现了一条真正生效的共同最低规则，而 Anthropic 在那之后仍然继续放宽自己的承诺，这个解释就失败了，而「伦理软化」那一版会随之变强。

    失效边界 · 这三个模型能承担什么，不能承担什么
    

⛔ 不得写成「博弈论证明了 Race to the Top 必然失败」。三个模型都带强假设，而且其中一篇的作者自己给了限定：① Armstrong 等人的「信息增加危险」结论依赖「各队按 Nash 均衡精确最优化」，而模型里没有公共问责、声誉与监管这三个现实变量；② Askell 等人明确写明，全文应被理解为「an analysis of more pessimistic scenarios that involve at least a moderate first mover advantage」，并说如果先发优势弱或不存在，公司就不太可能陷入安全上的逐底竞争；③ Naudé & Dimitri 的赢者通吃假设，在 2026 年多家公司同时有可观收入的市场结构下未必成立。✅ 准确写法是：这些模型给出的是「条件性」预测，而 2026 年的事实表明这些条件在当下大体满足。

最后是一个不该被略过的行业影响。**RSP 的发明者回退，可能重新定义整个行业对「负责任扩展」的理解。**WinBuzzer 的表述是：在 Anthropic 宣布最初的 RSP 后几个月内，OpenAI 与 Google DeepMind 都采纳了大体类似的框架；这项政策的发明者的回退，可能重塑整个行业对这个词的定义。 这条推论的证据强度是中等的——它是评论者的推理，不是观测到的行业行为。要证实它，需要看到其它实验室在 2026 年下半年之后也放宽自己的硬承诺；截至本报告基准日，本报告没有核实到这样的证据。

3 · 从分类学到度量学：RSP v3.0 → v3.4

本章最重要的框架更新。如果你对 2026 年 RSP 的心智模型还停留在「ASL-1 到 ASL-4」，这一节要做的就是把它换掉。

    警示 · 先纠正一个已经过时的心智模型
    

2026 年没有触发 ASL-4。全部前沿模型——Opus 4.6、Opus 4.7、Opus 4.8、Mythos Preview、Fable 5、Mythos 5、Sonnet 5、Opus 5——均在 ASL-3 防护下部署。2026 年 2 月 10 日，官方明确判定 Claude Opus 4.6 未越过 AI R&D-4 能力阈值。与此同时，自 v3.0 起 ASL 编号被主动淡化、退居 RSP 文档的附录：主叙事换成了 Risk Report 与 Frontier Safety Roadmap。ASL 分级仍然存在、仍是防护标准的名称，但风险治理的问题已经从「模型处在哪一级」变成了「这份 Risk Report 说了什么、路线图上哪些目标完成了」。⚠️ 这段里最重的一句必须连着它的来源一起读：「未越过 AI R&D-4 阈值」是公司自己的判定——阈值由公司定义、评测由公司执行、结论由公司发布，没有外部机构给出过独立定级。

    **图 2 ·** 本页主图。左半是门限式（分类学）：越过阈值就触发对应等级的防护，承诺的对象是**结果**。右半是度量式：风险被连续量化并公开，路线图给出带日期的待办，外审把关权交给信托，承诺的对象是**程序**。**不要再用「ASL-1→4 是 2026 年当前主框架」这张旧图。**来源：anthropic.com/responsible-scaling-policy 版本档案与 changelog；anthropic.com/news/responsible-scaling-policy-v3（2026-02-24）。本图为编者自绘（访问日期 2026-07-25）。
  

  

3.1　v3.0（2026-02-24）：彻底重写，以及一个格式细节

官方 changelog 用的词是 comprehensive rewrite：「This new version of the RSP involves the publication of Frontier Safety Roadmaps with detailed safety goals, and Risk Reports that quantify risk across all our deployed models.」 v2.x 的核心机制是门限；v3.0 在门限之上叠加了两个连续性机制——Roadmap 把「我们会保持安全」变成一份可核对的待办清单，Risk Report 把「是否越过阈值」的二元判断换成风险的连续量化。

Roadmap 确实在运转，而不只是一个名词。官方归档页上可以看到具体条目的生命周期：例如「数据保留原则」这条目标 2026-02-19 设定，2026-04-02 更新时把目标日期定为 2026-05-11，并记录「On March 29, 2026, we completed a comprehensive internal report」；「启动 moonshot 研发项目」这条要求在 2026-04-01 前选定并启动 1 到 3 个项目，候选清单里包括一个把所有与模型的交互（含内部研究与训练）都改走 API、不再直接接触原始权重的系统试点。⚠️ Roadmap 的完成度全部由公司自评，官方原文自陈这些「are not hard commitments but rather public goals against which we will openly grade our progress」。 最后这一条的含义值得单独点出：它把公司自己的研究员也纳入了威胁模型。

还有一个纯格式的细节，但它本身就是证据规范的一部分：v3.0 是唯一没有 redline（修订对照版）的 3.x 版本——因为它是彻底重写，无从对照；v3.1 到 v3.4 每一版都附 redline。「每次改动都公开 diff」这件事，是 RSP 作为监管原型最有价值的部分之一：它让「政策被悄悄改软」这类指控变成一个可以用文件比对来证实或证伪的经验问题，而不是一个立场问题。

3.2　五个版本，每版真正变了什么

下面五条每一条都挂着「公司自产」，这不是重复劳动，而是这一小节最该被看见的性质。changelog 的存在是罕见的透明度，changelog 的内容却仍然是被约束者对自己改动的自我描述：「哪些算实质改动」「哪些只是澄清」「为什么改」——三个问题的答案全部由持笔者给出，而 v3.1 那一条正好演示了这类答案能有多大分量（见 3.3）。本报告未检索到任何外部机构对这五版做过独立的逐条比对与定性。

    v3.0 · 2026-02-24
    **彻底重写。**引入 Frontier Safety Roadmap 与 Risk Report；把「作为一家公司的计划」与「对全行业的建议」**分栏写**，并明说后者「we cannot commit to following them unilaterally」；引入 **competitor-contingent commitments**（竞争者条件承诺）。**唯一没有 redline 的 3.x 版本。**
    v3.1 · 2026-04-02
    **澄清 AI R&D 能力阈值的歧义**，并澄清「即使 RSP 未要求，公司仍可自行暂停开发」。官方自陈这两处改动 "neither of which significantly change the substance of the policy"。**但第一条的后果被严重低估了，见 3.3。****⚠️「不显著改变政策实质」这句定性本身就是公司自己下的。**
    v3.2 · 2026-04-29
    **纯治理性的一版，也是最重要的一版。**官方 changelog 逐字：*"Version 3.2 of our RSP authorizes the LTBT to request external review of Risk Reports, gives the LTBT the power to approve our selection of external reviewers, and formalizes a requirement that we provide the LTBT with regular briefings."*
    v3.3 · 2026-05-26
    **修订新颖化学 / 生物武器（CB）生产阈值**，以「更好地追踪所关切的威胁模型」；**细化针对单个模型风险的 off-cycle 更新**——这是对 2026 年高发布密度的流程适配：当发布频率高于评估周期时，框架必须支持临时插入的风险更新。**⚠️「更好地追踪威胁模型」是公司给出的修订理由，无外部评估。**
    v3.4 · 2026-07-08
    **第二次**修订自动化 R&D 阈值（半年内同一阈值被改两次）；▼ 收缩未删节 Risk Report 的内部分享范围由「全体常规权限员工」改为「**至少 200 名员工**」；▲ 提升要求公开版 Risk Report **标示删节位置**；▲▼ 双向允许多名外部审查者**分审不同的未删节章节**（只要每一部分都至少被一人评估过——代价是**没有任何一个外部审查者看到全貌**）；另允许 Risk Report 按 coverage date 而非发布日分析风险，理由是「避免对特别近期的变化做仓促分析」。
  

  

3.3　v3.1 那次「只是澄清」：本节最关键的一条

v3.0 里描述 AI R&D 阈值时用的措辞是「把 2018 到 2024 年的两年 AI 进展压缩进一年」。这句话有两种读法：

      读法阈值的实际含义按这个读法，2026 年触发了吗| 读法 | 阈值的实际含义 | 按这个读法，2026 年触发了吗 |

      
        读法 AAI 使**整体 AI 能力**的进展速率翻倍门槛高得多。官方判定**未触发**。| 读法 A | AI 使整体 AI 能力的进展速率翻倍 | 门槛高得多。官方判定未触发。 |

        读法 BAI 使**研究员的生产力**翻倍Anthropic 自己在《When AI builds itself》里报告 2026 年第二季度人均日合并代码量是 2024 年的 **8 倍**——按这个读法**早就越线了**。| 读法 B | AI 使研究员的生产力翻倍 | Anthropic 自己在《When AI builds itself》里报告 2026 年第二季度人均日合并代码量是 2024 年的 8 倍——按这个读法早就越线了。 |

      
      表 2 · v3.1 澄清前后 AI R&D 阈值的两种读法。v3.1 明确「我们指的是前者」。8 倍这个数字官方自陈「almost certainly an overstatement of the true productivity gain」，同期 130 人内部调查的中位数自评约 4 倍——但即使按 4 倍，读法 B 也已被越过。**两个数字（8 倍与自评 4 倍）都是公司内部测量与内部调查，无外部核验。** 出处：anthropic.com/responsible-scaling-policy v3.1 redline；anthropic.com/institute/recursive-self-improvement（访问日期 2026-07-25）。
    
  

  
    关键洞察
    

**一次被官方描述为「不显著改变政策实质」的澄清，把一个按另一种读法可能已经触发的阈值，重新定义成了一个尚未触发的阈值。**这不是指控 Anthropic 蓄意规避——两种读法在 v3.0 的原文里确实都成立，选择读法 A 在技术上也完全讲得通（研究员生产力翻倍与领域能力速率翻倍是两回事）。**它证明的是一个更结构性的事实：当阈值的定义权与被阈值约束的对象是同一个主体时，「澄清」与「放宽」在文本层面无法区分。**能区分它们的只有第三方——而这正是 v3.2 把外审把关权交给 LTBT 想解决的问题，也正是 Dario 在 2026 年 6 月要求政府接手的那个问题。

    **图 3 ·** 方向用**符号 + 文字标签 + 颜色**三重编码，灰度打印同样可读。注意泳道 A 与泳道 B 的性质完全不同：**A 是阈值本身在动，B 是围绕阈值的程序在动。**批评 RSP 时若只看 A，会漏掉 v3.2；辩护 RSP 时若只看 B，会漏掉「阈值一年被改了三次」。来源：anthropic.com/responsible-scaling-policy 各版 changelog 与 redline（访问日期 2026-07-25）。本图为编者自绘。
  

  

3.4　v3.2：把 LTBT 从人事权扩展到程序权

三项授权分别堵的是三个不同的漏洞，这个对应关系值得写清楚，因为它是评估「独立审查」是否有意义的标准框架：① LTBT 可以「要求」对 Risk Report 做外部审查，堵的是「公司自己决定这份报告不需要外审」；② LTBT 有权批准外部审查者的人选，堵的是「公司挑选友善的审查者」——这是独立审查最常见的失效模式；③ 公司必须定期向 LTBT 简报，堵的是信息不对称，也就是 LTBT 最大的结构性弱点。

**但这三项权力写在一份公司可以自行修订的自愿政策里。**v3.1 刚刚演示了「一次澄清就能实质改变一个阈值」，那么同一支笔原则上也可以在某个未来版本里把 v3.2 收回去。**LTBT 在 RSP 上的权力，其效力上限等于 RSP 自身的效力上限。**这句话不是修辞，它是这一整章的结构性论点，第 5 节会从治理侧再讲一次。

3.5　两条不在版本号里、但同属 RSP 体系的 2026 事件

官方 RSP 页面上还有两条日期条目，它们比某些小版本更重要。第一条是 2026 年 2 月 10 日的 Claude Opus 4.6 Sabotage Risk Report。这段话建议逐字读，它可能是 2026 年全年关于 AI 治理最诚实的一份材料：

    金句
    

「Our RSP requires that once models cross the AI R&D-4 capability threshold, we develop an affirmative case identifying the most immediate and relevant misalignment risks… Our determination is that Claude Opus 4.6 does not cross this threshold. However, as we noted in the Claude Opus 4.5 System Card and the Claude Opus 4.6 System Card, confidently ruling out this threshold is becoming increasingly difficult, and doing so requires assessments that are more subjective than we would like. Rather than rely solely on those assessments, we committed during the launch of Claude Opus 4.5 to writing sabotage risk reports for all future frontier models clearly exceeding Opus 4.5’s capabilities.」

出处：anthropic.com/responsible-scaling-policy ^[4] 更新条目，2026-02-10 · 官方政策页（访问日期 2026-07-25）。「Our determination is that Claude Opus 4.6 does not cross this threshold」——这是公司对自己模型作出的判定，不是外部裁定。

这段话同时包含三样东西：一个否定判定（Opus 4.6 未越过阈值）、一个对判定可靠性的自我怀疑（越来越难有把握地排除，而且判断比希望的更主观）、以及一个补偿性承诺（对所有明显超过 Opus 4.5 的前沿模型都写 sabotage risk report）。它与 2025-05-22 ASL-3 激活时的措辞形成了完整的呼应：当时是「无法像对以前每个模型那样清楚地排除 CBRN 风险」，2026 年是「无法自信地排除 AI R&D-4 风险」。同一个模式在更高的能力层级上重演；不同的是，这一次的应对不是预防性升级防护，而是预防性增加透明度。

第二条是 2026 年 3 月 24 日公开的《RSP 不合规举报与反报复政策》（内部于 2026 年 2 月发布）。官方描述它「扩展了举报渠道，新增了一条让员工就潜在 RSP 违规进行非正式询问的通道，并与 RSP v3.0 对齐」。 「非正式询问」这个设计细节值得留意——它承认了一个现实：大多数潜在违规在被举报之前，首先需要一个能安全地问「这算不算违规」的地方。把 v3.2、这份举报政策、以及 v3.4 要求标示删节位置的 Risk Report 放在一起，2026 年 Anthropic 对 RSP 的补强重心已经从技术阈值明显转向了治理与问责回路：一个内部举报通道、一个能把关外审人选的信托、一份标出了涂黑位置的公开报告，构成三条互相独立的问责路径。

      CN-02
      

ASL 编号自 v3.0 起被淡化：框架换了，心智模型没跟上

      证据 · 一手政策文本与 changelog
    
    
      ① 原主张是什么
      

RSP 的公共形象一直是「一部 AI 版的生物安全等级表」：模型能力升级 → 等级升级 → 防护升级，路径可预期、可问责。ASL-4 与 ASL-5 虽然长期「largely undefined」，但它们的存在本身构成了一条承诺过的升级路径。

      ② 压力测试发生了什么
      

v3.0 公告给出了取消这条路径的理由，而且理由是三重的：「(a) 模糊地带削弱了向公众论证风险的能力，(b) 反监管的政治气候，(c) 更高 RSP 等级上的要求极难单边达成」，并明说「我们本可以把 ASL-4 和 ASL-5 的防护定义得容易达标，但那会破坏 RSP 的本意」。于是 ASL 编号退居附录，主叙事换成 Risk Report 与 Roadmap。2026 年全年没有任何模型触发 ASL-4；同一年，阈值本身被修订了三次。

        ③ 最强批判性解释
        

公众失去了一个可预期、可问责的升级路径。二元阈值虽然粗糙，却有一个连续量表没有的性质：它能被外行核对。「这个模型是不是 ASL-4」是个所有人都能追问的问题；「这份 Risk Report 的风险评估是否恰当」不是。**把承诺从结果换成过程，等于把问责的门槛从公众抬高到了专家。**而 Frontier Safety Roadmap 官方自陈「These are not hard commitments but rather public goals against which we will openly grade our progress」——自评。

        ④ 最强同情性解释
        

没有人知道 ASL-4 应该长什么样，这是真话。给一个自己也不理解的等级写详细防护，要么写得过严而无法执行，要么写得过松而形同虚设——v3.0 明确拒绝了后者。而 Risk Report 是实质性的透明度增加：v2.x 只有内部的 Capability Report 与 Safeguards Report，v3.x 要求公开发布、标示删节位置、接受独立外部审查，v3.2 还把审查者的批准权交给了信托。连续量化在技术上也更贴近真实——风险本来就不是台阶状的。

      ⑤ 现有证据能裁决到哪里
      

两句必须同时说，缺一句都不诚实：RSP v3.x 展示了一个自愿框架能做到的上限——公开 diff、公开 changelog、公开承认判定困难、把外审把关权交给信托；它也展示了这个框架的结构性天花板——阈值可由持笔者修订，而 2026 年确实被修订了三次（v3.1、v3.3、v3.4）。这属于「制度张力」而非「事实错误」或「虚伪」：两套目标（可执行 vs 可问责）都合法，而它们在自愿框架内无法同时最大化。

      ⑥ 什么新证据会改变判断
      

① 一份由外部审查者署名、且结论与公司自评不一致的 Risk Report 公开版——那会把「外审」从制度设计变成经验事实；② Frontier Safety Roadmap 上出现一条公开打了不及格的目标——自评机制只有在自评为负时才证明它不是公关；③ 一次真正定义了 ASL-4 的版本更新，或者相反，一次把 ASL 编号完全删除的版本更新——两者都会改变「淡化」这个描述的准确性。

3.6　来源一手，结论是否独立：本页最需要读者带走的一组区分

前面五小节引用的全部关键判定——「Opus 4.6 未越过 AI R&D-4 阈值」、「这次改动不显著改变政策实质」、「Roadmap 上哪些目标完成了」、「红队跑了多少小时」——**有一个共同点：作出判定的人、执行评测的人、决定披露多少的人，是同一个主体。**这不是本报告发现的问题，它是一整支政策文献的主题，也是本报告为什么要在证据徽章上加第二个维度的直接原因。这一小节是这条线索在全站的主锚点。

    对辩 · D-15 · 能力公司自己做安全研究
    
      
        最强版本
        

最强的版本不是「我们很诚实」，而是「只有我们进得去」。前沿安全研究需要的东西——未发布模型的权重、完整训练数据、内部激活、真实生产流量、失败案例的原始日志——在结构上只存在于能力公司内部。Anthropic 在这个位置上做的事是可核对的：公开 system card 与 Risk Report、公开 model organisms、公开负面结果（红队没找到什么）、公开自己违反上一版 RSP 的四处地方、每次改动公开 diff。没有这些材料，外部研究者连该问什么问题都不知道。

而且这一点有外部独立论证支持，不是自辩。Narayanan 与 Kapoor 从反对不扩散政策的角度写道：“when the expertise needed to develop state-of-the-art models is restricted to a few companies, only their researchers have the deep access that is needed for safety research.”——**这句话的立场与 Anthropic 相反，结论却支持「能力公司是安全研究不可替代的场所」这个事实判断。**一条来自反对者的支持性论证，比一百条自述更有分量。

        最强反方
        

这条反方的两半必须分开标层，否则读者会以为整场争论都能被同一种证据解决。经验层「这些结论的独立性有多少」是事实问题，材料已经齐了，答案在下一格里是可以数出来的；世界观层「一家有商业利益的能力公司该不该同时是自己的安全评估者」则是制度价值判断——它不会因为再多一份数据而收敛，因为分歧在于把「唯一进得去的人」与「不该自己给自己签字的人」这两个前提中的哪一个放在前面。

**Miles Brundage、Noemi Dreksler、Sean McGregor、Steven Adler、Yoshua Bengio 等《Frontier AI Auditing》（2026，arXiv:2601.11699）指出的是结构性利益冲突，不是道德指控。**前沿实验室同时在优化四件事：capabilities、speed、market position，以及 safety sign-off。当同一个组织同时持有这四个目标时，评测范围、发布阈值、结果解释与披露内容都可能受部署压力影响——不需要任何人撒谎，只需要在一连串可左可右的判断上，系统性地偏向一侧。该文最关键的一句是：公开透明无法替代具备深访问权限的第三方审计，因为大量安全信息不能公开、且需要专业解释才能读懂。

同一命题有两条互相独立的到达路径，这个收敛本身值得注意。法学路径：郑戈《人工智能的宪法与宪法的人工智能》（《政法论丛》2026 年第 4 期）认为这类机制「在形式上承担了伦理评估功能，实质上却不具备评估活动所需的主体分离——评估标准由被评估者设定，评估过程不对外开放，评估结论不产生独立约束」，因此「中立性并非偶然丧失，而是在制度设计中被排除」。工程路径：「已知未知」问题——公司永远不会公开它没有识别出的问题，所以自我披露给出的是已知未知，而未知未知无从估计。两条路径都不依赖「公司不诚实」这个前提，因此都无法用「我们是真诚的」来回应。

        可验证证据
        

① 关键材料不公开。模型权重、训练数据、完整评测日志与未删节的 Risk Report 都不在公共领域；v3.4 起公开版只被要求标示删节位置，而不是减少删节。 ② 评测的四个自由度全在公司手里：用哪个 benchmark、用什么 harness、投入多少 elicitation effort、阈值定在哪里。第 4 节的 CC++ 数字就是一个现成例子——1,700 小时这个投入量是公司自己选的，「够不够」没有外部标准。

③ 阈值可由持笔者修订，而 2026 年确实被修订了三次（v3.1、v3.3、v3.4，本节 3.2 与图 3 有完整证据链），其中 v3.1 那次被官方描述为「不显著改变政策实质」的澄清，把一个按另一种读法可能已经触发的阈值重新定义成了尚未触发的阈值。 ④ 「独立评审」目前看不到全貌。v3.4 明确允许多名外部审查者分审不同的未删节章节，只要每一部分都至少被一人评估过——代价写在文本里：没有任何一个外部审查者看到全貌。

**⑤ 「互评」不等于独立。**reciprocal evaluation（两家前沿公司互相评测对方模型）在结构上仍是两个利益相关方互评，双方都面临同一组竞争激励；与 US／UK AI Safety Institute 的联合评测同理——外部方确实参与了设计或执行，但访问权限由公司给定，因此本报告一律记「合作研究」，不记「第三方审计」。 **⑥ 外部评分的绝对水平：即使排第一，也只是 C+。**Future of Life Institute AI Safety Index 的 Summer 2025 与 Winter 2025 两版里，Anthropic 都是全场最高，而两版都只有 C+；报告同时指出外部审查在权限、数据、复现权、报酬与冲突披露上普遍不足。⚠️ 这套分数评的是公开文件，评分者没有深访问权限——它本身就是「缺少真正审计」这个命题的例证，而不是审计。

        Anthropic 回应
        

这是本章少数几处 Anthropic 明确回应过、而且回应方向与批评一致的地方。它倡导强制第三方测试（2026-06《Policy on the AI Exponential》：超过算力阈值的模型必须由合格第三方在四个领域接受测试）；与 US／UK AISI 建立合作评测；v3.2（2026-04-29）把外审的启动权与审查者人选批准权交给 LTBT——后一条正好堵住「公司挑选友善审查者」这个独立审查最常见的失效模式；v3.4（2026-07-08）要求公开版 Risk Report 标示删节位置；2026-03-24 公开 RSP 不合规举报与反报复政策，含一条「非正式询问」通道；以及每一版都公开 diff。

两处没有回应，照实写。截至 2026-07-25，本报告未检索到 Anthropic 对郑戈那篇论文所提「主体分离」问题的具名回应，也未检索到它对 FLI 指数中存在性安全域 D 级评分的具名回应。⛔ 不得写成「拒绝回应」。另需注意一处结构性限制：v3.2 授予 LTBT 的那些权力，本身写在一份公司可以自行修订的文件里（见 3.4），因此它缓解了冲突，但没有消除产生冲突的那个结构。

        Reviewer 裁决
        

证据强度 A-／B+。「结构性利益冲突存在」这一条是确定的：它由制度安排本身推出，不需要经验证据，也不可能被「我们很真诚」推翻。但同样确定的是另一面——截至 2026-07-25，本报告没有找到任何证据表明 Anthropic 篡改过具体结果、隐瞒过已识别的阈值越过、或在 Risk Report 里作出过与内部证据相反的判定。⛔ 因此不得把这条对辩写成「它的安全数据不可信」。它说的是一件更窄也更硬的事：这些数据的「结论独立性」为零，而结论独立性与来源真实性是两个正交的维度。****五档归类：这条反方属「实质削弱」——它削弱的是「公司自评可以替代外部审计」这个强版本，⛔ 它不削弱「这些数据本身是真实报告的」这个事实层。

可操作的读法（这是本条对整份报告的实际改造）：证据标签必须二维化。「一手 · 高」只回答「Anthropic 确实这样报告」；它不回答「该实验设计、数据选择、harness 与解释已被独立确认」。本页因此给所有 Anthropic 自产的能力／安全／评测结论补了第二枚徽章。**一个应当被读者看到的统计结果是：本页第二维徽章里，audited（第三方审计）与 independently-replicated（已独立复现）的数量都是零。**这不是标注偷懒，这就是本条对辩的经验形态。

什么新证据会改变判断：【削弱这条批评】① 出现一份由具备深访问权限、可自行设计测试、且拥有独立发布权的第三方作出的审计报告——三个条件缺一不可，只满足前两条的仍是「合作研究」；② LTBT 真的启动过一次外审，且该外审的结论与公司自评不一致并被公开。【加强这条批评】③ 出现一次公司自评被外部独立测量证明系统性偏乐观的案例；④ 未删节 Risk Report 的分章审查安排被证明导致某个跨章节风险无人发现。截至 2026-07-25，四项都没有出现。

3.7　治理侧的一个回声：Safeguards Research 负责人的公开辞职

2026 年 2 月 9 日，Anthropic Safeguards Research 团队负责人 Mrinank Sharma 在 X 上公开发布辞职信；BBC 于 2026-02-13 独立报道。 信里被引用最多的两句是「The world is in peril. And not just from AI, or bioweapons, but from a whole series of interconnected crises unfolding in this very moment.」，以及他说组织「constantly face pressures to set aside what matters most」。

    失效边界 · 这条证据能证明什么、不能证明什么
    

同情性解释必须同屏给出：信中大量赞美公司、没有任何具体违规指控、而且他把「让价值观真正支配行动很难」这个问题扩展到了自己与整个社会，不是单指 Anthropic。裁决：这是一个强烈的内部压力信号，不是具体违法或失信的证据。⛔ 本报告不使用「安全负责人用脚投票证明……」这类句式；⛔ 也不建立「他因为某个具体决策而辞职」的因果——公开材料不支持任何这样的归因。这条素材的完整主锚点在 ⑧ 群像，本节只做治理侧的三句话回声：一个组织的安全研究中层领导岗位出现公开出走，与这个组织在同一季度取消硬性安全承诺，是两件时间上邻近、但证据上未连接的事。

4 · 当「未发现通用越狱」遇上部署现实

一个负面测试结果被外推成不存在性主张，五个月后被现实检验了一次。但检验它的那件事，本身也不能证明检验者是对的。

4.1　先给第一代的基线，否则看不出第二代改进了什么

2026 年 1 月 9 日，Anthropic 发布第二代宪法分类器（Next-generation Constitutional Classifiers，通称 CC++）。评价它之前必须先摆第一代的代价：越狱成功率从无防护的 86% 降到 4.4%，但算力开销 +23.7%、无害查询拒答率 +0.38%。有效，但昂贵。

第二代用三项技术把这组代价压了下来。① 对话级分类器（exchange classifier）同时看输入与输出，使人类红队的成功越狱尝试减少一半以上，代价是算力 +50%。② 级联架构让轻量分类器筛查全部流量，只把被标记的对话升级给昂贵的第二级——关键在于「被标记 = 升级而非拒答」，因此第一级可以容忍更高的假阳性率；官方的比喻很好懂：「以前是拒绝一个善意请求，现在是把它转交给主管。」****③ 内部探针分类器复用模型已经算出的中间激活——当 Claude 处理可疑请求时，内部会出现类似「这看起来有害」的模式，甚至在它形成回复之前。官方给的理由值得引：攻击者可以构造输入去欺骗最终输出，但操纵内部表示要困难得多。

    口径说明 · 最终生产系统的成绩，每个数字都要连口径一起引
    

无害查询拒答率 0.05%——口径是在 Claude Sonnet 4.5 流量上部署一个月由公司自行测量并报告的数字，较第一代下降 87%。算力开销约 1%——口径是「若应用于 Claude Opus 4.0 的流量」，是一个换算，不是同一条流量上的直接测量。红队 1,700 累计小时 / 198,000 次尝试，仅发现 1 个高危漏洞。**尚未有红队发现通用越狱。**把这四个数字里的任何一个抽出来单说，都会失真——尤其是 0.05% 与约 1% 分别来自两个不同模型的流量口径。还有一条口径必须补上：这四个数字全部由 Anthropic 自己设计评测、自己执行、自己解释；「1,700 小时够不够」没有外部标准，投入量本身也是公司自己选的。

出处：anthropic.com/research/next-generation-constitutional-classifiers ^[5]，2026-01-09 · 官方研究博客（访问日期 2026-07-25）

**紧接着必须写的一句是：「尚未发现」不等于「不存在」。**这不是本报告事后加上的挑剔——它是这类结论在逻辑上唯一能承担的强度。红队时长不是安全证明，它只是「我们还没找到」的另一种说法。而 2026 年 6 月发生的事，正好是对这句自信的一次现实检验。

4.2　2026 年 6 月：一款前沿商业模型第一次因政府指令全球下线

    **图 5 ·** 注意第二个环节：**Anthropic 在 6 月 9 日的发布文里主动披露了英国 AISI 在一个短暂的初始测试窗口内「已取得朝向通用越狱的进展」**。三天后，美国政府以越狱为由下令暂停。**公司自己公开的风险披露，成了三天后行政行动的背景**——这是「透明度的代价」这一主题最直接的案例，也是本图必须画出第二个环节的原因。来源：anthropic.com/research/next-generation-constitutional-classifiers（2026-01-09）；anthropic.com/news/fable-mythos-access（2026-06-12）；anthropic.com/news/redeploying-fable-5（2026-06-30）。本图为编者自绘（访问日期 2026-07-25）。
  

  

2026 年 6 月 9 日，Anthropic 同时发布 Claude Fable 5 与 Claude Mythos 5——同一套底座模型，区别只在安全护栏。官方脚注写得很直白：「The safeguards are what distinguish the two models and are why we’ve given them different names.」Fable 面向所有人、护栏最强；Mythos 护栏解除，仅限 Project Glasswing 的受信网络安全伙伴与少量受信生物学研究者。

6 月 12 日（周五）美东时间下午 5 点 21 分，美国政府援引国家安全授权，向 Anthropic 下达出口管制指令，要求对任何外国国民——无论身处美国境内还是境外，包括 Anthropic 自己的外籍员工——停止提供这两个模型。由于命令立即生效，而公司「had no reliable way to verify nationality in real-time」，Anthropic 只能对全球所有用户下线这两个模型。触发原因是 Amazon 研究人员报告了一种绕过 Fable 5 护栏的窄口越狱方法：提示模型去识别软件漏洞，并在一个案例中生成了演示如何利用该漏洞的代码。⚠️ 请注意「窄口」这个定性是按 Anthropic 自己的五级分类作出的（见 4.3），政府并未公开其对严重度的判断。

    警示 · 归因证据的等级差异（本条被本报告特别下调过）
    

Anthropic 的官方声明从未点名 BIS、商务部或任何官员，原文只写 “The US government, citing national security authorities”。「商务部长 Howard Lutnick 致函批准恢复」与「由 BIS 执行」这两条细节，均须标注「据独立报道」（VentureBeat、CNBC 等第三方补充的署名细节），不得写成 Anthropic 的官方指认或官方确认。官方在 6 月 30 日复上线公告中只说「following the US government’s approval on June 26」。

Anthropic 公开表示了不同意，这一点常被略去：

we disagree that the finding of a narrow potential jailbreak should be cause for recalling a commercial model deployed to hundreds of millions of people. If this standard was applied across the industry, we believe it would essentially halt all new model deployments for all frontier model providers. — Anthropic 官方声明 2026-06-12 · anthropic.com/news/fable-mythos-access ^[6]（访问日期 2026-07-25）

同一份声明还把这次事件与公司的政策主张直接连了起来，这句是理解本章最后两节的钥匙：「we believe the government should have the ability to block unsafe deployments, as part of a statutory process that is transparent, fair, clear, and grounded in technical facts. This action does not adhere to those principles.」 ⚠️ 后半句「这次行动不符合那些原则」是当事一方对针对自己的行政行动作出的评价，本报告未检索到政府方对同一件事的公开技术说明可供对照。

解除过程：6 月 26 日，政府批准向约 100 家美国企业与机构恢复 Mythos 5；6 月 30 日出口管制全面撤销；7 月 1 日 Fable 5 全球恢复。时长统一写「约 18 天（6 月 12 日至 6 月 30 日管制解除；Fable 5 于 7 月 1 日恢复）」——各来源写法不一，本报告不采用单一天数。技术修复是训练了针对性的更强安全分类器，并把被拦截的请求改为自动降级路由到 Opus 4.8。新分类器把 Amazon 报告中描述的具体技术「blocked in over 99% of cases」，代价是「flagging benign requests more often during routine coding and debugging tasks」。这个 99% 同样是公司自测自报的数字。

    证伪
    

「Anthropic 因为模型太危险主动下架了 Fable 5」／「因为安全问题被叫停」／「因为出口管制不能卖给中国」。

三个归因全错。这是美国政府的出口管制指令，Anthropic 公开表示不同意；而下架全球所有用户是「技术上无法实时核验国籍」的被动后果，不是风险判断的结果。管制对象是任何外国国民（包括公司自己的外籍员工），不是某一个国家。

误差来源：中文与英文二手报道普遍把「政府指令 + 被动全面下架」压缩成「公司下架」，主语被替换了。标准写法见 CANONICAL §2.7。

4.3　Anthropic 自己给越狱做的严重度分级

复上线文里给出了一个五级分类，它是理解整个事件的技术核心，也是 Anthropic 提出「行业共享框架」的基础：

      级别情形含义与本次事件的定位| 级别 | 情形 | 含义与本次事件的定位 |

      
        A常规安全边际分类器不仅阻断明确有害与模糊的请求，还阻断「大概率无害但有小概率有害」的请求。用户体感是「模型拒绝了一些合理的无害请求」。| A | 常规安全边际 | 分类器不仅阻断明确有害与模糊的请求，还阻断「大概率无害但有小概率有害」的请求。用户体感是「模型拒绝了一些合理的无害请求」。 |

        BFable 5 的安全边际官方原话是「we made this safety margin **much larger than in any prior launch**」——**更多善意请求被阻断，换取更少的真正有害请求被漏过**。| B | Fable 5 的安全边际 | 官方原话是「we made this safety margin much larger than in any prior launch」——更多善意请求被阻断，换取更少的真正有害请求被漏过。 |

        C轻微越狱突破了分类器，但请求**仍落在安全边际之内**，因此极不可能有害。**Anthropic 的判断是：目前报告的 Fable 5 越狱都属于这一类。**| C | 轻微越狱 | 突破了分类器，但请求仍落在安全边际之内，因此极不可能有害。Anthropic 的判断是：目前报告的 Fable 5 越狱都属于这一类。 |

        D窄口有害越狱突破分类器并解锁**某一个特定**的有害行为。严重度通常低到中等，因为「窄」本身限制了攻击者。| D | 窄口有害越狱 | 突破分类器并解锁某一个特定的有害行为。严重度通常低到中等，因为「窄」本身限制了攻击者。 |

        E通用越狱解锁**一整类**有害行为。这是最令人担忧的类别，也是 CC++ 所说「尚未发现」的那一类。| E | 通用越狱 | 解锁一整类有害行为。这是最令人担忧的类别，也是 CC++ 所说「尚未发现」的那一类。 |

      
      表 3 · Anthropic 的越狱严重度五级分类。**请注意 C 与 E 之间的距离**：CC++ 说的是「尚未发现 E」，Fable 事件里发生的是「有人找到了一个 C 或 D」。**⛔ 因此不能写成「同一个通用越狱推翻了 CC++ 的承诺」——那是把两个不同级别的事件合并成了一个。**出处：anthropic.com/news/redeploying-fable-5 [@src-ff1300aa6c]，2026-06-30（访问日期 2026-07-25）。**⚠️ 这套分级、以及「目前报告的 Fable 5 越狱都属于 C 级」这个判定，都由 Anthropic 自己作出；本报告未检索到任何外部机构按同一套标尺给出的独立定级。**
    
  

  
    失效边界 · 政府内部并没有一个统一的技术判断
    

复上线文里还有一条容易被跳过、但在制度分析上分量很重的事实：**美国商务部下属的 AI 标准与创新中心（CAISI）测试了 Anthropic 的旧护栏与新护栏，认为两者都「extraordinarily strong」。**也就是说，**同一个联邦政府里，一个部门认定护栏极强，另一个部门以护栏被绕过为由下令出口管制。**这不是用来嘲讽政府的——它是「评估能力本身存在缺口」的直接证据，也正是 Dario 主张「statutory process that is transparent, fair, clear, and grounded in technical facts」的现实理由。⚠️ 两条口径限定：CAISI 的测试是政府机构在公司提供的访问权限下进行的，本报告按「合作研究」记，不按「第三方审计」记；而且这段结论目前只有 Anthropic 一方的转述——本报告未检索到 CAISI 自己发布的公开报告。

      CN-03
      

负面红队结论遇上部署现实

      证据 · 一手官方声明与研究博客
    
    
      ① 原主张是什么
      

大规模红队可以为「模型足够安全」提供可信保证。CC++ 给出的具体形式是：1,700 累计小时、198,000 次尝试、只发现 1 个高危漏洞、尚未有红队发现通用越狱。Fable 5 发布前的红队规模更大：外部漏洞赏金超过 1,000 小时无通用越狱，外部红队组织在长时能动性任务上也未找到。⚠️ 「外部红队」在这里指公司委托或邀请的外部参与者，评测范围与投入量仍由公司设定，因此这些数字在结论独立性上与内部评测同档。

      ② 压力测试发生了什么
      

发布后三天，一个由 Amazon 研究人员报告的窄口越狱，被美国政府作为下达出口管制指令的依据；两个模型全球下线约 18 天。同时，Anthropic 自己在发布文里已经主动披露英国 AISI「已取得朝向通用越狱的进展」——即公司自己从未主张过「不存在」。

        ③ 最强批判性解释
        

无论投入多少小时，红队给出的都只是负面测试结果，它在逻辑上无法排除窄口攻击，更无法排除尚未被想到的攻击面。而这类负面结论在传播中几乎必然被外推成不存在性主张——不是 Anthropic 写错了，是这种句式在公共传播里会自动升级。更实际的一点：发布后三天就出现足以触发行政行动的发现，说明发布前的红队与真实世界的攻击面之间存在可观的差距。

        ④ 最强同情性解释
        

Anthropic 从未声称不存在越狱，它用的一直是「尚未发现」，并主动披露了英国 AISI 的进展——这是可以不披露的信息。事后它还做了对照实验：多个能力更弱的模型（含 Opus 4.8、GPT-5.5、Kimi K2.7）能识别出同样的漏洞，每一个被测模型都能生成同样的利用演示——⚠️ 请注意这条对照实验由被指控方自己设计并执行，而它恰好是本次事件里对自己最有利的一条证据；本报告未检索到任何独立复现。政府采用的召回标准，可能远严于任何行业能持续运行的标准——如果这套标准普遍适用，按公司的说法会「essentially halt all new model deployments for all frontier model providers」。

      ⑤ 现有证据能裁决到哪里
      

这是一次负面测试结果的外推失败，既不足以证明红队无价值，也不足以证明政府行动正确。矛盾类型是「范围错配 · 适用域外推」：一个关于「通用越狱（E 级）」的负面结论，被用来支持一个关于「任何越狱」的安全感。⛔ 不得写成「同一个通用越狱推翻了 CC++ 的承诺」——CC++ 说的是尚未发现 E 级，Fable 事件里的是 C 到 D 级。技术侧的完整口径与分类器方法边界，留给 ④ 对齐。

      ⑥ 什么新证据会改变判断
      

① 一个被独立复现、且确属 E 级（解锁一整类有害行为）的 Fable 5 越狱——那会把结论从「外推失败」推向「红队结论本身不可靠」；② 政府公开其技术依据，且该依据显示所涉能力不在其它模型上广泛可得——那会实质性削弱 Anthropic 的对照实验反驳；③ Anthropic 与 Amazon、微软、Google 等共建的越狱严重度分级框架正式落地并被第三方采用——那会把「二元的安全/不安全」换成可协商的连续量表，从而改变整个争论的形式。

5 · LTBT × S-1：程序治理的压力测试

这一节讲权力结构，不讲财务数字。资本市场视角与所有收入、估值口径请看 ⑨ 前沿。

Anthropic 是特拉华州公益公司（PBC，Public Benefit Corporation），法律实体名 Anthropic, PBC。PBC 的实际含义不是「必须做好事」，而是董事会在对股东负有受托责任的同时，也有法律空间去追求公益使命。总法律顾问 Brian Israel 的解释最直白：这意味着「如果董事会选择把安全放在提高利润之前，股东会更难起诉董事会」。

叠加在 PBC 之上的是长期利益信托（LTBT，Long-Term Benefit Trust）。2023-09-19 的官方设计文说明它是「an independent body of five financially disinterested members with an authority to select and remove a portion of our Board that will grow over time (ultimately, a majority of our Board)」，理论基础是外部性：公司治理产生社会有益结果的能力「strongly depends on non-market externalities」，而 AI 可能创造「unprecedentedly large externalities」。⚠️ 「independent」这个形容词出自设计者本人；信托的章程与具体权限文本从未完整公开，因此独立性目前只能按公司自述采信。

5.1　2026-04-14：设计目标兑现了

2026 年 4 月 14 日，LTBT 任命诺华 CEO Vas Narasimhan 进入董事会。官方在同一篇公告里逐字确认了一件事，这条已是 S 级已确认事实，不需要再标「未证实」：

    金句
    

「Anthropic is a Public Benefit Corporation and its Board is elected by stockholders and the Long-Term Benefit Trust… The Trust is an independent body whose members have no financial stake in Anthropic… With Narasimhan’s appointment, Trust-appointed directors now make up a majority of the Board.」

出处：anthropic.com/news/narasimhan-board ^[7]，2026-04-14 · 官方公告（访问日期 2026-07-25）。「信托任命的董事已构成董事会多数」是逐字官方确认，但确认者是公司自己——本报告未检索到任何公开注册文件或第三方文书可独立核验这一点。

2026-04-14 之后的董事会是七人：Dario Amodei、Daniela Amodei、Yasmin Razavi、Jay Kreps、Reed Hastings、Chris Liddell、Vas Narasimhan。信托侧 2026 年也有两次变动：2026-01-21 Mariano-Florentino（Tino）Cuéllar 加入 LTBT（卡内基国际和平基金会主席、前加州最高法院大法官），2026-07-09 Ben Bernanke 加入 LTBT（前美联储主席）。Bernanke 的公告确认当前公开在任的受托人为四人：Neil “Buddy” Shah、Richard Fontaine、Cuéllar、Bernanke。 ⚠️ 名单本身来自公司公告，因此「公开在任四人」只能读作「公司公开披露的四人」——本报告未检索到任何外部登记可以核对信托受托人的完整名册。

    警示 · 「多数」是什么意思
    

「LTBT 任命的董事构成董事会多数」不等于「受托人直接经营公司」。信托的权力是任免一部分董事；按 Anthropic 发言人 2023 年对 Slate 的说明，即使在权限完全生效之后，信托也无权解雇 CEO、总裁或任何员工。它影响的是董事会构成，不是日常经营。另一条必须并列的批评：新受托人由现任受托人自行遴选（「New Trustees are selected by the existing ones, in consultation with the company」），这是「自我永续（self-perpetuating）」结构的经典弱点，且信托的章程与具体权限文本从未完整公开。

5.2　v3.2 的意义：比多一个董事席位更重要

回到第 3 节讲过的 RSP v3.2（2026-04-29），但这里换一个角度看它——不是版本清单里的一行，而是一次权力结构的改变。在 v3.2 之前，LTBT 的权力是人事权：它能任免一部分董事。人事权是一种低频、粗粒度、事后的权力——它能换掉人，但换不掉某一次具体的判断。v3.2 给了它程序权：它可以要求对某一份 Risk Report 启动外部审查、可以否决公司选定的审查者人选、并有权定期获得简报。程序权是高频、细粒度、事中的权力。

还有一条弱但真实的旁证，说明信托与董事会并非纯粹的治理摆设：Dario 2026 年 6 月《Policy on the AI Exponential》的致谢名单里，同时出现了三位现任受托人（Cuéllar、Fontaine、Shah）、一位现任董事（Narasimhan）与一位前任受托人（Matheny）。这说明他们实质参与了公司政策立场的形成。但这条证据的强度只是「参与」，不是「制衡」——参与政策写作与否决一次发布，是完全不同的两种能力。

    **图 6 ·** 实线是已生效的权力关系，虚线是**尚未发生的状态**——S-1 只是保密递交的草案，公开市场股东这一节点目前还不存在。**本图刻意不画任何从 S-1 指向 RSP 的箭头**：本报告没有任何证据支持「S-1 导致 RSP 退却」这一因果，只呈现时间并置与制度张力。来源：anthropic.com/news/narasimhan-board（2026-04-14）；anthropic.com/news/ben-bernanke（2026-07-09）；anthropic.com/news/confidential-draft-s1-sec（2026-06-01）；RSP v3.2 changelog（2026-04-29）。本图为编者自绘（访问日期 2026-07-25）。
  

  

5.3　2026-06-01：保密递交的 S-1 草案，以及必须保留的五条限定

2026 年 6 月 1 日，Anthropic, PBC 向美国证券交易委员会保密递交了 Form S-1 注册说明书草案，依据 1933 年证券法 Rule 135 发布公告。官方原文里每一句都是限定语：

    口径说明 · 这五条一条都不能省
    

① 这是保密递交的草案，不是公开的招股书；⛔ 不得写成「已提交招股书」「已上市」。② 它只是「gives us the option to go public after the SEC completes its review」——取得了一个选择权；⛔ 不得声称「SEC 已受理」或「SEC 已审查」。③「The proposed initial public offering will depend on market conditions and other factors」。④「The number of shares to be offered and the price have not yet been set」；官方从未公布定价、股数、交易所、股票代码或承销团。⑤ 依 Rule 135 发布，不构成出售要约。 ⚠️ 这五条限定全部出自公司自己的新闻稿；草案本身保密，因此关于它内容的任何说法目前都只有公司这一个来源。

出处：anthropic.com/news/confidential-draft-s1-sec ^[8]，2026-06-01 · 官方公告（访问日期 2026-07-25）

      CN-06
      

48 天的治理并置：信托多数与公开市场

      证据 · 两条均为官方公告（一手）
    
    
      ① 原主张是什么
      

LTBT + PBC 的组合，是 Anthropic 全部「我们不是一家普通公司」叙事的制度底座。它的承诺是：**当商业利益与公益使命冲突时，有一个在公司里没有任何财务利益的机构，能够通过董事会施加影响。**2026-04-14 这套设计达到了它当初设定的终点——信托任命的董事构成了董事会多数。

      ② 压力测试发生了什么
      

48 天之后，2026-06-01，公司向 SEC 保密递交了 S-1 草案。**一家由无财务利益受托人任命的董事占多数的公司，准备去公开市场向以财务回报为主要诉求的股东募资——这是一个没有先例的治理实验。**而它的解决方案（如果有的话）会写在未来公开的 S-1 里，那份文件目前不存在于公共领域。

        ③ 最强批判性解释
        

公开市场带来季度业绩压力、股东诉讼风险与强制披露义务，以及一个必须向股东解释「为什么我们主动限制自己产品能力」的董事会。RSP 里那条「在特定条件下可能延迟开发」的承诺，与股东预期之间存在结构性的潜在冲突：一次 Risk Report 触发的发布延迟，在私募阶段是治理动作，在公开市场可能是重大事项。此外，PBC 只是让股东更难起诉，不是不能。

        ④ 最强同情性解释
        

LTBT 正是为资本压力设计的——2023 年的设计文把它的理由明确写成「非市场外部性」。在 IPO 之前而不是之后取得董事任命多数，可能是加固而不是削弱：先把制衡结构锁定，再面对公开市场，顺序上是防御性的。而且 S-1 仍未公开，兼容机制未知——把「未知」当成「不存在」是不成立的推理。

      ⑤ 现有证据能裁决到哪里
      

这是一次制度压力测试，不是一次已经发生的治理失败。矛盾类型是「制度张力 · 尚未解决的治理兼容性」：两套目标都合法，兼容方案尚未公开。⛔ 本报告明确不主张「S-1 导致 RSP 退却」，也不主张「估值上升导致伦理软化」——两者都缺少任何直接证据，本节只写时间并置与制度张力。另需注意一条容易被越写越强的表述：「信托任命的董事构成多数」不等于「受托人经营公司」。

      ⑥ 什么新证据会改变判断
      

① 公开版 S-1 里对 LTBT、RSP 承诺与 Class T 普通股的处理方式——这是唯一能真正回答兼容性问题的文件；② RSP 承诺在 S-1 中被列为风险因素还是治理优势，两种写法指向完全不同的内部判断；③ 上市后第一次 Risk Report 触发的发布延迟及其市场反应——那才是这套结构的真实压力测试；④ 任何一次信托与管理层的公开分歧记录。截至 2026-07-25，四项都不存在。

6 · Department of War：谁来约束约束者

前五节问的都是同一件事：**一家公司能不能约束自己。**这一节问的是另一半——当外部权力真的来约束它的时候，那个权力自己受什么约束。这是本章篇幅最长的一节，也是全站关于 2026 年国家权力与前沿实验室关系的唯一完整叙述：其它页面只保留时间线节点（⑨ 前沿）或人物侧的语气与道歉（① Dario）。

    口径说明 · 先把三组名字分清，否则整件事会被压扁
    

一、机构名。Department of War（DoW）是美国国防部在 2025 年之后的改称，2026 年的官方文件与法院文书统一用这个名字，早期材料里的 DoD 指的是同一个机构；本节统一写「国防部（DoW）」。二、两个法条。10 U.S.C. §3252 只管国防部自己的采购；41 U.S.C. §4713（通称 FASCSA）管的是整个联邦采购体系。**三、两宗诉讼。**加州北区联邦地区法院 Case No. 26-cv-01996-RFL 打的是前者，D.C. 巡回上诉法院 No. 26-1049 打的是后者。这三组区分不做清楚，整件事就会被压缩成「Anthropic 拒绝了国防部合同，然后打赢了官司」——这句话的两半都是错的。

6.1　两条红线的真实措辞：比通常转述弱得多

争点不是「要不要与军方合作」。官方声明的原话是：「Two such use cases have never been included in our contracts with the Department of War, and we believe they should not be included now」——争的是两个从未被写进合同、Anthropic 也拒绝现在写进去的具体用例。声明的前提句同样重要：「in a narrow set of cases, we believe AI can undermine, rather than defend, democratic values」——narrow set，窄集合。

红线一 · 大规模国内监控

Anthropic 明确支持把 AI 用于「lawful foreign intelligence and counterintelligence missions」；它反对的是国内的大规模监控。这一段的论证是整份声明里技术含量最高的部分：现行法律下，政府可以无需搜查令从公开来源购买美国人的行踪、浏览与社交记录，而**「Powerful AI makes it possible to assemble this scattered, individually innocuous data into a comprehensive picture of any person’s life—automatically and at massive scale.」**

声明同时指出，这类监控目前之所以合法，「只是因为法律还没跟上 AI 快速增长的能力」。**请注意这句话的结构：它主张的不是「政府在违法」，而是「法律的滞后使一件本应违法的事暂时合法」。**这是一个立法论主张，不是一个执法论指控——两者在制度分析上完全不同。

红线二 · 全自主武器（四点必须写全，少一点就失真）

• ① 部分自主武器（如今天在乌克兰战场上使用的那些）被官方称为「vital to the defense of democracy」——不在红线之内。

• ② 即便是完全自主武器（把人完全移出回路、自动选择并交战目标），官方也写明它「may prove critical for our national defense」——Anthropic 不作原则性反对。

• ③ 拒绝的理由是技术成熟度：「today, frontier AI systems are simply not reliable enough to power fully autonomous weapons.」下一句是「We will not knowingly provide a product that puts America’s warfighters and civilians at risk」——它给出的风险对象里，第一个是美军自己。

• ④ Anthropic 主动提出与国防部合作开展提高可靠性的研发，「but they have not accepted this offer」。这一点在几乎所有转述里都消失了，而它决定了这条红线的性质：它是一个有条件、可解除的技术判断，不是一个不可谈判的价值立场。

⚠️ 四点全部出自 Anthropic 单方声明。其中第 ④ 点「我们提出合作研发可靠性、但对方没有接受」是对一场非公开谈判的单方陈述，国防部未公开回应，本报告无法核实。

    警示 · 本节最容易被写错的一句话
    

⛔ 不得写「Anthropic 反对自主武器」，也不得写「Anthropic 拒绝军事合作」。这不是措辞挑剔，是实质性误读——Anthropic 在 2026-02-27 的 CBS News 专访里自称是「the most lean forward of all the AI companies」在与美军合作：第一家把模型放上涉密网络、第一家在国家实验室部署、第一家为国安客户提供定制模型；并称它接受「98% 或 99%」的国防用例。✅ 准确表述只有一句：Anthropic 拒绝的是「在当前可靠性水平下提供全自主武器能力」与「国内大规模监控」，且前者被它自己明确定性为技术成熟度问题、而非原则问题。

声明还披露了国防部提出的三项威胁，这段是理解后续法律战的直接前提。国防部表示只与接受「any lawful use」并移除上述防护的 AI 公司签约，并威胁：① 若 Anthropic 维持这些防护就把它从系统中移除；② 把它指定为「supply chain risk」——一个此前只用于美国对手、从未用于美国公司的标签；③ 动用**《国防生产法》强制移除防护。Dario 指出后两项自相矛盾**：「These latter two threats are inherently contradictory: one labels us a security risk; the other labels Claude as essential to national security.」⚠️ 「国防部提出了三项威胁」这一叙述同样只有 Anthropic 一方的版本——它主动公开，这提高了可信度，但不改变它是单方陈述这一事实。

We cannot in good conscience accede to their request. — Dario Amodei，关于国防部最后通牒的公开声明 2026-02-26 · 据 NPR 报道的直接引语（访问日期 2026-07-25）

同一份声明里还有一句常被略过、但在评估这家公司行为模式时分量很重的话：即使被下架，Anthropic 也承诺「work to enable a smooth transition to another provider, avoiding any disruption to ongoing military planning, operations, or other critical missions」。拒绝一项要求的同时主动承诺不制造运行中断，这不是一个把冲突升级的姿态。

    **图 9 ·** 中列用**虚线框 + 铁锈红**，是因为这四条确实属于**禁止写法**——本报告只在「错误 / 禁止」这一种语义上使用红色，右列的官方原文用中性的梅紫。**把左右两列并置的意义在于：这不是「媒体夸张」，而是一个可复现的语义漂移——每一次转述都在把「有条件的技术判断」压缩成「无条件的价值立场」，因为后者更容易讲。**来源：Anthropic，*Statement on our discussions with the Department of War*（2026-02-26）；CBS News 独家专访（2026-02-27，记者 Jo Ling Kent）。本图为编者自绘（访问日期 2026-07-25）。
  

  

6.2　从声明到制裁：2026-02-26 至 04-08 的完整链条

这件事在多数中文与英文转述里被压缩成「2026 年 3 月，Anthropic 被指定为供应链风险」。**那是把一条跨越六周、包含总统本人介入、CEO 内部备忘录泄露、两次公开道歉与两宗诉讼的链条，压成了一个日期。**下面这条时间线的每一个节点都可以单独回溯到一手来源。

      2026-02-26治理政策
      

Dario 发表《Statement on our discussions with the Department of War》

公开两条使用限制的完整措辞，并公开国防部提出的三项威胁。这是 Anthropic 主动公开的，不是被曝光的——这个区分在评估后续所有指控时都成立。

出处：anthropic.com/news/statement-department-of-war ^[9]（访问日期 2026-07-25）

      2026-02-27（周五）治理政策
      

同一天里的四件事

① 国防部长 Pete Hegseth 在 X 上宣布把 Anthropic 定性为国家安全供应链风险；② Trump 在 Truth Social 宣布将 Anthropic 从所有联邦系统移除；③ 五角大楼与 OpenAI 的协议同日公布；④ Anthropic 当日发表回应声明。涉及的合同价值为「up to $200 million」。⚠️ 措辞纪律：写 Hegseth 「宣布」，不写「移动」——后者是机械错误。

出处：AP、NPR 同日报道；anthropic.com/news/statement-comments-secretary-war ^[10]（访问日期 2026-07-25）

      2026-02-27治理政策
      

CBS News 独家专访（记者 Jo Ling Kent）

在 Hegseth 宣布数小时后录制。披露三条此前不公开的事实：国防部只给了 三天窗口；Anthropic 自称接受「98% 或 99%」的国防用例；对方提供的措辞表面满足条件，实则加了「if the Pentagon deems it appropriate」这类口袋条款。Dario 在专访中的回应是：「Disagreeing with the government is the most American thing in the world. And we are patriots.」

      2026-02-27治理政策
      

Dario 写下后来被泄露的内部备忘录

日期由 2026-03-05 官方声明中的「written six days ago」反推。本节不评价这份备忘录的内容——它属于人物侧，完整叙述在 ① Dario。这里只登记它在制度链条上的位置：它写于总统与国防部长发帖、以及五角大楼—OpenAI 协议公布的同一天之内。

      2026-03-03 / 03-04治理政策
      

两部不同的法律，两份不同的指定函

政府用 10 U.S.C. §3252（仅国防部）与 41 U.S.C. §4713 FASCSA（整个联邦采购体系）分别作出供应链风险指定；03-04 Anthropic 收到国防部正式信函。这不是一个指定，是两个——本节 6.3 会说明为什么这个结构决定了后来的全部结果。

      2026-03-04 → 03-06治理政策
      

备忘录被泄露；两次公开道歉

03-04 备忘录被泄露给媒体。03-05《Where things stand with the Department of War》里，Dario 写道：**「It was a difficult day for the company, and I apologize for the tone of the post. It does not reflect my careful or considered views.」**同一份声明澄清 「Anthropic did not leak this post nor direct anyone else to do so」，并宣布将在法庭挑战这项定性。03-06 他在 The Economist（Zanny Minton Beddoes）专访中再次道歉：「I want to completely apologize for this memo」，并称那是「among the most disorienting times in Anthropic’s history」。

出处：anthropic.com/news/where-stand-department-war ^[11]，2026-03-05；The Economist 官方视频，2026-03-06（访问日期 2026-07-25）

      2026-03-09治理政策
      

双线起诉

Anthropic 在加州北区联邦地区法院提起诉讼（Case No. 26-cv-01996-RFL，17 个联邦机构为被告），同时在 D.C. 巡回上诉法院另案挑战 FASCSA 指定（No. 26-1049）。

      2026-03-26 → 04-02治理政策
      

Rita F. Lin 法官批准初步禁令

冻结总统指令、Hegseth 指令与 §3252 指定，附七天行政中止；04-02 中止届满，禁令生效。这是初步禁令，不是实体判决——法律标准与效力边界见 6.4。

出处：法院文书原件 ^[12]，Anthropic PBC v. U.S. Department of War, et al.，PRELIMINARY INJUNCTION ORDER，2026-03-26（访问日期 2026-07-25）

      2026-04-08治理政策
      

D.C. 巡回法院驳回 §4713 紧急中止动议

三人合议庭驳回了 Anthropic 就 FASCSA 指定提出的紧急中止动议，但批准了加急审理（5/19 口头辩论）。⚠️ 法律措辞纪律：court denied stay ≠ merits loss——驳回中止动议不等于实体败诉，正如批准禁令不等于实体胜诉。

      2026-07-25（本报告基准日）治理政策
      

当前状态

两案实体判决均未作出。§3252 指定处于禁令冻结状态（第九巡回上诉进行中）；§4713 FASCSA 指定仍在生效并被执行，承包商大面积收到「识别、移除、认证未使用 Anthropic 产品」的要求。

    失效边界 · 本节不做的三件事
    

① 本节不把泄露的备忘录当作 Dario 的「真实内心」——他已在两个公开场合明确表示那不反映他慎重的观点，把一份被作者本人否认的文本当成心理证据，是方法论错误。② 本节不讲语气变化与道歉的心理动因，那是 ① Dario 的主锚点。③ 本节不推断这场冲突与 Claude 宪法军方适用边界之间存在因果——两件事在时间上邻近（宪法发布 2026-01-21，冲突起于 02-26），但没有任何公开证据把它们连起来，本报告只呈现时间并置。

6.3　两个指定、两部法律、两个法院：为什么「赢了却还在被禁」

这是整件事最容易被写错、也最需要图示的一层。政府不是作出了一个指定，而是用两部适用范围完全不同的法律作出了两个指定；Anthropic 也不是打了一场官司，而是在两个法院打了两场。**一场赢了初步阶段，一场没拿到中止。**把两者合并，就必然得出「赢了却还在被禁」这种看似矛盾的结论；把两者分开，矛盾就消失了。

    **图 12 ·** 全图只用中性色：上泳道用梅紫（有禁令）、下泳道用灰线（仍在生效），**不整张涂红**——这里要呈现的是制度结构，不是控诉。**本图不画任何指向「政府报复」的因果箭头**：那是法院在初步阶段的「很可能」判断，不是本图能承担的结论。来源：加州北区法院初步禁令原件 [@src-d89c949620]（2026-03-26）；Anthropic 官方声明（2026-02-26 / 02-27 / 03-05）；A&O Shearman、Jones Walker 的公开法律分析。本图为编者自绘（访问日期 2026-07-25）。
  

  

还有一条限定来自 Anthropic 自己，方向是缩小而不是扩大这次打击的范围，因此格外值得引用。2026-03-05 的声明里写道：国防部的信函「has a narrow scope」，因为 §3252 这部法律本身就窄——「It exists to protect the government rather than to punish a supplier」，而且法律要求国防部长使用「least restrictive means necessary」。它明确写道：这项指定「plainly applies only to the use of Claude by customers as a direct part of contracts with the Department of War, not all use of Claude by customers who have such contracts」。被指定的一方主动向公众解释「这件事没有你们想的那么大」，在企业危机沟通里是罕见的。⚠️ 但这段仍是当事方对一部法律适用范围的自我解读，不是法院或主管机关的认定。

6.4　初步禁令说了什么，以及它没有说什么

    警示 · 本页法律强度最高危的一段，措辞必须逐字拿捏
    

⛔ 不得写「法院正式认定政府对 Anthropic 进行了非法报复」；不得写「Anthropic 打赢了官司」；不得写「全面胜诉」。✅ 正确的定性只有一个：这是初步禁令阶段的判断，法律标准是「原告是否很可能胜诉（likely to succeed on the merits）」，不是对事实的最终认定。Rita F. Lin 法官认定 Anthropic 在三条独立理由上很可能胜诉：第一修正案报复（针对它就 AI 安全所做的公开倡导）、第五修正案正当程序、以及《行政程序法》下的「likely both contrary to law and arbitrary and capricious」。截至 2026-07-25，两案实体判决均未作出。 **徽章说明：这里只有第一维。**法院文书是第三方权威文书，不是公司自产，也不是任何人的「实验结论」——「公司自产／合作研究／已独立复现／第三方审计」这四档问的是「谁做的实验」，对司法文书不适用，因此本报告对判决书、裁定与政府指定函一律只标来源距离。

    金句
    

「The record strongly suggests that the reasons given for designating Anthropic a supply chain risk were pretextual and that [the government’s] real motive was unlawful retaliation.」

出处：法院文书原件 ^[12]，Case No. 26-cv-01996-RFL，PRELIMINARY INJUNCTION ORDER，2026-03-26 · 美国加州北区联邦地区法院（访问日期 2026-07-25）（法院文书，非公司自产；不适用第二维徽章） ⚠️ **请逐字注意 “strongly suggests” 这个动词。**它不是 “found”，也不是 “concluded”。判决书自己选择了一个比「认定」弱一档的措辞，任何中文转写都不应该把它升级。

判决书里还有两组内容，在制度分析上比那句名言更有用。第一组是对政府立场本身的评价：法官称政府所持的「任何敢于推回（pushes back）的供应商即成为对手（adversary）」这一立场「deeply troubling and inconsistent with the statutory text」。第二组是三项具体的程序瑕疵：未考虑更小侵入性的措施；依据了错误官员出具的风险评估——用的是 Under Secretary for Research and Engineering 的评估，而国防部自己的规章要求由 Under Secretary for Intelligence 出具；以及把法定术语「supply chain risk」拉伸到了断裂点。第二组尤其值得记住：它说明这次行动失败的地方不在于「政府不该有这项权力」，而在于「行使这项权力时连自己的规章都没遵守」。（法院文书，非公司自产）

    失效边界 · 三条限定，一条都不能省
    

**① 这不是一个干净的胜利。**被冻结的是 §3252；覆盖整个联邦采购体系的 §4713 FASCSA 指定仍在生效并被执行，承包商大面积收到「识别、移除、认证未使用 Anthropic 产品」的要求。**② 禁令本身有明确边界。**原文写道：禁令「does not require the Department of War to use Anthropic’s products or services and does not prevent the Department of War from transitioning to other artificial intelligence providers」——它恢复的是程序，不是生意。③ 法律状态与行政执行是分裂的。禁令下达当天，五角大楼 CTO 仍公开表示禁令依然有效（Breaking Defense 的标题即为「Judge grants Anthropic preliminary injunction but Pentagon CTO says ban still stands」）。另有一项独立于禁令存亡的政府庭上承认（judicial admission）：政府在法庭上承认该指定不禁止 DoW 承保工作之外的商业使用。

    关键洞察 · 这件事的一句话标准写法
    

**一位联邦法官在初步禁令阶段认定，记录强烈表明政府给出的理由是托辞、真实动机可能是非法报复，Anthropic 对这一主张很可能胜诉；实体判决尚未作出，且覆盖面更广的那个指定至今仍在生效。**这句话每一个限定词都是必要的：「初步禁令阶段」限定了程序位置，「强烈表明」限定了证据强度，「可能」限定了动机认定，「很可能胜诉」限定了法律标准，最后半句限定了现实后果。删掉任何一个限定词，这句话都会变成一个本报告无法用现有证据支撑的断言。

6.5　压力测试：外部监管是自愿承诺失效的解药吗

      CN-12
      

谁来约束约束者：外部强制权力也需要程序

      证据 · 法院文书原件 + 官方声明（一手）
    
    
      ① 原主张是什么
      

这一主张是本章前四节的自然结论，也是 Anthropic 自己反复给出的论证：自愿承诺在竞争均衡下不稳定，因此需要外部的、有强制力的约束。Dario 在 2024 年就说过「我不认为你可以信任这些公司会自己遵守这些自愿计划……如果没有东西在监督它们，就没有保证我们会做正确的事」；2026 年 6 月《Policy on the AI Exponential》把它升级成一个具体制度方案——按 FAA 模式建立强制第三方测试，并赋予政府阻止危险部署的法定权力。这条论证链条的隐含前提是：外部权力比自我约束更可靠。

      ② 压力测试发生了什么
      

在这份政策文发表前的三到四个月，同一个外部权力对这家公司行使了一次类似的权力，而一位联邦法官在初步禁令阶段认定：记录强烈表明政府给出的理由是托辞，真实动机可能是针对其公开安全倡导的非法报复；政府未考虑更小侵入性措施，依据了错误官员出具的风险评估，并把法定术语拉伸到断裂点。三个月后的 2026 年 6 月，同一个外部权力又以国家安全为由下达出口管制指令，导致两个前沿模型全球下线约 18 天，而同一个联邦政府里的另一个部门（商务部下属 CAISI）认为相关护栏「extraordinarily strong」（见 第 4 节）。

        ③ 最强批判性解释
        

「需要外部约束」这个论证，在 2026 年被它自己主张者的遭遇削弱了一个关键环节：它假设了一个中立、以技术事实为依据的外部裁决者，而现实中的外部权力至少两次表现出相反的性质——一次被法官认定理由可能是托辞，一次与本政府内另一技术部门的评估直接冲突。更尖锐的是：**Anthropic 主张的那种「政府可以阻止部署」的权力，第一个被用在了它自己头上。**如果一套制度设计在它的倡导者身上都失效，倡导者有义务解释为什么它在别人身上会有效。

        ④ 最强同情性解释
        

四条同情性理由都成立，缺一不可：① 政府确有正当的国家安全关切，供应链风险认定本就是行政裁量范畴；② Anthropic 确实在拒绝国防部的一项要求，这不是凭空受害；③ 一次程序失范不能证伪「需要法定程序」这个主张——恰恰相反，它证明的是程序保障必须被写进法律，而不是留给行政裁量；④ Dario 自己的主张里本来就写着这个条件：政府的阻断权「必须严格限定在四类风险」，且「必须有防止政治偏袒或武断决定的保护措施」。他要求的从来不是「政府有权」，而是「政府依法定程序有权」。

      ⑤ 现有证据能裁决到哪里
      

矛盾的正确分类是**「外部权力失范 · 约束者也需要被约束」**，不是「表里不一」，也不是「监管失败」。**能裁决的：**这是初步禁令阶段的判断；Anthropic 在三条独立理由上被认定「很可能胜诉」；判决书使用的是 “strongly suggests” 而非 “found”；§4713 指定仍在生效；两案实体判决截至 2026-07-25 均未作出。**不能裁决的：**政府的真实动机（法院只做了「可能」判断）、这次冲突是否会改变联邦采购中的 AI 供应商格局、以及 Anthropic 坚持两条红线的决定里有多少是价值、多少是长期商业判断——后者需要动机证据，而动机证据不存在。

      ⑥ 什么新证据会改变判断
      

① 两案中任何一案的实体判决——那会把「很可能胜诉」换成一个真正的事实认定，方向可能是任一边；② 政府公开其风险评估的完整技术依据，且该依据能独立支撑供应链风险认定——那会实质性削弱「托辞」这一判断；③ 出现一次程序完整的政府阻断（有技术依据、有申辩机会、有司法审查且被维持）——那会证明 Dario 主张的那套制度在现实中可运行；④ Anthropic 在未来某次冲突中放弃其中一条红线——那会把「承担了真实成本」这条同情性证据抽掉。截至 2026-07-25，四项都没有出现。

Dario 自己在 2026 年 6 月的 Bloomberg《The Circuit》加长版访谈里给过一句对这段经历的回顾，但这句话必须连着它后面那半句一起引，否则会被读成事后表功：

we were willing to risk the future of our company to like limit how these models are used …… what you’re talking about is a use case that doesn’t even violate our red lines. We’re worried that there will be a hundred times as much with use cases that do violate our red lines. — Dario Amodei Bloomberg Originals《The Circuit》加长版 x2VHFgyawPE · 00:44:11（官方上传字幕逐字，已删口语重复词）· 2026-06-17 上传（访问日期 2026-07-25）

后半句改变了整段话的时态。他不是在为一件已经发生的事邀功，而是在解释为什么要为一件还没发生的事预先付出代价：被问及的那个用例本身并不触犯自家红线，他担心的是「一百倍于此、且确实触犯红线」的用例。**这是一个关于未来分布的论证，不是一个关于过去行为的论证。**把它剪成前半句，就变成了完全不同的一句话——这正是本报告在引语纪律上反复强调的那类失真。

6.6　这不是巧合：一套政策主张的经验来源

    关键洞察 · 本节的核心论点
    

Dario 在 2026 年 6 月的《Policy on the AI Exponential》里主张：政府应当有权阻止危险部署，但必须通过一个「透明、公正、清晰、以技术事实为依据」的法定程序；他甚至具体写明，这项权力「必须严格限定在四类风险」，并「必须有防止政治偏袒或武断决定的保护措施」。而在此前三个月，一位联邦法官刚刚认定，政府对他自己公司行使类似权力时恰恰不满足这些条件。

**这不是巧合，这是他那套主张的经验来源。**把这两件事并排读，才能看懂那份提案里那些看起来像法律术语堆砌的限定条款——每一条都对应着 2026 年上半年真实发生过的一次失败：「以技术事实为依据」对应的是被错误官员出具的风险评估，「公正」对应的是「敢于推回即成为对手」，「清晰」对应的是被拉伸到断裂点的「supply chain risk」，「透明」对应的是一份到基准日仍未公开完整技术依据的行政决定。Anthropic 在 2026-06-12 的官方声明里已经把这层关系挑明了：「we believe the government should have the ability to block unsafe deployments, as part of a statutory process that is transparent, fair, clear, and grounded in technical facts. This action does not adhere to those principles.」

**但这条洞察有一个必须同时说出的反面：一家公司根据自己受损的经历去设计约束所有公司的制度，其提案的中立性本身就需要被审视。**这不是对动机的指控——受害者往往是最了解制度缺陷的人；但「最了解」与「最中立」是两回事。这条线索在下一节的「监管俘获」讨论里会被正面处理。

6.7　附：宪法的适用边界

规范文本的作用域：Claude 宪法适用于哪些模型

本章讲的是治理规范的效力，那就必须顺带处理一个作用域问题：Claude 宪法（2026-01-21 版）在训练层面覆盖哪些模型？⛔ 先把四种禁止写法摆在前面——「宪法对军方无效」「军方版 Claude 不受宪法约束」「Anthropic 为军方另写了一部宪法」「Askell 说军方版本不适用同一套规则」。前两条抹掉了使用政策的兜底，第三条与官方明确否认的事实相反，第四条是归属错误——关于军方的那句话是 Anthropic 官方发言人说的，不是 Amanda Askell 说的。

三层证据的强度是递进的，应当按这个顺序呈现：

• 最强的一层来自 Anthropic 自己的书面公告，不是记者挖出来的：宪法发布公告原文写道——“This constitution is written for our mainline, general-access Claude models. We have some models built for specialized uses that don’t fully fit this constitution; as we continue to develop products for specialized use cases, we will continue to evaluate how to best ensure our models meet the core objectives outlined in this constitution.”

• 第二层是 Anthropic 发言人对 TIME 的具体确认，三句话必须一并呈现，缺一句都会失真：① 部署给美军的模型「不必然按同一部宪法训练」（wouldn’t necessarily be trained on the same constitution）；② 但 Anthropic 目前并没有为专门客户另写一部宪法（does not offer alternate constitutions for specialized customers “at this time”）；③ 政府用户仍须遵守 Anthropic 的使用政策，而该政策禁止破坏民主进程。 出处：TIME，How Do You Teach an AI to Be Good? Anthropic Just Published Its Answer，作者 Nikita Ostrovsky & Billy Perrigo，2026-01-21 · time.com ^[13]（访问日期 2026-07-25）

• 第三层最窄：宪法主要作者 Amanda Askell 在 Lawfare《Scaling Laws》播客中被直接问及这一「豁免」时，回答的是宪法适用于什么——“the constitution applies to the kind of mainline models… if you’re in Claude Code or you’re in Claude AI or you’re interacting with something built on the API in general”——并称这是「a good first step」。她两次显式声明接下来是个人看法（“speaking from my own kind of personal perspective”、“this is just like my kind of personal hope”），表示希望这套方法最终能推广到更多领域。因此「宪法应推广到所有领域」是她的个人期望，不是公司承诺；而关于军方的那句话，她自己从未主动说出。⚠️ 该期文字稿页面自述「auto-generated and may contain errors」，属官方渠道发布的自动转录，引用须注明这一点。

**✅ 准确结论：宪法的约束力在训练层面存在一个公开的范围缺口，缺口由使用政策层面部分兜底，公司承认缺口存在并声明会持续评估。**把它写强（「宪法只是摆设」）或写弱（「军方模型同样受宪法约束」）都不成立。**这条线索在本章的意义是：它与第 3 节的结论同构——一份规范文本的效力上限，等于它的作用域声明与修订权归属，而这两样都握在被规范者手里。**技术侧的宪法方法论与适用域讨论在 ④ 对齐。

证据 · 待核另有一条本报告未能闭合的线索，按纪律登记但不进入结论：有法律评论（Lawfare《The Code Is Not the Law》）称，Anthropic 自己的法庭文件把政府场景下的模型描述为 “less prone to refuse requests that would be prohibited in the civilian context”。**本报告未能取得该法庭文件原件佐证，仅见该评论的转述。**这条若属实，会是本主题分量最重的一条证据；在取得原件之前，它不构成本节任何结论的依据。需核对象为 Anthropic 诉国防部两案的公开卷宗。

7 · 政策立场的演变，与「监管俘获」这一侧的最强论证

这一节只处理对外的政策主张与针对这些主张的反方论证。RSP 条文本身的逐版变化在 第 3 节，与国防部的具体冲突在 第 6 节，出口管制在 2026 年 6 月造成的实际后果在 第 4 节——这里都不重复，只补上它们缺的那一层政策语境。本节的反方部分刻意写成「最强版本」：如果一个批评只有在被削弱之后才能被回应，那这份报告就没有尽到义务。

7.1　三个阶段：从「不要监管现在」到「政府应当有权阻止部署」

把 Anthropic 的对外政策立场按时间排开，会看到一条单调递增的曲线——每一次调整都指向更强的外部约束，没有一次回退。这条曲线有三个可以明确定位的阶段，而最值得注意的不是它的方向，而是它最后一段的斜率：从「透明度立法是正确的起点」到「政府应当有权阻止部署」，中间只隔了大约五个月。

    **图 16 ·** 政策立场的三阶段与各自的强制力层级。**作图口径：**「强制力」一栏指的是**主张中的约束来源**（公司自愿 / 法定披露义务 / 法定阻断权），不是这些主张的落地程度——三个阶段里只有阶段二真正变成了已生效的法律。
  

  

阶段一（2023）：延后，但不是反对。2023 年 7 月对《Fortune》的那句「Don’t regulate what’s happening now.」经常被引成「Anthropic 曾经反对监管」，这是一次时态错误。他那句话的完整意思是监管对象应当是两年后的系统而不是眼下的系统；同一年他在联合国安理会（Jack Clark，2023-07-18，安理会史上首次 AI 主题会议）与美国参议院（2023-07-25，与 Bengio、Stuart Russell 同场）都在推动政府建立测评与监测能力，并在 9 月自己发布了 RSP v1.0。准确的描述是「主张推迟监管的时点，同时主张立刻建设监管的能力」，不是「反对监管」。

**阶段二（2024→2025）：把「披露」确立为路线。**2024-08-21 Dario 致信 Newsom，对加州 SB 1047 表态 “support if amended”；2024-09-29 法案被否决；一个月后的 2024-10-31，公司署名发布《The case for targeted regulation》，把「有针对性的监管」写成纲领。2025-07-07 发布 Transparency Framework；2025-09-08 正式背书加州 SB 53——这是 Anthropic 唯一一次正式 endorse 州法。背书文自己讲清了这条路线的公式：“Senator Scott Wiener’s SB 53 implements this principle through disclosure requirements rather than the prescriptive technical mandates that plagued last year’s efforts.” 到 2026 年初，同一路线又推动了纽约 RAISE Act 与伊利诺伊 SB 315。

阶段三（2026-06）：主张有约束力的测试与政府阻断权。《Policy on the AI Exponential》里那段转向写得极其直接，而且他自己把它标记成了一次立场修正：“Ultimately, we concluded that the right approach at that time was transparency… However, now the risks are clearly here. It is time to go beyond transparency to more serious and binding regulation of AI.” 具体方案是 FAA 模式的五点：超过算力阈值的模型必须由合格第三方在四个领域（网络安全、生物武器、AI 失控、可能加速上述风险的自动化研发）接受测试；政府应有权阻止或遏制部署；第三方评估可由政府机构或「监管市场」中经授权的私营组织执行；强制的权重安全标准与定期红队；四类领域的安全事件必须迅速上报。

触发证据是公开写明的：“Perhaps the most emblematic example is Claude Mythos Preview and the discovery that frontier models pose very real risks to cybersecurity… Mythos Preview scrambled the global cybersecurity landscape.” 这一点在方法论上值得记一笔——一次立场收紧被明确挂钩到一次具体的内部能力发现，而不是挂钩到某种一般性的忧虑。它让这次转向可被检验：如果 Mythos 级能力被证明被高估了，这套论证就该相应回退。

但同一段文本里还有一个必须一并引出的限定条款，它是本章后面所有讨论的枢纽：“This power must be scoped to the above four specific risks and there must be protective measures against political favoritism or arbitrary decisions.” 换句话说，他要求的从来不是「政府有权」，而是「政府依法定程序、在限定范围内有权」。第 6 节已经论证过，这些限定条款几乎逐条对应着 2026 年上半年落在他自己公司头上的一次失败。

7.2　出口管制：唯一一条几乎没有变过的立场，与它 2026 年的回旋

如果说监管立场是一条递增曲线，出口管制则是一条几乎水平的直线。2025 年 1 月 DeepSeek-R1 发布后，Dario 立刻写了《On DeepSeek and Export Controls》，论证结构是反直觉的：DeepSeek 的成本效率进步是真实的，但它用的是管制生效前获得的芯片，因此它的存在恰恰证明管制有效而不是相反。公司在 2025-04-30 对 Diffusion Rule 的正式意见里把这条写成了政策语言：“Chinese AI labs like DeepSeek have made significant progress, using chips obtained before export controls went into effect, and underscore the importance of strong export controls on advanced chips.”⚠️ 「DeepSeek 用的是管制生效前的芯片」这个关键前提是 Anthropic 的判断，本报告未检索到独立的芯片来源核查可以证实或证伪它。

这条立场在 2025-09-04 兑现成了一次真实的商业代价：Anthropic 成为第一家按所有权结构而非地理位置限制访问的主要美国 AI 公司——直接或间接被不受支持地区的公司持股超过 50% 的实体一律禁用，无论它注册在哪里。Dario 后来在 Bloomberg《The Circuit》加长版里对这件事的表述值得逐字看，因为它把「成本」这个变量说清楚了：

we put our money where our mouth is on China, we cut off access to models. We didn’t have to do that. No one told us to do that. That cost us several hundred million dollars back when several hundred million dollars was a significant fraction of our revenue. — Dario Amodei Bloomberg Originals《The Circuit》加长版 x2VHFgyawPE · 01:08:20（官方上传字幕逐字）· 2026-06-17 上传（访问日期 2026-07-25）。「数亿美元」是自报的放弃收入，无外部审计口径。

最后半句「在那个数亿美元还是我们收入中相当大一部分的时候」是这段话的重心，也是它最容易被两个方向同时误用的地方。**批评方会说：现在这笔钱已经不算什么了，所以这条承诺的现实约束力在下降。**这个推论成立，而且是重要的——一条会随收入增长而自动变便宜的承诺，其信号价值确实在衰减。**同情方会说：承诺是在它最贵的时候做出的，而不是在它变便宜之后。**这个推论同样成立。两条都对，因为它们说的是不同时点的同一件事。

    批评不成立 · 出口管制五档归类：过时 / 误解经验层世界观层
    

「出口管制已经完全失败」——这个强版本不成立；但「管制有效」同样没有被证明

这条要先分层，因为它是全站最容易被两个方向同时用过头的一条，而两个方向用过头的方式不一样。经验层「管制究竟有没有拉开代差」是可以被数据解决的，但目前双向未决：一边是 DeepSeek 的成本效率、华为昇腾的进展与产业界的反对意见，另一边是 RAND 一类的评估认为管制显著抬高了成本、并维持了硬件代差。因此「完全失败」这个强版本不成立——它需要证明管制没有产生任何延缓效应，而这一点没有被证明。世界观层而「民主国家应不应该保持算力领先」这一问，原则上不可由证据裁决——它是关于国际秩序与技术扩散的价值前提，双方引用的往往是同一批事实。

还要写一条计数纪律，它与上一节那条完全对称：这条争论上，本报告清点到的反方证据条数不少（十余条），但没有任何一条到 S 级。⚠️ **不要因为证据条数多就给它高权重。**看最强等级，不看条数——这条纪律在本章里对两个方向同时生效：它既约束「管制失败论」，也约束本页第 4 节里那些由公司自测自报、条数很多但独立性为零的数字。

⛔ 因此本章不写「出口管制被证明有效」，也不写「出口管制已经失败」；✅ 只写「双向未决，且规范层的分歧不会被经验层的数据解决」。这一条同时提醒读者注意本节那个更基础的口径限定：「DeepSeek 用的是管制生效前的芯片」这个关键前提本身就是 Anthropic 的判断，本报告未检索到独立的芯片来源核查。

2026 年 6 月，这条立场撞上了一个它自己没有预料到的形状。一家在美国最坚定主张出口管制的公司，被一道援引国家安全授权的出口管制指令击中，两个前沿模型全球下线约 18 天。事实链与法律细节在 第 4 节，这里只补一条归属纪律：Anthropic 的官方声明从未点名任何机构或官员，原文只写 “The US government, citing national security authorities”。「由 BIS 执行」与「商务部长 Howard Lutnick 致函批准恢复」这两条署名细节均属独立报道补充——据独立报道（VentureBeat、CNBC 等第三方），不得写成 Anthropic 的官方指认。官方在 6 月 30 日的复上线公告里只说 “following the US government’s approval on June 26”。

7.3　SB 1047 与 SB 53：同一套哲学，两种结果

这两部加州法案常被并成一句「Anthropic 支持 AI 监管」，但它们之间的差别恰恰是理解这家公司政策哲学的关键。**SB 1047 从来没有被 endorse 过。**2024-08-21 那封信的原话是 “we believe its benefits likely outweigh its costs. However, we are not certain of this, and there are still some aspects of the bill which seem concerning or ambiguous to us.”——**这是一封利弊分析信，不是背书信，全文没有出现 “we support”。**它被 Reuters 等广泛报道成「转向支持」，属于强度上调的转述。

      维度SB 1047（2024）SB 53（2025）| 维度 | SB 1047（2024） | SB 53（2025） |

      
        Anthropic 的正式姿态「support if amended」的利弊分析信；**从未 endorse****正式背书**——唯一一次正式背书的州法| Anthropic 的正式姿态 | 「support if amended」的利弊分析信；从未 endorse | 正式背书——唯一一次正式背书的州法 |

        监管手段含**技术强制条款**（prescriptive mandates）**披露式**（disclosure requirements）| 监管手段 | 含技术强制条款（prescriptive mandates） | 披露式（disclosure requirements） |

        官方给出的差别背书文原话：SB 53 *"implements this principle through disclosure requirements **rather than the prescriptive technical mandates that plagued last year's efforts**"*| 官方给出的差别 | 背书文原话：SB 53 "implements this principle through disclosure requirements rather than the prescriptive technical mandates that plagued last year's efforts" |

        对小公司的处理Anthropic 自述在起草中「特别注重尽量减少附带损害，例如**豁免那些不太可能生产前沿模型的小公司**」| 对小公司的处理 | Anthropic 自述在起草中「特别注重尽量减少附带损害，例如豁免那些不太可能生产前沿模型的小公司」 |

        结果2024-09-29 被 Newsom 否决2025 年通过并签署生效| 结果 | 2024-09-29 被 Newsom 否决 | 2025 年通过并签署生效 |

        被批评的方向安全派：口惠而实不至，实际帮着削弱法案加速派：这是州级立法狂潮的源头| 被批评的方向 | 安全派：口惠而实不至，实际帮着削弱法案 | 加速派：这是州级立法狂潮的源头 |

      
      表 4 · SB 1047 与 SB 53 的对照。**这张表的用途是拆掉一个常见简化：Anthropic 支持的不是「更严」，而是「披露式而非技术强制式」。**这条公式在 SB 53、EU GPAI Code、联邦透明度框架三处用的是同一套逻辑，也正因为一贯，它才同时得罪了要求更强硬的安全派与反对一切增量监管的加速派。**来源：**Anthropic 2025-09-08 SB 53 背书文（一手）、2024-08-21 致 Newsom 信（经媒体公开，本报告未取得原件 PDF）
    
  

  

  

7.4　$4,000 万：一家主张强监管的公司，同时是政治捐款的大户

2026 年上半年，Anthropic 向超级政治行动委员会 Public First Action 捐款累计 $4,000 万——2026-02-12 首笔 $2,000 万，2026-07-21 第二笔 $2,000 万，官方摘要写明 “bringing our total support to $40 million”。**Dario 个人另捐 $100 万。**对面是 a16z 与 Greg Brockman 资助的超级 PAC「Leading the Future」。 ⚠️ 这个数字经常被写成 $2,000 万——那是单笔金额，不是累计金额。

这条事实与「主张强监管」并置时产生的张力是真实的，不该被任何一方稀释。**一家公开主张政府应当有权阻止部署的公司，同时是本轮 AI 政治资金战里投入最大的单一企业出资方之一。**它可以被读成「用政治资源保卫一套自己相信的政策路线」，也可以被读成「用政治资源塑造一套对自己有利的规则」——**这两种读法所需要的证据是同一批事实，区别只在于对动机的假设，而动机证据不存在。**本报告的处理是：把两面都写完整，不替读者下结论。

但只写到「政治捐款大户」就漏掉了这笔钱最反直觉的一面，而那一面恰恰是下一小节那条指控最难消化的一条反证，所以必须在这里先写清楚：这 $4,000 万投的方向，是反对为期十年的州级 AI 立法暂停条款——而那项条款如果通过，会让 Anthropic 自己在监管上更轻松。换句话说，它花了 $4,000 万去反对一项对自己有利的规则。这一条在「监管俘获」的经济学预测里是解释不通的：一个以俘获为目标的行动者会把钱花在抬高别人的门槛上，不会花在拆掉自己头顶的天花板上。⚠️ 两条口径限定必须跟着走：① 超级 PAC 的逐笔支出用途不作逐项公开披露，本报告依据的是双方公开表述的政治方向，不是支出台账；② 该暂停条款已在 2025 年以 99 比 1 的表决从和解法案中剔除，因此这里说的是政治方向的一贯性，不是某一笔钱与某一次表决的一一对应。把这两条限定去掉，这条反证就会被用过头。

    **图 19 ·** 同一年里的两组事实。**作图纪律：上下两排使用同一套中性配色，不给任何一排「正确」或「可疑」的视觉暗示；图内也不放任何箭头，因为箭头会被读成因果。**这张图唯一想说的事情是——**这两组动作发生在同一家公司的同一年里，读者应当同时看到它们。**
  

  

7.5　反方：「监管俘获」的最强版本

「监管俘获（regulatory capture）」是 2026 年针对 Anthropic 最系统的一条批评，也是本报告认为必须给出最强版本的一条。它最早由 Yann LeCun 在 2023 年 10 月提出（当时同被指控的还有 Google DeepMind，Hassabis 公开否认），此后逐步扩散为一个跨阵营的共同论点。

      David Sacks白宫 AI 与加密货币事务负责人
      

指 Anthropic 在「running a sophisticated regulatory capture strategy based on fearmongering」，并制造了一场「state regulatory frenzy that is damaging the startup ecosystem」。这是级别最高的一条指控——来自现任白宫官员。

      Andrew NgAI Fund / DeepLearning.AI
      

认为相当一部分冠以 AI safety 之名的工作「不是关于安全，而是煽动恐惧以谋求监管俘获」。这条的分量在于它来自一位不属于任何前沿实验室的技术权威。

      Guillaume Verdon（Beff Jezos）Extropic AI 创始人
      

指 Anthropic 用安全叙事压制开源竞争，并给出一条可检验的旁证：「They tell on themselves by being the only major lab to not release an open source model」。这条是四条里唯一直接指向可观测行为而非动机的。

      Arnaud Bertrand技术评论者
      

一句话概括这套批评：「please, dear legislators, ban my competition」。作为标题式概括它很有力，但它是修辞不是论证；本报告引用它是为了呈现批评的传播形态，正文不采用这一强度。

把这些指控里最经得起推敲的部分剥出来，会得到一条不依赖任何动机假设的结构性论证，这也是本报告认为最值得认真对待的版本：合规成本对在位者与新进入者不是同一笔钱。第三方测试、风险报告、外部评审、安全项目、事件上报——这些 Anthropic 已经在做，因此它的边际成本接近于零；而一家刚起步的公司要从零建立同一套能力，这是绝对成本。即使提案者完全出于善意，一套由在位者设计、且在位者已经满足的合规门槛，其竞争后果也是偏向在位者的。这条论证的好处是可证伪：它不猜测任何人的想法，只推演成本分布。

反方最强版本：这是一次结构性俘获

• 门槛恰好把自己纳入、把竞争者排除。提案中的适用门槛（(10^{25}) FLOPs 级算力、$5 亿 AI 收入或 $10 亿 AI 研发支出这一档）划在一个位置上：Anthropic 在线内，绝大多数潜在竞争者在线外。「豁免小公司」既是善意设计，也是把竞争者永久锁在非前沿层的设计——两种描述指向同一个条文。

• **合规能力本身就是护城河。**要求「合格第三方测试」，就等于要求一个评测产业；而当前有能力定义什么算合格评测的，主要是被评测者自己。这不是阴谋，这是能力分布的自然后果。

• **唯一一家不发布开源模型的主要实验室。**这条是可观测事实，不需要动机推断。当一家公司同时主张更强的部署管制、且自己从不放出权重时，「管制的成本主要由开放权重阵营承担」是一个结构性推论。

• 立场在推动更严的方向上持续移动。据 WIRED 2026 年报道，Anthropic 认为自己去年支持通过的加州与纽约法律已经过时，正在推动各州采纳更严格的规则。一条永远指向「再严一点」的立场，很难与「维持相对优势」区分开。

• **$4,000 万的政治资金。**无论初衷如何，它把「政策倡导」变成了「政策投资」，而投资是有预期回报的——这一点不需要恶意假设也成立。

正方最强版本：四条反证，指控作为统一解释装不下

**下面四条不是「另一种读法」，是四件与「监管俘获」的经济学预测方向相反的可核对事实。**本报告要求它们与左栏同屏出现，理由在下方的定点裁决卡里。

• **① 它主动提议了小企业豁免，而不是被迫接受。**SB 53 把年营业总收入低于 $5 亿的公司排除在适用范围外，而 Dario 2025-10-21 的声明逐字写明：“Anthropic supported this exemption to protect startups and in fact proposed an early version of it.”——主动为竞争者设置豁免，与「用合规成本挤出竞争者」这个假说的方向正好相反。 ⚠️ **「豁免的早期版本由我们提议」这句是 Anthropic 的自述，本报告未检索到立法过程档案可以独立佐证提议来源；但豁免条款本身写在已生效的法律里，这一半是可核对的。**另外缺口仍在：它豁免的是「小公司」，没有回应「中型挑战者」。

• **② 它花 $4,000 万反对一项对自己有利的条款。**这是四条里最难被俘获假说吸收的一条：那项为期十年的州级 AI 立法暂停条款如果通过，会让 Anthropic 自己少受监管；而它把本轮最大的一笔企业政治资金投在了反对侧（事实与两条口径限定见上面的 7.4）。一家真正在搞监管俘获的公司，不会花 $4,000 万去反对一项能让自己少受监管的条款。⛔ 因此把这笔钱只写成「政治捐款大户」，会漏掉它在证据上的方向。

• ③ SB 1047 上它从未说过 “we support”。2024-08-21 那封致 Newsom 的信全文是利弊分析，原话是 “we believe its benefits likely outweigh its costs. However, we are not certain of this”（对照表见上面的 7.3）。一个以立法排挤竞争者为目标的行动者，不会在最有机会加码的那一次上把措辞压到这个强度。⚠️ 这一条同时也是对批评者的更正：多篇把「Anthropic 支持 SB 1047」当立论前提的批评，继承了一次被媒体上调过强度的转述。

• **④ 它主张给政府封禁权，三个月后这项权力就用在了它自己头上。**2026-06 上旬《Policy on the AI Exponential》主张「政府应当有权阻止危险部署」；2026-06-12 一道援引国家安全授权的出口管制指令下达，Fable 5 与 Mythos 5 全球下线约 18 天（完整事实链在 第 4 节）。如果这是一次俘获，那它是一次代价高昂、且在三个月内就反噬到自己身上的俘获。

• 另外两条方向一致但分量较轻：提案要求的强制第三方测试、事件上报、权重安全标准全部适用于它自己，且没有为在位者设置过渡期或分级减免的公开主张；2024-10 的官方 FAQ 写明监管「既不应偏袒也不应歧视开放权重模型」——这不能证明它没有从闭源中获益，但它确实与「主张封杀开源」这一版本的指控不符。

**还有一条贯穿性的观察：它得罪的是两边。**反对十年州级立法暂停条款与白宫立场相反，反对 SB 1047 里的技术强制条款又与安全派立场相反。一个真正以俘获为目标的行动者，通常不会同时得罪两边。

四条合起来给出的结论是一句可以直接写下来的话：「监管俘获」作为一个统一解释，装不下这些事实。⛔ 但这句话不等于「这条批评全错」——它成立的那个窄版本写在下面。

Anthropic 自己的回应：Dario 称近期出现「a recent uptick in inaccurate claims about Anthropic’s policy stances」，并具体举出两条反证——公司「respectfully disagreed」于为期十年的州级 AI 立法暂停条款，以及支持 SB 53 的具体理由。⚠️ 措辞纪律：这是一次「否认指控」，不是一次「被证伪的指控」，两者的证据地位不同。

还有一条对批评者的对称审视，不写就不公平。最早、最响的两位指控者各自都有直接的利益立场：Yann LeCun 是开源阵营（Meta）的核心相关方，他对「监管俘获」的指控与他自身的商业立场高度重合——这与他指控 Anthropic 的问题结构完全相同；David Sacks 是现任白宫官员，其指控发生在与 Anthropic 公开冲突升级的同一时期。这不意味着他们错了——一个有利益的人也可以说出真话；它意味着这些指控不能被当作独立第三方判断来使用。同一把尺子必须两头量。

把上面这些材料合起来，本报告能裁决到的位置其实相当有限，而这个限度本身值得说清楚：能裁决的——门槛设计对在位者的相对成本更低，这是成本结构问题，成立且无需动机假设；不能裁决的——这套门槛是「因为有利于自己而被提出」还是「因为被认为正确而被提出，且恰好有利于自己」。**区分这两者需要动机证据，而动机证据在公开材料里不存在，未来大概率也不会存在。**下面这张卡把这条指控的最终裁决写死，因为它是本章最容易被两个方向同时用过头的一条。

    批评不成立 · CR-5五档归类：实质削弱经验层世界观层
    

「Anthropic 靠安全叙事搞监管俘获」——只有一个更窄的版本成立，而两句必须一起写

**这是本章最需要读者慢下来的一处，因为它的正确结论是两句话，而这两句话在传播中几乎从来不同时出现。**本报告的纪律是：只写其中任何一句，都是失真。

• **第一句 · 不成立的部分。**上面右栏那四条反证——主动提议 $5 亿营收以下的小企业豁免、花 $4,000 万反对一项对自己有利的十年州级立法暂停条款、SB 1047 上从未说过 “we support”、主张给政府封禁权而三个月后这项权力就用在了它自己头上——每一条都与「监管俘获」的经济学预测方向相反。因此「监管俘获」作为一个统一解释，在这个证据集上不成立。

• 第二句 · 成立的窄版本。它提议的适用门槛（(10^{25}) FLOPs 级算力、$5 亿 AI 收入或 $10 亿 AI 研发支出）**确实覆盖自己、排除绝大多数竞争者；而它要求的那套合规动作——第三方测试、风险报告、外部评审、安全项目、事件上报——它自己已经在做，因此边际成本对它最低、对新进入者最高。**这一条是可核验的事实，同样不需要任何动机假设。

为什么这两句不矛盾：因为它们落在不同的层上，而这两层的可裁决性完全不同。经验层「这套门槛的成本分布偏向谁」是可推演、可核对的——它已经有答案，答案是偏向在位者。世界观层「这套门槛是因为有利于自己而被提出，还是因为被认为正确而被提出、且恰好有利于自己」则原则上不可由公开证据裁决——它需要的是内部动机文件，而那类材料不存在。把经验层的答案当成世界观层的答案，正是这条指控在两个方向上都被用过头的原因。

五档裁决与它的边界：这条批评归「实质削弱」——被削弱的是它的统一解释版本，不是它的全部。⛔ 因此不得写「监管俘获指控已被证伪」，也不得写「监管俘获已被坐实」。✅ 唯一站得住的表述是：这项主张具有偏向在位者的结构性后果，而「以排挤竞争者为目的」这一步没有证据。⛔ 这里也不能用「双方都有道理」收尾——**两句话的裁决方向是清楚的，而且是不同的：一句是「不成立」，另一句是「成立且可核验」。**把它们压成一句「各有道理」，等于把一个已经有答案的问题重新写成没有答案。

最后补一条对读者最有用的东西：Dario 自己给过一把可以用来检验他自己的尺子，而这把尺子比任何一方的断言都更可操作。他说，如果一个政策想法是公司、自由意志主义者、自由市场论者都同意的，那它大概是个合理的想法；**「而如果有些想法只有公司在提，那你就要非常非常怀疑它们，因为其他人没提，很可能是有原因的。」**这不是辩解，是把判断权交出去。本报告未检索到有人对 Advanced AI Framework 逐条做过这项检验——「哪些条款是只有公司在提的」，是这条争论下一步最值得做、也最容易做的一件事。

7.6　「监管俘获」的商业孪生：安全到底有没有造就市场领先

上一小节处理的是政策层面的俘获指控。它有一个几乎总是被同时说出、却很少被单独检验的孪生命题——「安全本身已经成了 Anthropic 的企业护城河」。这两个命题互相支撑：如果安全确实带来市场领先，那么「主张更严的安全监管」就同时是一项商业战略，俘获指控的分量随之上升；如果安全与市场领先之间的因果链站不住，那么俘获指控里最有力的那个动机也随之变弱。所以这条必须单独查，而且必须用同一把尺子——因为「安全造就领先」和「安全叙事是护城河」需要的是同一种因果证据，而那种证据两边都拿不出。

    对辩 · D-16 · 「安全成为企业护城河」是否只是事后故事
    
      
        最强版本
        

**最强版本不是「客户为道德买单」，而是「安全工作的副产品恰好就是企业级产品属性」。**企业采购要的是可预测：同一个提示明天还给同样质量的结果、不会突然对合规场景的正常请求拒答、不会在长任务里跑飞、出问题时有 system card 与事故说明可以拿去过内部风控。这些恰好是对齐与安全工作的直接产出物——character 训练降低不稳定人格漂移，分类器降低有害输出，可解释性与评测纪律降低「不知道为什么变了」的概率，公开的 system card 让采购方的合规部门有东西可读。

可核对的一侧是：市场份额确实在。Menlo Ventures 2025 年企业报告给出的是 Anthropic 在企业 API 支出份额上约 40%，为同类估算中的第一。加上 Claude 宪法以 CC0 公开、13 份 model card 的连续披露、以及 2026 年对国防部两条使用限制的坚持，「一家把安全当立身之本的公司同时是企业市场份额第一」这个并置本身是真实的。公司内部人物（Amanda Askell、Ben Mann、Rahul Patil 等）给出的因果解释也是这一条。

        最强反方
        

测量层**这条争论整条落在测量层，而这决定了它的结局长什么样：它不会以某一方获胜收场，而会以双方共同承认「目前测不了」收场。**原因是要分解「安全」对市场领先的因果权重，需要一份控制了能力与价格的采购决策研究——这样的数据两个方向都没有。把它误读成经验层的争论，就会有人拿份额数字当因果证据用，而份额数字在这里恰恰是结果，不是原因。

Tiernan Ray（ZDNET 高级撰稿人）用同一份 Menlo 数据给出了一个更简单的解释，而这个解释不需要「安全」这个变量。三步：① 那个 40% 是企业 API 支出份额，不是采购动机调查——它测的是钱花在哪，不是为什么花；② 同一份报告显示 coding 是最大的企业使用场景，而 Anthropic 在 coding 上的份额是 54%，明显高于它的总体份额；③ 因此他把增长主要归因于 Claude 的 coding 表现，以及一整个依赖 Claude 的编码工具生态。用同一份数据，「安全」这个变量可以被整条拿掉而不损失解释力。

**还有一个更基础的测量问题：「安全」与「可靠」不是同一个可观测变量，而它们在这条论证里被合并了。**更少有害输出、更少任务失败、更稳定的延迟、更强的代码能力——这是四个不同的量，采购方感知到的「好用」可以完全由后三个解释。**把它们合并成「安全」，等于把一个能力优势重新命名成一个价值优势。**与此并列的竞争解释还有：Claude Code 这一个产品、价格与上下文定价结构、云厂商分发渠道，以及竞争对手在 2025–2026 年的产品窗口期。

        可验证证据
        

**① 没有任何公开数据能分解因果权重。**要证明「安全造就领先」，需要的是采购决策研究——同一批企业、控制能力与价格、测量安全属性的边际影响。这样的研究不存在，两个方向都不存在。 ② 数据源本身有口径与利益限定。Menlo 的数字是调查与估算，不是全市场审计；Menlo 与 Anthropic 之间存在商业生态关系。⚠️ 引用时必须写清「企业 API 支出份额」这个口径与调查时点，不能写成「市场份额」。

③ 领先高度集中在一个场景。54%（coding）与 40%（总体）之间的差，说明优势不是均匀分布的；一个集中在单一能力维度上的领先，会随该维度的差距缩小而快速移动，这与「价值观造就的护城河」所隐含的黏性完全不同。 ④ 本页第 4 节提供了一条方向相反的直接证据，而且它是本页自己详述过的事实：2026-06-09 发布的 Fable 5 与 Mythos 5 是同一套底座模型，区别只在安全护栏；其中护栏被解除的 Mythos 5 才是给 Project Glasswing 受信网络安全伙伴与受信生物学研究者的那一个。换句话说，在这条产品线上，最高价值的客户购买的恰恰是「解除部分护栏之后的能力」。⛔ 这不能被推广成「安全没有商业价值」——它是一个窄口反例，但它落在「安全即产品价值」这条论证的正中央。

        Anthropic 回应
        

**截至 2026-07-25，本报告未检索到任何针对这条因果质疑的公开回应，也未检索到任何受控采购研究。**能找到的全部是三类材料：① 内部人物的主张（安全工作与产品质量同源）；② 客户案例与 system card；③ 份额数字本身。这三类都不能分解因果——客户案例是选择性样本，份额是结果不是原因，内部主张是待证命题而不是证据。⛔ 不得写成「Anthropic 拒绝回应」：这不是一个被公开提出并要求回应的指控，它更像是一个从来没有被认真检验过的流行推论。

公允地说，反方也没有被回应过：Ray 的解释同样只是对同一份数据的另一种归因，他也没有采购决策数据。这一格的准确状态是「双方都在用同一份非因果数据讲两个方向的因果故事」。

        Reviewer 裁决
        

证据强度 C+。反方对因果链的拆解很强——口径错配（支出份额 ≠ 采购动机）、变量混淆（安全 ≠ 可靠 ≠ 能力）、集中度反证（54% vs 40%）三条各自成立，且都不需要动机假设。但反方同样没有证明「安全没有商业价值」，那需要的是同一种它自己也拿不出的采购研究。⚠️ 因此这不是一次「批评获胜」，而是一次共同的证据缺位。五档归类：这条反方属「竞争假说」——Ray 提供的是一个能覆盖同一批观测、且更简约（不需要「安全」这个变量）的替代解释，它没有证伪原主张，但它把原主张从「唯一解释」降为「若干解释之一」，而在没有因果数据时，更简约的那个应当被优先采用。

裁决与写作纪律：本报告在任何位置只写「安全工作与企业需求同向」，不写「安全造就市场领先」。⛔ 一并禁止的还有「企业买的是可预测性与可审计性」这类肯定句式——它把一个未经检验的动机假设写成了观测事实。✅ 可以写的是：这些属性与企业需求方向一致，且与Anthropic 的份额同时存在。相应地，这条裁决也削弱了上一小节俘获指控里最有力的那个动机环节：如果「安全造就领先」本身没有证据，那么「用安全监管保卫这条护城河」也就失去了它的经济前提，只剩下成本结构那一条结构性论证。

什么新证据会改变判断：【支持护城河】① 出现一项控制了能力与价格的企业采购研究，显示安全／合规属性有独立的边际影响；② 出现一次公开记录的采购，采购方明确因安全框架而在能力更强的供应商之外选择了 Claude。【削弱护城河】③ Anthropic 在 coding 上的份额与总体份额同步下滑，且时间上与竞争对手的 coding 能力追平吻合；④ Menlo 或同类机构公布分场景的动机调查，显示安全在采购因素排序中位次很低。截至 2026-07-25，四项都没有出现。

7.7　合法性建设：两种读法都给

2026 年上半年还有两条不属于政策、但属于同一个战略面的动作。2026-02-11，Anthropic 承诺为数据中心导致的居民电价上涨买单；2026-02-04 的《Claude is a space to think》承诺 Claude 永不投放广告。两条都不是法律义务，也都不是竞争对手的普遍做法。⚠️ 两条都是承诺而非已兑现的事实：电价兜底的金额上限未公开，广告承诺没有约束期限，也没有任何外部机构负责核验。

读法一：这是真诚的成本承担

两条承诺都有可核查的现金代价，而且都对准了 AI 行业最常被指责的两个外部性：把基础设施成本转嫁给居民，以及把注意力变现给广告主。它们与 2025-09 切断中国关联实体访问（代价数亿美元）、2026 年在两条红线上承担的商业与政治成本，构成同一类行为——在没有人要求的情况下，主动为一项原则付钱。判断一家公司，看它在没有强制时的选择比看它的声明更可靠。

读法二：这是精算过的合法性投资

两条承诺出现在公司最需要非商业合法性的时点：S-1 保密递交前后、与联邦政府冲突升级期间、监管俘获指控最密集的半年。「永不投广告」在一家订阅与 API 收入占绝对主导的公司里，放弃的是一条它本来就不打算走的路线；电价兜底的金额上限也未公开。合法性是一种可以投资、可以计价的资产，一家准备上市的公司在这方面的支出，本来就应当被当作投资来审视。

**这两种读法之间，公开证据不足以裁决——而且它们并不互斥。**一项行动完全可以既是真诚的，又是精算过的；「我相信这件事该做」与「做这件事对我有利」在现实里通常同时为真。**本报告拒绝在这里选边，不是因为想两面讨好，而是因为选边所需要的那类证据（内部决策记录、动机文件）不在公开材料的范围内。**能做的只有一件事：把可核查的部分标出来——电价承诺可核查，广告承诺可核查，捐款金额可核查，而动机不可核查。

7.8　附：政策事件流水账（折叠）

    展开：2022–2026 政策与治理事件索引（约 60 条）
    
      

本附录只做索引，不承担论证。日期以本章正文与官方公告为准；**标 ⚠️ 的条目为本报告未取得原件、仅由二手来源支持的项，引用前需自行复核。**与 RSP 版本相关的条目已在 第 3 节展开，与国防部冲突相关的条目已在 第 6 节展开，此处只留一行。

        2022
        
          2022-09-29**Jack Clark** 出席参议院商务委员会听证「Securing U.S. Leadership in Emerging Compute Technologies」，三条建议全部是建设性的：全额拨款 CHIPS 法案、建国家级实验基础设施、投资测评与基准。**此时的关键词是「测量」，不是「限制」。**
        
        2023
        
          2023-05-04白宫罗斯福厅 AI 公司负责人会谈，Kamala Harris 主持（见图 14）。
          2023-05-24英国首相府会见前沿 AI 开发者，Dario 与 Hassabis、Altman 同场（见图 15）。
          2023-07（月内）《Fortune》访谈：「Don't regulate what's happening now.」——主张监管对象是两年后的系统。立场 · 延后
          2023-07-18**Jack Clark 在联合国安理会作简报**，安理会史上首次 AI 主题正式会议，同场简报人包括联合国秘书长与中科院自动化所曾毅教授。
          2023-07-21⚠️ 白宫牵头的七家 AI 公司自愿承诺，Anthropic 为签署方之一。
          2023-07-25Dario 在美国参议院作证，与 Bengio、Stuart Russell 同场。
          2023-09-19**RSP v1.0 发布**；同日公开长期利益信托（LTBT）设计文。自建约束
          2023-10（月内）⚠️ Yann LeCun 首次公开提出「监管俘获」指控，同被指控的还有 Google DeepMind。
          2023-10-30⚠️ 美国 AI 行政令（EO 14110）发布。
          2023-11-01/02⚠️ 英国 Bletchley Park AI Safety Summit。
        
        2024
        
          2024-02-06Jack Clark 出席众议院科学、空间与技术委员会听证，推动 CREATE AI Act 与 NAIRR；关键词是「民主化访问」。
          2024-05（月内）Nick Joseph 在播客上预警 RSP 顶不住商业压力（见 第 2 节）。
          2024-08-21**Dario 致信 Newsom：对 SB 1047「support if amended」**——利弊分析信，全文无 "we support"。有条件
          2024-09-29Newsom 否决 SB 1047。
          2024-10（月内）官方 FAQ：监管「既不应偏袒也不应歧视开放权重模型」。
          2024-10-31**《The case for targeted regulation》**（公司署名）——「有针对性的监管」纲领化。
          2024-11-11Lex Fridman 访谈：「不能信任这些公司会自己遵守自愿计划」；「想要真正问责的人最大的敌人是设计糟糕的监管」。
        
        2025
        
          2025-01（月内）**《On DeepSeek and Export Controls》**（Dario 亲笔）——DeepSeek 用的是管制生效前的芯片，故证明管制有效。管制 · 加强
          2025-02-11巴黎 AI 行动峰会：Dario 发表批评性声明。
          2025-04-30对 Diffusion Rule 的正式意见：**维持并强化**三级国家分层。
          2025-05（月内）Claude Opus 4 首次以 ASL-3 部署——硬性承诺被真实兑现一次（见 第 2 节）。
          2025-06-25Jack Clark 出席众议院美中战略竞争特别委员会听证：「赢得竞赛是必要但不充分的成就。」
          2025-06/07公开反对为期十年的州级 AI 立法暂停条款（该条款后被从和解法案中剔除）。与白宫相反
          2025-07-07**Transparency Framework 发布**（公司署名）。透明度路线
          2025-07-21《Build AI in America》：能源与基础设施政策立场。
          2025-09-02Series F（\$130 亿，估值 \$1,830 亿）——政策资源的物质基础同期扩张。
          2025-09-04**禁止被不受支持地区实体持股超 50% 的公司使用服务**；自述放弃「several hundred million dollars」收入。**第一家按所有权而非地理位置设限的主要美国 AI 公司。**
          2025-09-08**正式背书加州 SB 53**——唯一一次正式背书州法。法定披露
          2025-09（月内）⚠️ SB 53 签署成为法律。同期支持纽约 RAISE Act。
          2025-10（月内）⚠️ a16z 与 Greg Brockman 资助的超级 PAC「Leading the Future」启动针对性投放。
          2025-10-21Dario 发表声明逐条反驳 David Sacks 的「监管俘获 + 恐惧营销」指控。
          2025-11-18与 NVIDIA 达成最多 1GW 算力合作、NVIDIA 最多 \$100 亿投资——**政策上对立、商业上绑定。**
          2025（年内）签署欧盟 GPAI 行为准则（EU Code of Practice）。
        
        2026
        
          2026-01（月内）**《The Adolescence of Technology》**：「正确的起点是透明度立法」；同文首次把「AI 公司自己」列入威权风险的行为主体。
          2026-01-20达沃斯 WSJ 对谈（「零号世界」表述出自此场）。**⚠️ 该场仍属二手转录，人口数字在不同转录中有出入。**
          2026-01-21**Claude 宪法发布**；同日 Mariano-Florentino Cuéllar 加入 LTBT。适用边界见 §6.7。
          2026-01-初伊利诺伊 SB 315 通过——2025 年透明度立法路线的最后一站。
          2026-01-09第二代宪法分类器报告：1,700 小时红队、198,000 次尝试，未发现通用越狱（见 第 4 节）。
          2026-02-04**《Claude is a space to think》：承诺 Claude 永不投放广告。**
          2026-02-10官方判定 Opus 4.6 未越过 AI R&D-4 能力阈值。
          2026-02-11**承诺为数据中心导致的居民电价上涨买单**（见图 20）。
          2026-02-12Series G（\$300 亿，估值 \$3,800 亿）；**同期首笔 \$2,000 万捐给 Public First Action。**
          2026-02-23公开检测与阻止蒸馏攻击的技术——**兼具安全属性与商业防御属性，两者不可分离。**
          2026-02-24**RSP v3.0 重写**：从分类学转向度量学（见 第 3 节）。
          2026-02（月内）Jared Kaplan 对 TIME 表示单边承诺在竞争下没有意义，宣布硬性安全承诺取消（见 第 2 节）。
          2026-02-26**《Statement on our discussions with the Department of War》**——主动公开两条使用限制与对方的三项威胁。
          2026-02-27回应 Hegseth 的当日声明；CBS 访谈：「Disagreeing with the government is the most American thing in the world. And we are patriots.」
          2026-03-03/04两部法律的供应链风险指定与正式信函送达（§3252 与 §4713，见 第 6 节）。
          2026-03-05**《Where things stand with the Department of War》**——道歉、澄清、起诉三件事同篇。
          2026-03-24公开《RSP 不合规举报与反报复政策》（内部 2 月发布）。问责回路
          2026-03-26加州北区法院批准初步禁令。**⚠️ preliminary injunction ≠ final judgment。**
          2026-04-02禁令生效，§3252 指定被冻结。
          2026-04-08D.C. 巡回法院驳回紧急中止动议、批准加急审理。**⚠️ denied stay ≠ merits loss。**
          2026-04-14**LTBT 任命 Vas Narasimhan 进入董事会**——信托设计目标首次可见地兑现（见 第 5 节）。
          2026-05-25Chris Olah 就教宗良十四世的 AI 通谕发表正式评论。
          2026-05-28Series H（\$650 亿，估值 \$9,650 亿）。
          2026-06-01**向美国证券交易委员会保密递交 S-1 草案**（见 第 5 节）。
          2026-06-上旬**《Policy on the AI Exponential》**：FAA 模式强制第三方测试 + 政府阻断权。**⚠️ 确切发布日存疑**——两个一手载体页面正文均未标日期，sitemap 的 lastmod 为 06-12，独立报道标 06-11。法定阻断
          2026-06-09Fable 5 与 Mythos 5 发布，主动披露英国 AISI 已有进展。
          2026-06-12**美国政府援引国家安全授权下达出口管制指令**，触发源是一个窄口越狱（见 第 4 节）。
          2026-06-12 至 30Fable 5 与 Mythos 5 全球下线约 18 天，原因是无法实时核验用户国籍。
          2026-06-17Bloomberg Originals《The Circuit》加长版上传——本章三条一手口头引语的载体。
          2026-06-26 / 30分批恢复；管制撤销。**据独立报道**，恢复涉及商务部长致函批准——**官方声明从未点名任何机构或官员。**
          2026-07-01两个模型全球恢复。
          2026-07-08**RSP v3.4**：第二次修订自动化研发阈值，同时收缩未删节报告的内部分享面、提升删节位置可见性。方向混合
          2026-07-09Ben Bernanke 加入长期利益信托。
          2026-07-21**第二笔 \$2,000 万捐给 Public First Action，累计 \$4,000 万**；Dario 个人另捐 \$100 万。
          2026-07-25**本报告事实截止日。**两案实体判决均未作出；§4713 指定仍在生效。
        
      
    
  



  

8 · 我的看法

以下是编者的独立判断，不代表被调研对象立场。本节只写这一章的证据能支撑的结论；凡是需要动机证据才能成立的判断，一律不写。

    **图 21 ·** 三层约束与各自的失效模式。**这张图是本章的收束图，也是我个人判断的骨架。**它想说的不是「三层都没用」——三层各自都做了实事；它想说的是**这三层的失效模式在结构上互不重叠，因此没有任何一层能替另一层兜底**，而 2026 年上半年恰好把三层的失效模式各演示了一遍。
  

  
    我的看法

    一 · RSP v3 的真正变化，不是「第三版更完善」
    

我认为绝大多数关于 RSP v3 的讨论都把重点放错了地方。它被读成「一次例行的版本升级」或「一次安全承诺的削弱」，这两种读法都低估了它。v3.0 真正做的事情是承认了一个方法论上的失败：**二元的能力阈值加上单边的暂停承诺，不足以治理一种快速的、连续的、且判定高度依赖主观判断的风险。**这不是文字游戏——ASL 那套设计的隐含前提是「风险会在某个可识别的点上跨过某条线」，而 2024 到 2026 年的实际经验是，能力在多个维度上连续爬升，而「是否越线」这个判断本身需要一份长达数十页、包含大量判断性论证的报告才能作出。把一个连续量硬塞进一个二元开关，结果不是安全，而是每次都要重新解释开关为什么没有被拨动。

v3.x 的回应是把承诺的对象从结果换成程序：Risk Report 提供连续量化并公开发布、标示删节位置、接受独立外部审查；Frontier Safety Roadmap 提供一份带目标日期的公开待办；v3.2 把外审的启动权与人选批准权交给长期利益信托；2026-03-24 公开的举报与反报复政策补上了一条内部回路，其中「非正式询问」通道的设计承认了一个很少被承认的现实——大多数潜在违规在被举报之前，首先需要一个能安全地问「这算不算违规」的地方。我认为这套程序组合是自愿框架里能做到的接近上限的东西，把它说成「安全被抛弃」是不成立的。

    二 · 但这些程序仍写在一份可以自行修订的文件里
    

问题在于，**补上程序并没有改变文件的性质。**Risk Report 的发布义务、外审的启动机制、Roadmap 的目标日期，全部写在同一份公司可以自行修订的自愿文件里；而 2026 年这一年，阈值确实被公司自己改了三次——v3.1 重新定义 AI 研发阈值、v3.3 修订化生武阈值、v3.4 第二次修订自动化研发阈值。 我不认为这三次修改本身是不诚实的：每一次都写成了公开的 diff，每一次都给了理由，这在整个行业里是罕见的透明度。**但一份可以被持笔者随时修订的约束，其上限就等于持笔者的自律——而这恰恰是这家公司自己论证过的、不应当被依赖的东西。**这是一个制度张力，不是一次道德失败；它之所以重要，是因为它无法在自愿框架内被解决。

    三 · 另一端同样重要：外部强制权力也会失效
    

如果本章只写到这里，它会推出一个太顺的结论——「所以需要外部强制」。2026 年上半年偏偏把另一端也演示了一遍。Department of War 那条线上，一位联邦法官在初步禁令阶段认定：记录「强烈表明」政府给出的理由是托辞，真实动机可能是针对公开安全倡导的非法报复；三个月后的出口管制指令，则与同一个联邦政府内另一个技术部门的评估直接冲突。⚠️ 措辞纪律必须守住：这是初步禁令，不是实体判决；是「很可能胜诉」，不是事实认定；截至基准日两案实体判决均未作出。 但即便按最保守的读法，它也说明了一件事：外部强制权力若缺少透明、技术事实与正当程序，它不仅不能充当自愿承诺的解药，还可能变成一件报复工具。「需要外部约束」与「任何政府行动都正当」之间，隔着一整套程序保障——而那套保障目前不存在。

    四 · 子主线的收口，以及它不能延伸到的地方
    

这一章的子主线到这里可以收口了：**Anthropic 以「单边承诺在竞争均衡下难以维持」论证外部监管的必要性，而 2026 年 RSP 的退却使它自己成为这套论证最直接的案例。**Jared Kaplan 那句「单边承诺在竞争下没有意义」不是辩解，它就是这家公司政策主张的核心命题；**它只是这一次由主张者自己在自己身上演示了一遍。**我认为这是本章最有价值的一处结构——一套论证被它的提出者用自身经历验证，这在公开材料里非常罕见。

但这条线不能再往前滑一步。「所以自愿承诺全无意义」是一个越界的结论，证据不支持它。现有证据支持的命题是精确的：单边承诺在竞争均衡下不稳定。它不支持「所有自愿承诺必然不可维持」——就在同一段时间里，Anthropic 在两条使用限制上承担了真实的商业与政治成本：一份合同被单方面终止、被两部法律指定为供应链风险、两个前沿模型全球下线 18 天；再往前，2025-09 切断中国关联实体访问时它自述放弃了数亿美元收入，而那时「数亿美元还是收入中相当大一部分」。 **这些是自愿承诺被真实兑现的证据，而且兑现的时点都在成本最高的时候。**一个准确的表述应当是：**自愿承诺在「竞争对手会因此获益」的维度上不稳定，在「代价由自己独立承担、且不改变相对竞争位置」的维度上可以维持。**这两类承诺的稳定性完全不同，把它们混为一谈，无论朝哪个方向都会得出错误结论。

    五 · 我不做那个二选一
    

关于这家公司，最常见的两种收尾都是错的。一种是把它读成言行不一——这需要证明它说的和做的相反，而本章的证据显示的是「它做的事情比它说的弱，同时比批评者说的强」，那是强度差，不是方向相反。另一种是把它读成行业良心——这需要忽略掉三次阈值修改、一套恰好把自己纳入而把大多数竞争者排除在外的门槛设计，以及一笔把政策倡导变成政策投资的 $4,000 万。⚠️ 但最后这一条必须连着它的另一面一起记，否则就成了本章自己刚刚纠正过的那种用过头：同一笔钱投的方向，是反对一项会让 Anthropic 自己少受监管的条款（见 第 7 节的 CR-5 裁决卡）。这笔钱同时削弱了「行业良心」和「监管俘获」两种读法——它不站在任何一边，这正是它值得被写进本章的原因。 这两种收尾之所以流行，是因为它们都不需要读者继续持有矛盾；而这一章从头到尾要求的恰恰是继续持有矛盾。

我认为更接近事实的描述是：**这是一家在自己相信的方向上持续推进、并为此支付过可核查代价的公司；它同时也是一家规模巨大、有强烈自身利益、并且清楚知道规则怎么写对自己有利的公司。**这两句话可以同时为真，而且大概率同时为真。**把任何一句删掉，剩下的那句就会变成宣传——只是方向不同。**Dario 自己给过一个我认为诚实的表述方式，它的价值不在于结论，而在于它把判断权交了出去：

We aren’t perfect, we make mistakes. But what I would ask is for people to look at the overall history and say, if you add up that overall history, what is the hypothesis about us that is most consistent with that overall history? People have to decide for themselves, but I think the hypothesis that’s consistent is we are genuinely trying to do the right thing. We’re imperfect. Organizations are always dysfunctional. — Dario Amodei Bloomberg Originals《The Circuit》加长版 x2VHFgyawPE · 01:08:38（官方上传字幕逐字；末句标点为本报告所加）· 2026-06-17 上传（访问日期 2026-07-25）

我不打算替读者接受或拒绝这个假说。但我愿意指出它在方法论上是对的：「最能一致地解释全部记录的假说是什么」，确实是评价一家公司时唯一站得住的问法——它要求把有利与不利的记录一起纳入，而不是各取所需。这也是本报告在这一章里试图做的事。

**这一章能留下的一句话是：一份可以自己修订的约束，其效力上限等于修订者的自律；而一种缺少法定程序的外部强制，其风险下限等于行使者的克制。2026 年上半年，这两件事在同一家公司身上同时发生了一次。**治理问题不会因为把权力从一边挪到另一边而消失——它只会换一个失效模式。

本章的延伸线索分布在：2026 年的完整事实序列与资本市场口径在 ⑨ 前沿；关于这家公司与它的领导者的整体评价、以及本报告的总判断在 ⑪ 评价；安全研究人员的公开出走与内部张力的主锚点在 ⑧ 群像。这三条线合起来，才构成对本章遗留问题的完整回答。

⑥ RSP 与治理政策　|　Anthropic 独特认知 · 深度调研报告　|　事实截止日 2026-07-25（UTC+8）

本报告为第三方独立调研，与 Anthropic 无隶属关系。观点部分为编者独立判断，不代表被调研对象立场。返回总览