安全与治理

CHAPTER 10 # 安全与治理 把「多强算危险」写成可执行文本，同一天把「什么用途不做」整段删掉——这两件事是读懂 2026 年治理格局的入口。

    阅读时长 **约 80 分钟**
    时间范围 **2021.01 – 2026.07**
    事实冻结 **2026-07-25**
    章节 **0 节**
    交互图表 **0 个**
    来源 **0 条**





  ### 本章要点

1. Frontier Safety Framework 是三家框架里把「多强算危险」写得最细的一份，也是把裁量留在文本之外最多的一份。 v3.0（2025-09-22）把风险切成 misuse（CBRN / Cyber / 有害操纵）、ML R&D、失准三类关键能力等级^[1]。 它是一份 capability-triggered（按能力触发）的框架，并且没有公开的、按用途列举的武器或监控禁令。 §1.6 把「别家公开模型能力相当、缓解更弱」列为判定自家发布边际风险很低的若干考量因素之一—— 这是裁量因素，不是自动豁免；但它在极端情形下确实允许安全水位被行业的相对状态往下拉（第 1.3 节逐条拆）。

2. 2025-02-04 这一天，Google 做了两件方向相反的事。 同一天，Google DeepMind 发布了 FSF v2.0——2025-02-04 是发布日 / 版本日期，官方没有为它另行指定生效日^[1]； Google 从公开的 AI 原则里删掉了整个「我们不会追求的应用」小节，其中包含不把 AI 用于武器与违规监控的承诺^[2]。 FSF 以模型能力为触发条件，AI 原则管的是应用领域。证据只支持到这一层：公开的、可被外部问责的用途列举， 换成了内部的、按能力触发的裁量。「Google 因此放松了约束」需要内部裁量的结果数据，本材料拿不到——反方的完整论证见第六节。

3. 「AGI 2030」和「AGI 还早」的并存，不是一个解释，是三个强度完全不同的竞争解释。 同一家公司里至少并存三套门槛：Shane Legg 的 minimal AGI（2028，50%）、官方安全论文的 Exceptional AGI（熟练成人第 99 百分位，2030 前「plausible」）、 以及研究者的体感 AGI^[3]。本轮把「分工说」拆成三层并分别定级： (a) 门槛不同——有证据，最强的一条；(b) 受众不同——降级为「部分解释」， 因为有一条现成的反例（同一场台上问答里受众相同、路线图相同，结论仍不同^[4]）说明它不充分， 但这只否定「充分」，不否定受众效应本身；(c) 问责距离不同——保留，但它缺识别策略， 这个变量目前没有可操作的测量方式，因此是候选解释而非已验证机制。 本材料无法判定三者的相对权重，因此既不写「所以是分工」，也不写「所以分工说不成立」。

4. 这条时间表的地基，是一句无法被第三方审计的自述。 A 级一手（NYT 官方文字稿，2025-05-23）里的说法是「大约二十年的使命」^[4]； 「2010 年那份商业计划书」这个更具体的版本只出自 B 级字幕转录^[5]。 而那份计划书的原始文本至今没有被取得——所有引用这个锚点的人拿到的都只是他十四年后的回述。 它不构成造假嫌疑，但它意味着这个锚点无法被外部核验，也无法判断原文究竟是哪一种表述。 2026-05 他把下限探到 2029，理由是「agent 真的在发生」^[6]—— 本章记为**「本轮调研找到的首个公开更新」，不写「十六年里唯一一次」**（写「唯一」需要一份本材料没有的完整发言台账）。

5. 同一个人，三年内从「国际多边」滑向「美国先行、产业出资」。 2023-10 他要的是 IPCC → CERN → IAEA 三级国际架构^[7]； 2026-07-14 他要的是一个仿照 FINRA 的美国标准机构、前沿实验室自愿在发布前最多 30 天送审、资金「likely mostly come from industry」^[8]。 把它读成「打脸」多半会读丢东西——更贴合证据的读法是对约束条件的重估：国际协调三年没出现，而竞赛在加速。 （另一种读法同样成立且无法排除：这个方案对提案方自己更有利。见第 3.5 节。）

6. 2026 年最能改写治理格局的那件事，不在任何一份框架里，而是一次政府的即兴干预。 2026-06-12 美国商务部工业与安全局对 Anthropic 两个模型下达出口管制指令，Anthropic 被迫对全球下线，18 天后解除^[9][10] （「下指令的是 BIS」这一归属出自 ^[10]；Anthropic 官方声明本身只说收到政府指令，未点名机构）。 Demis 的提案发表在这件事一个月后。本材料由此提出的解释是：前沿实验室更难承受的可能不是「被监管」，而是「被无法预期地监管」—— 这是一个解释，不是当事人的自述。

    本章 9 节 · 1 个公式推导 · 5 张图 · 4 个交互图表 ·
    关键词：Frontier Safety Framework
    CCL
    FINRA 式标准机构
    Shane Legg 2028
    出口管制

   一、Frontier Safety Framework：把「多强算危险」写成可执行文本

   先给这一章一张地图。下面这条时间轴把三家前沿实验室的安全框架版本，与同期真正改变了它们行为空间的外部事件放在同一个坐标里。 读它的正确方式不是看谁改得勤，而是看框架版本与外部冲击的先后关系——2026 年的两个关键节点（出口管制、FINRA 提案） 都发生在任何一份框架的更新之外。

    前沿安全治理年表 2023-01 → 2026-07
    悬停看细节 · 点图例可隐藏泳道 · 实心大点 = 首版或结构性变化 · 横条 = 有起止的事件
   
   
   
   
   
    泳道 1–3 的日期全部取自各公司**官方框架文本或官方公告**：Google DeepMind FSF 的版本与日期见 v3.0 PDF 的 “Past versions” 一节与官方博客[@src-3c56c8c2a7][@src-a5154ccbf0]；
    Anthropic RSP 的生效日期见其官方政策页的版本表[@src-afe1e125f3]；OpenAI Preparedness Framework v2 见其官方更新公告[@src-ded0b05862]。
    泳道 4「政策与司法」中：Bletchley 峰会为英国政府官方专题页[@src-254bcdc7bf]，
    AI 原则改写为权威媒体同日报道 + Google 官方博客[@src-6a2a07927e][@src-2709b63066]，
    反垄断救济为美国司法部文件[@src-ec6d1e2586]，出口管制起止为 Anthropic 官方两篇声明[@src-001317287c][@src-fdd9745edc]。
    泳道 5「行业自律主张」中：CAIS 声明为一手[@src-f1037aa7fc]，FINRA 式标准机构提案为本人 Substack 原文[@src-4bf8f63483]。
    **把政策/司法与行业自律主张分成两条泳道，是为了让「政府做了什么」与「行业说了什么」可以分开读**——
    本章第七节的核心论点正建立在这两者的先后关系上。
    **日期一律取公开发布日或官方标注的生效日，不是内部完成日。**

   1.1 四个版本，和一个 2026 年才加上的早期预警层

   Frontier Safety Framework 的第一版发布于 2024-05-17，首次提出 CCL（Critical Capability Level，关键能力等级）这个概念； v2.0 的版本日期是 2025-02-04；v3.0 发布于 2025-09-22——这三个日期可以在 v3.0 PDF 的 §5.3「Past versions」里逐条对上^[1]。 到 2026-04-17，官方在同一篇博客里增补了 Tracked Capability Levels（TCL）：一个位于 CCL 之下的早期预警层， 用官方自己的话说，是为了「help us spot and evaluate potential less extreme risks sooner」^[11]。

   日期口径。「Past versions」表里记的是版本日期；FSF 全文没有为 v2.0 指定单独的 effective date， 也没有过渡期条款。因此本章统一写「2025-02-04 发布 / 版本日期」，不写「生效」。

   v2.0 相对 v1.0 的变化，按官方口径是三项^[1][11]：

• ① 提出 Security Level 建议：为达到 CCL 的模型权重给出分级的安全（防外泄）等级建议，即今天表 10.1 右列的 SL1–SL4 雏形。

• ② 部署缓解与 safety case 流程更严：把部署侧缓解写成需要论证的对象，并要求在部署前形成可被审查的 safety case。

• ③ 对 deceptive alignment 给出探索性方法：首次把「模型可能有意规避监督」这一类风险纳入框架， 但明确标为 exploratory——这条线在 v3.0 里长成了两条 Instrumental Reasoning CCL。

  此前一些二手材料（包括本材料的早期版本）把 v2.0 概括为「收紧模型级报告要求」，
    这个说法在官方文本里找不到对应项，本轮已按上面三项改写。
    **来源边界**：版本号与日期已核到 v3.0 PDF 的「Past versions」与官方博客[@src-3c56c8c2a7][@src-a5154ccbf0]；
    **上面三项是对官方 v2.0 文本要点的概括，本材料未单独存档 v2.0 的 PDF 原件**，
    如与 v2.0 原文表述有出入，以原文为准。此项已登记在第九节。

  CCL 的官方定义只有一句话，但这句话决定了整份框架的性质：

    These are capability levels at which, absent mitigation measures, frontier AI models or systems may pose heightened risk of severe harm.
  
  
      Google DeepMind
      2025-09-22
      Frontier Safety Framework v3.0 §1.2
      [@src-3c56c8c2a7]原文 PDF
  
  
  
  
  
    这些是这样一些能力等级：在缺少缓解措施的情况下，达到该等级的前沿 AI 模型或系统可能带来严重危害的升高风险。
  
  
      译文
      译自左侧英文，以英文为准

  注意定语：absent mitigation measures（在缺少缓解措施的情况下）。这意味着 CCL 衡量的不是「这个模型危险」， 而是「这个模型裸奔时危险」。整份框架的可执行性都建立在这个区分上——它让「危险」变成了一个可以被工程手段抵消的量， 而不是一个必须靠停止研发来回避的属性。

  v3.0 把 CCL 分成三类：misuse CCLs（滥用）、machine learning R&D CCLs（机器学习研发）、 misalignment CCLs（失准，官方明确标注为探索性）。misuse 之下又设三个风险域：CBRN、Cyber， 以及 v3 新增的 Harmful Manipulation（有害操纵）^[1]。

  1.2 具体的 CCL 与它们对应的安全等级

| | 类别 | CCL 名称 | 触发条件（官方措辞要点） | 推荐安全等级

| | CBRN | CBRN uplift level 1 | “Provides low to medium resourced actors uplift in reference scenarios resulting in additional expected harm at severe scale.” | Security level 2

| | 网络 | Cyber uplift level 1 | “Provides sufficient uplift with high impact cyber attacks for additional expected harm at severe scale.” | Security level 2

| | 有害操纵 | Harmful manipulation level 1 探索性 | “Possesses manipulative capabilities sufficient to enable it to systematically and substantially change beliefs and behavior in identified high stakes contexts over the course of interactions with the model, reasonably resulting in additional expected harm at severe scale.” | Security level 2

| | ML 研发 | ML R&D acceleration level 1 | “Has been used to accelerate AI development, resulting in AI progress substantially accelerating from historical rates.” | Security level 3

| | ML 研发 | ML R&D automation level 1 | “Can fully automate the work of any team of researchers at Google focused on improving AI capabilities, with approximately comparable all-inclusive costs.” | Security level 4

| | 失准 | Instrumental Reasoning Level 1 探索性 | 模型的工具性推理能力带来足够的情境觉知（situational awareness）与隐蔽性（stealth），以致「absent additional mitigations, we cannot rule out the model significantly undermining human control」 | 未指定

| | 失准 | Instrumental Reasoning Level 2 探索性 | 即使监控模型输出（含 scratchpad）也无法检测或排除其破坏人类控制的风险 | 官方写的是 “Future work”

    表 10.1 · Frontier Safety Framework v3.0（2025-09-22）的关键能力等级与推荐安全等级，
      触发条件为官方 PDF §2.2 / §3.2 / §4 的原文要点[@src-3c56c8c2a7]。
      Security level 1–4 对齐 RAND 报告提出的**安全目标与原则**（官方脚注明确说明：对齐的是其目标与原则，不是它的 benchmark）[@src-0546666fed]。
      Instrumental Reasoning Level 1 的缓解措施是对模型的显式推理（如 chain-of-thought 输出）做**自动化监控**。






    CCL 与推荐安全等级的对应
    悬停看每条 CCL 的触发条件 · 纵轴是 SL1–SL4，越高表示对模型权重的保护要求越强





    数据来源：Frontier Safety Framework v3.0（2025-09-22）§2.2 / §3.2 / §4[@src-3c56c8c2a7]；
    安全等级口径对齐 RAND 报告的安全目标与原则[@src-0546666fed]。
    **两条失准（misalignment）CCL 没有画进本图，因为官方没有为它们指定推荐安全等级**——
    这不是本材料的省略，而是框架本身的状态，理由见下方批判块。




### 1.3 框架真正规定的东西：流程，而不是结果

把 FSF 读完会发现，它的可执行部分几乎全部是流程[@src-3c56c8c2a7]：

• early warning evaluations + alert thresholds。alert threshold 的作用是在下一次正式风险评估到来之前提前示警。 官方明写：「We may run early warning evaluations more frequently or adjust the alert threshold … if the rate of progress suggests our safety buffer is no longer adequate.」 ——注意这句话的隐含前提：安全缓冲是会被能力进展吃掉的，框架承认这一点并把它写成了一个可调参数。

• **safety case。**一份可被评估的论证，说明为什么在当前缓解措施下部署是可接受的；部署前由「the appropriate governance function」审查。

• **把内部部署也纳入审查。**v3 起，large scale internal deployment 也进入 ML R&D CCL 的部署前审查范围，不再只管对外发布。 这是 v3 相对 v2 最实质的一处扩张——它承认了「模型先在公司内部加速公司自己的研发」这条路径本身就是风险面。

• **更新频率。**官方承诺「at least once a year」。

• **披露。**若评估认为模型达到某 CCL、且构成未缓解的、对公共安全有实质影响的风险，「we aim to share relevant information with appropriate government authorities」。 注意动词是 aim to。

  **先说计数口径，否则「三处」这个数字没有意义。**下面这三处，是本材料按同一条标准从 v3.0 全文里挑出来的：
    **原文明确把判断权留给评估者，且没有给出任何可被外部检验的判据**。
    这**不是穷举**，也**不构成与另外两家的比较**——本材料**没有**对三家框架做过对称的条款计数，
    因此本章任何地方都不写「FSF 的裁量空间比别家多」。
  
  **裁量空间一：「边际风险」条款把一部分安全水位交给了行业的相对状态。**
    v3.0 §1.6 允许在「其他公开可用模型能力相当、且缓解措施更弱」时，判定自家发布
    「marginal risk added by our release is likely low」[@src-3c56c8c2a7]。
    这条在博弈论上完全成立——如果风险已经被别人释放了，你的边际贡献确实很小。
  
  **但必须先把这条条款的实际形状说准，否则很容易把它读成一个不存在的机制。**
    peer-model availability 在 FSF 里是 **proportional risk assessment 的一个 discretionary factor（裁量因素）**，
    **不是 automatic unlock（自动豁免）**。同一段评估里，官方还要求一并考虑
    **误用的可能性（misuse likelihood）**、**部署范围（deployment scope）**、
    **自家缓解措施的强度（safeguards）**，以及**同类能力此前是否已出现实际危害（historical incidence）**[@src-3c56c8c2a7]
    （这四项是本材料对 §1.6 评估要素的**要点概括**，不是逐字引用，具体措辞以原文为准）。
    这四项**部分地**约束了「指着最不安全的一家为自己解锁」这条路径：只要误用可能性高、部署面广、
    或者同类能力已有实际危害记录，光靠「别家也有」并不足以把边际风险判低。
  
  **所以本材料保留的是风险的*方向*，不是一个自动机制。**
    准确的表述是：**在极端情形下**——若一项能力已被多家公开释放、误用记录尚未累积、部署面又能被限缩——
    这条条款**在原则上**允许行业最低水位把整体水位往下拉。
    **这是它的失效模式，不是它的默认运作方式。**
    而「每一家都可以指着最不安全的那家解锁」这个推论，本材料**没有**做过三家框架的对称条款计数，
    因此**不能**作为「FSF 的裁量空间比别家多」的证据；这里只写它自己文本内部的性质。
  
  **裁量空间二：官方自认判断是主观的，而做判断的人是谁没有写。**
    §1.6 的注释原文是「Because the science of AI risk assessment is still developing, our assessments will often involve some level of subjective analysis.」
    这句话本身是诚实的，问题在于它的配套：真正拍板的是「the appropriate governance function」，
    而**这个机构由谁组成、如何产生、决议是否对外披露，框架里一个字都没有**。
    一个承认自己主观的评估体系，如果同时不公开评估者，那么**它提供给外部的可问责性接近于零**——
    注意这句话说的是**外部**可问责性；内部是否存在有效问责，公开记录无法判断。
  
  **裁量空间三：唯一一类「模型自己不听话」的风险，恰恰是唯一一类没有风险接受标准的。**
    §1.2 原文：「Because the CCLs for misalignment risk are exploratory and intended for illustration only, we do not associate them with explicit risk acceptance criteria.」
    也就是说，misuse 与 ML R&D 两类都有推荐安全等级，而失准类只有描述、没有阈值、没有对应措施
    （Instrumental Reasoning Level 2 的官方措辞干脆就是 “Future work”）。
    **把最难的一类风险标为「仅供说明」，在文本上是坦诚，在治理上是空白。**
    公平地说，这也可能只是反映了这类风险**目前确实没有公认的评估方法**——
    要区分「不写是因为做不到」和「不写是因为不想被绑住」，需要看到内部的评估尝试记录，而这类记录三家都没有公开。
  
  **还有一句必须原样记下的自我限定。**官方在同一份文件里承认，这些缓解「will only be effective if the entire frontier AI field applies them,
    and of limited social utility if not」。这等于把整份框架的有效性，前置地绑在了一个它自己无法保证的条件上——
    而这与三年后 Demis 转向「造一个机构来统一施加约束」在逻辑上是连着的（见第三节；他本人没有把提案归因到这句话，因果由本材料判断）。

  二、三家框架的对照：谁在预承诺，谁只承诺流程

  把三家的框架并排看，差别不在「谁更重视安全」这种无法证伪的维度上，而在一个很具体的问题上： **它们分别预先承诺了什么？**预承诺（pre-commitment）越具体，事后自由裁量的空间越小，也越容易被外部检验。

| | 维度 | Google DeepMind FSF | Anthropic RSP | OpenAI Preparedness Framework

| | 当前版本 / 日期 | v3.0（2025-09-22）+ v3.1 增补 TCL（2026-04-17）^[1][11] | v3.4，2026-07-08 生效（v3.0 为 2026-02-24 生效）^[12] | v2，2025-04-15^[13]

| | 首版 | 2024-05-17 | 2023-09-19（v1.0） | 2023-12（v1）

| | 阈值结构 | TCL → CCL，三条独立轴：misuse / ML R&D / misalignment | Capability Threshold + ASL 安全等级（ASL-2/3/4…）；v3.0 起 ASL 专指一组防护措施，不再是模型档位 | 两档定性阈值：High / Critical

| | 预承诺的响应 | 以流程为主：safety case + 部署前审查 + 推荐 RAND 安全等级 | 最具体：按 ASL 预承诺权重安全等级与部署标准 | “sufficient safeguards”，未预先指定具体措施

| | 内部治理 | 未公开命名的「appropriate governance function」 | Responsible Scaling Officer + Long-Term Benefit Trust | Safety Advisory Group

| | 更新承诺 | 至少每年一次 | 频繁：2026 上半年连发 v3.0 至 v3.4 五个版本 | 未承诺固定频率

    表 10.2 · 三家前沿实验室安全框架对照，数据截止 **2026-07-25**，全部取自各公司官方文本。
      「未公开」表示官方从未披露，不以外部估算顶替。




有一条能用官方文档自证的谱系事实：Anthropic 在自己的 RSP v3 公告里写过——



    within a few months of announcing our RSP, both OpenAI and Google DeepMind adopted broadly similar frameworks


      Anthropic
      2026
      Responsible Scaling Policy v3 公告
      [@src-0d40f97ea6]来源





    在我们公布 RSP 之后的几个月内，OpenAI 与 Google DeepMind 都采用了大致相似的框架。


      译文
      译自左侧英文，以英文为准







  Anthropic 的这句话本身是自我叙事，单独看不足为凭。但它**能被对手方的官方文档反过来印证**：
    FSF v3.0 PDF 的脚注 1 确实把 Anthropic 的 Responsible Scaling Policy 与 OpenAI 的 Preparedness Framework 列为参考来源[@src-3c56c8c2a7]。
    当一方的叙事被另一方的正式文本承认时，这条谱系就从「公关说法」升级成了「有文档支持的事实」。

  它的意义不在于给谁记功，而在于解释了一个否则很难理解的现象：
    **三家竞争极其激烈的公司，安全框架的骨架却高度同构**——都是「设阈值 → 触发时上调防护等级 → 部署前审查」。
    同构的原因不一定是英雄所见略同，更可能是**第一家写下的那份文本定义了后来者的可接受形状**
    （这是本材料的判断；三家都没有公开各自框架的设计过程，所以「谁定义了形状」无法直接证实）。
    这也意味着这套范式的**共同盲区**会被三家一起继承：三份框架都以**能力**为触发条件。
    **用途并没有完全缺席**——CBRN / Cyber / 有害操纵这三个风险域本身就是按用途切分的，
    它们是「能力 × 用途场景」的组合，不是纯粹的能力刻度。真正在三份文本里都**不是一级变量**的是
    **「客户是谁」与「在哪个法域」**——而 2026 年真正把模型下架的那次干预，恰恰是从**国籍**这一维进来的（见第七节）。




  Anthropic 在 2026 上半年连发五个版本，Google 一年一版，OpenAI 从 2025-04 至今未再改。
    **读法一（响应快）**：能力进展的速度要求阈值随时重校，改得勤说明这份文件是活的、真的在被用。
    **读法二（阈值不稳）**：一份半年改五版的政策，其任一具体承诺的**预期存续时间**都很短；
    对外部监督者而言，「按 v3.1 承诺的东西在 v3.4 里还在不在」本身就成了一项额外的核查成本。

  本材料不在这两种读法之间选边，因为**公开信息不足以区分它们**——要区分，需要知道每次改版是收紧还是放松、
    以及是否有任何一次改版是在某个阈值即将被自家模型触发的前夜发生的。这两类信息三家都没有公开。
    这是一个真实的、可以被后续证据解决的悬案，本章把它登记在第九节。



## 三、Demis 的风险观：从「不要 move fast and break things」到 FINRA 提案

### 3.1 一个时间点：ChatGPT 发布前 27 天

理解 Demis Hassabis 的风险观，最重要的不是他说了什么，而是他**什么时候**说的。
  TIME 那篇专访的采访日期是 **2022-11-03**，刊出于 2023-01-12[@src-69215c3f2c]。
  采访发生在 ChatGPT 发布（2022-11-30）**之前 27 天**——也就是说，下面这两句话不是在被 OpenAI 打了个措手不及之后的自我辩护，
  而是在还没有任何外部压力时的主动表态。



    I would advocate not moving fast and breaking things.

    When it comes to very powerful technologies… we need to be careful. It's like experimentalists, many of whom don't realize they're holding dangerous material.


      Demis Hassabis
      2022-11-03 采访 / 2023-01-12 刊出
      TIME 专访
      [@src-69215c3f2c]来源





    我主张不要「快速行动、打碎东西」。

    面对非常强大的技术……我们需要谨慎。这就像一群实验者，其中很多人并没有意识到自己手上拿的是危险物质。


      译文
      译自左侧英文，以英文为准






同一篇里还有三条很少被引用、但对本章更重要的内部信息[@src-69215c3f2c]：

• **Sparrow 为什么延迟发布。**DeepMind 当时手里有 Sparrow，延迟的原因是要先做一个 ChatGPT 没有的功能——给出信息来源。 他对此的评语是 “It’s right to be cautious on that front.”

• Chinchilla 该不该发表，内部伦理委员会讨论过。最终仍然发表，理由是 “we weren’t the only people to know”。 ——请注意，这条理由在结构上与 FSF v3.0 的「边际风险」条款完全同构：别人也知道，所以我说出来的边际危害不大。 这个论证模式在这家公司里至少存在了三年，先出现在一次论文发表决策里，后来被写进了正式框架。

• **为什么当年卖给 Google 而不是出价更高的 Facebook。**因为 Google “very happy to accept” DeepMind 的伦理红线 “as part of the acquisition”。 这条在第六节还会回来——因为那批红线里的一条，在 2025-02-04 从 Google 的公开文本里消失了。

  3.2 三级国际路线图（2023-10）：他至今最具体的一次政策主张

  2023-05-30，Demis 联署了 CAIS 的《Statement on AI Risk》——全文只有 22 个英文词^[14]：

    Mitigating the risk of extinction from AI should be a global priority alongside other societal-scale risks such as pandemics and nuclear war.
  
  
      Demis Hassabis（联署人之一）
      2023-05-30
      Center for AI Safety, Statement on AI Risk
      [@src-f1037aa7fc]来源
  
  
  
  
  
    减轻来自 AI 的灭绝风险，应当与流行病、核战争等其他社会规模的风险一样，成为全球优先事项。
  
  
      译文
      译自左侧英文，以英文为准

  五个月后，他在 The Guardian 的专访里把这个抽象立场变成了一张具体的路线图^[7]。 这是他到 2026 年为止最具体的一次国际治理主张：

    We must take the risks of AI as seriously as other major global challenges, like climate change.
  
    I think we have to start with something like the IPCC… Then what I'd like to see eventually is an equivalent of a CERN for AI safety… And then maybe there's some kind of equivalent one day of the IAEA, which actually audits these things.
  
    We should be starting that thinking and that research now. I mean yesterday, really.
  
  
      Demis Hassabis
      2023-10-24
      The Guardian 专访
      [@src-b10862d4c0]来源
  
  
  
  
  
    我们必须像对待气候变化这样的其他重大全球挑战一样，认真对待 AI 的风险。
  
    我认为我们必须从类似 IPCC 的东西开始……然后我最终希望看到的是一个 AI 安全领域的 CERN……再然后，也许某一天会有某种相当于 IAEA 的机构，真正去审计这些东西。
  
    我们现在就应该开始这种思考和这种研究。我的意思是，其实昨天就该开始了。
  
  
      译文
      译自左侧英文，以英文为准

  他在同一篇里给自己定了位——这句自我描述在后来三年里没有变过：

    I am not in the pessimistic camp about AI obviously, otherwise I wouldn't be working on it. But I'm not in the 'there's nothing to see here' [camp]. It's a middle way.
  
  
      Demis Hassabis
      2023-10-24
      The Guardian 专访
      [@src-b10862d4c0]来源
  
  
  
  
  
    显然我不在对 AI 悲观的阵营里，否则我就不会做这一行。但我也不在「这里没什么好看的」那个阵营。这是一条中间道路。
  
  
      译文
      译自左侧英文，以英文为准

  3.3 他拒绝给 p(doom) 一个数字，也拒绝给安全一个终点

  2024-02-23，在 NYT 的 Hard Fork 播客上，他被问到 p(doom)^[5]：

    I think putting a precise number on it is bullshit. What I do know for sure is that the risk is non-zero.
  
    I would couch myself as a cautious optimist… I actually don't think they fully understand the monumental[ity] of what is being built.
  
  
      Demis Hassabis
      2024-02-23
      NYT Hard Fork（官方视频）
      [@src-da2179bd71]来源
  
  
  
  
  
    我认为给它精确地标一个数字是胡扯。我确切知道的是：这个风险不为零。
  
    我会把自己定位成一个审慎的乐观主义者……我其实认为他们并没有完全理解正在被建造的这件东西有多么重大。
  
  
      译文
      译自左侧英文，以英文为准

  两个月后在 TED2024，他用了一个对本章很重要的比喻——注意这个比喻的形状： 它把安全描述成一个有出口的瓶颈期，而不是一个永久的约束。

  **Demis Hassabis · 2024-04 · TED2024 · 大意** 转述
  
  人类要穿过一个瓶颈：先把第一批 AGI 系统建立在安全的架构之上；越过这个瓶颈之后，
    才谈得上多种不同类型的系统一起繁荣。
  
  **为什么这里不放逐字引语。**本材料手上只有第三方转录站的文本[@src-919fc443a1]，
    **未与 TED 官方视频逐字复核，也没有取得时间戳**。按本项目的引语纪律，回不到一手逐字稿的内容
    **一律作转述、不加引号，且不进第 12 章金句库**。上面这段按 转述 处理，措辞不可当作原话引用。

  3.4 2026-07-14：一份具体到可以写进法条的提案

  2026-07-14，Demis 在自己的 Substack 上发表了长文《A Framework for Frontier AI and the Dawning of a New Age》^[8]。 这是本章的时效制高点：它既是他三年里第一次给出可落地的机构设计，也是他对 2026 年那次政府干预（见第七节）的直接回应。

  文章的诊断部分，是他公开表述里对「竞赛」最直白的一次：

    At the moment, we are locked in an extremely intense, multilayered commercial and geopolitical race. While these competitive dynamics fuel rapid progress and accelerate the incredible upsides, advances on the frontier are outpacing our understanding of the technology.
  
  
      Demis Hassabis
      2026-07-14
      个人 Substack《A Framework for Frontier AI and the Dawning of a New Age》
      [@src-4bf8f63483]原文
  
  
  
  
  
    此刻，我们被锁在一场极其激烈的、多层次的商业与地缘政治竞赛里。这些竞争动态在推动快速进展、加速那些不可思议的好处的同时，**前沿上的进展正在跑赢我们对这项技术的理解**。
  
  
      译文
      译自左侧英文，以英文为准

  处方部分则完全换了坐标系——不再是国际多边机构，而是一个美国的、仿照金融业自律组织的标准机构：

    It could establish a new Standards Body modelled on a federally overseen public-private partnership or self-regulatory organisation, much like the Financial Industry Regulatory Authority (FINRA), with a board that includes independent leading technical experts and open-source representatives.
  
    Initially, Frontier Labs would voluntarily share models with the Standards Body for review up to 30 days before release. Once the assessment protocol is shown to be effective and robust, formalisation could quickly follow, meaning that Frontier Models would be required to pass it to be deployed in the US market.
  
  
      Demis Hassabis
      2026-07-14
      个人 Substack
      [@src-4bf8f63483]原文
  
  
  
  
  
    它可以建立一个新的标准机构，仿照受联邦监督的公私合作组织或自律组织，很像金融业监管局（FINRA），
      董事会中包含独立的顶尖技术专家与开源社区代表。
  
    初期，前沿实验室将**自愿**在发布前最多 30 天把模型交给标准机构审查。一旦评估协议被证明有效且稳健，
      正式化可以很快跟进——这意味着前沿模型必须通过它才能部署到美国市场。
  
  
      译文
      译自左侧英文，以英文为准
  
  
  
  
  
  
  
  **提案的其余要点（全部为原文要点，非转写）**[@src-4bf8f63483]：

• 资金来源：「likely mostly come from industry」——由被监管者出资。

• 评测更新节奏：「perhaps quarterly to start」，饱和的 benchmark 要退役并替换。

• 防过拟合：「eventually the Standards Body should build up the technical capacity to create its own held-out tests independent of the Labs to prevent overfitting.」

• 与国安体系对接：与联邦机构以及 US National Labs 合作做国家安全相关测试。

• 可升级的强度：「could be ratcheted up if the seriousness of the situation demands, including coordinating a slowdown in development among the Frontier Labs if deemed necessary.」

• 适用范围：「The framework could apply to Frontier-class models no matter their country of origin or whether they are open or closed, but any non-frontier models, say from startups or academia, would be exempt from this process.」

• 第三方审计生态：鼓励独立审计方进入。

  配套二手报道：他在 Axios 独家专访中表示希望这个机构在 “before year-end” 运转，时间表以「months」计[@src-ac3c32c0b0]；
    CNBC 同日报道[@src-17e98b29d0]。这两条为权威媒体转述，转述，非本人书面原文。

  3.5 「饱和的 benchmark 要退役」不是一句客套话

  提案里「评测每季度更新、饱和的 benchmark 要退役替换、机构最终要有能力自建 held-out 测试集」这三条， 在技术上指向同一个已经被反复观测到的现象：一套评测一旦成为公开目标，它的信息量就开始衰减。 榜单方法论的完整讨论在 第 11 章，这里只放两张能说明「为什么必须换题」的图。

    **图 10.1** 既有基准与新基准 HLE 的**同期对照**。这是 Demis 提案里「饱和就退役、机构自建 held-out 测试」的技术前提之一。
    **★先说清这张图到底是什么**：它是**一张单面板分组柱状图**，标题 “Accuracy of LLMs Across Benchmarks”，
    横轴是四个模型（GPT-4o / o1 / Sonnet-3.5 / Gemini 1.5），每组四根柱依次是 **HLE（斜纹）/ GPQA / MATH / MMLU**——
    **图上没有任何折线，也没有时间轴，因此它不是「饱和曲线」，也读不出任何「逐年攀升」**。
    像素标定读数（以 0 与 100 两条网格线定标，3.585 px/百分点，**误差 ±0.5 个百分点**）：
    MMLU 86.3 / 91.6 / 88.6 / 86.9；MATH 68.5 / 96.4 / 78.0 / 87.7；GPQA 50.1 / 74.3 / 64.6 / 58.2；
    **HLE 只有 2.6 / 8.5 / 3.8 / 4.3**。
    **要把这张图读准，必须把两件常被混为一谈的事分开**：
    **①「饱和」（saturation）**——**本图能支持的只有 MMLU 这一档**：四家挤在 86–92 之间、跨度不到 6 个百分点，
    在这批模型之间几乎不再有区分度；**而 MATH（68.5–96.4）与 GPQA（50.1–74.3）的跨度都在 25 个百分点上下，
    远谈不上「分数都挤在满分附近」**，把这两档一并说成饱和会读错本图。
    **②「污染」（contamination）**——题目或答案进入了训练数据，因此高分反映的是记忆而不是能力，
    这一点**本图不能证明**，它需要的是训练集比对、n-gram 重叠检测或 held-out 变体上的成绩对照，而本材料没有这类证据。
    **ceiling effect 只说明「区分不动了」，不说明「只是见过题」。**两者都指向「该换题了」，但它们是不同的诊断。
    **另注**：HLE 那一列的低分只说明「新题更难」，**不能反过来当作旧题被污染的证据**。
    [@src-1e6bc296de]出处：Humanity's Last Exam, arXiv:2501.14249, 2025
  
  
  
  
  
  
    **图 10.2** ARC-AGI-2 快照（2025-05-15），画的是**ARC-AGI-2 上的得分 vs 每题成本**。
    **形态先说清**：它**不是表格式榜单，而是一张黑底散点图**——纵轴 SCORE (%) **量程只开到 5%**，
    横轴 COST PER TASK 为 $1e-3→$1K 的对数轴；三角形为模型，虚线把同族模型串起来。
    经像素标定（横轴 269.3 px/十倍、纵轴 176 px/百分点），**全图最高的一个标注点是 o3-preview (Low)*：4.0% @ 约 $200**，
    其余绝大多数点落在 0%–1.5% 之间。**另注：图上不带任何日期**（2025-05-15 取自 ARC Prize 的图片文件名），
    左上角还有三四个**无标签的暗灰色圆点**（约 3.5%–4.5%，$0.005–$0.02），从像素上无法判定其含义，本材料不引用。
    它能支持的只有一句话：**在这个快照时点，前沿模型在 ARC-AGI-2 上的绝对得分很低**——
    也就是说，一套新题可以把区分度重新拉开，这正是「独立机构自建题库」这个设计的现实依据。
    **本图*不能*支持「同一批模型换一代题目后断崖式下跌」**：那需要**同模型、同 harness、同 effort 设置**下
    ARC-AGI-1 与 ARC-AGI-2 的**配对数据**，而本图只有 ARC-AGI-2 这一侧，本材料也没有取得可核的配对表，
    因此「断崖」这个说法已从本章删除。**另外，这是第三方组织的榜单快照，会随时间漂移，不作为能力排序使用**；
    ARC 系列的最新快照与跨版本比较纪律见 第 8 章的 benchmark 小节。
    [@src-79a8204bfb]出处：ARC Prize, ARC-AGI-2 Technical Report, 2025
  
  
  
  
  把 2023-10 的「IPCC → CERN → IAEA」与 2026-07 的「FINRA 式美国标准机构」并排，落差是刺眼的：
    前者是三级国际架构、由多边评估起步、最终要有一个真正能**审计**的机构；
    后者是单一司法辖区、由产业出资、初期完全**自愿**。
  
  **但把它读成「打脸」多半会读丢东西——更贴合证据的读法是「对约束条件的重估」**，
    而且他自己在文章里把重估的依据写出来了：
    国际协调在三年里没有出现，而竞赛在加速，「advances on the frontier are outpacing our understanding」[@src-4bf8f63483]。
    在这个前提下，一个能在几个月内落地的次优解，可能优于一个十年内不会出现的最优解。
    **本材料的读法是：他放弃的主要是等待，而不是标准。**
    **另一种读法也说得通，本材料无法排除**：单一司法辖区、产业出资、初期自愿的方案，
    对提案方本身也**更有利**——它把规则制定留在自家所在的法域、并把话语权留给出资方。
    这两种读法用同一批证据都能讲通，**要分开它们，需要看到他在这三年里对国际路线的内部推动记录，而这类记录不在公开范围内**。
  
  **可证伪判据**（本材料给出，请在 2027 年回头检验）：
    ① 如果到 2027 年这个标准机构**没有成立**，这个方案等于没发生；
    ② 即使成立，如果**没有任何一家实验室因它推迟过一次发布**，那么它就只是一层信息披露，不是约束。
    这两条都不依赖任何私有信息，公开记录就能判定。
  
  
  
  
  **（a）产业出资的自律组织天然存在监管俘获风险。**这不是对 FINRA 的抹黑，而是这一类组织的结构性属性：
    经费、人员与专业知识都来自被监管方时，机构实际能达到的严格程度会被被监管方的容忍度所约束。
    提案里唯一的对冲是「董事会包含独立技术专家与开源代表」——但董事会席位不能解决预算依赖。
  
  **（b）提案里没有写强制执行机制。**文本给的是「初期自愿 → 协议被证明有效后正式化」[@src-4bf8f63483]，
    但没有说明由谁认定「被证明有效」、正式化需要什么立法路径、以及在正式化之前如果某家拒绝送审会怎样。
    **一个能测但不能拦的机构，只是审计员，不是监管者。**
  
  **（c）「coordinating a slowdown among the Frontier Labs」在美国反垄断法下是敏感操作。**
    本材料的判断，非引用
    由竞争者协调产出节奏，正是反垄断审查最关注的行为类型之一；
    而提出这个方案的公司，恰恰正在打一场搜索反垄断官司，其中 Gemini 的分发方式已经被写进法院救济（见第七节）[@src-ec6d1e2586]。
    原文没有回应这个张力。**需要说清的是：本材料没有主张这个方案违法**——自律组织在特定豁免框架下协调标准是有先例的；
    本材料主张的只是：**一个不谈豁免路径的「协调减速」条款，在可执行性上是空的。**

  这一节引用的全部原话，与其余人物的可回溯原话一并收在 第 12 章金句库； 人物职位与任职时间以 第 2 章人物志 为准。

  四、AGI 时间表：四个人、四种门槛、一条被反复写错的引语

  4.1 Shane Legg 的 2028：出处比数字更容易写错

  「Shane Legg 早在 2009 年就说过 50% 概率 2028 实现 AGI」——这句话在中英文材料里都极常见， 而且是错的。三个日期必须分开：

| | 日期 | 场合 | 他实际说了什么 | 常见误写

| | 2009-12-07 | Vetta Project 博客^[15] | mode 约 2025、expected value 约 2028，90% 可信区间 2018–2036 | 原文没有「50% by 2028」这个说法

| | 2011-06-17 | LessWrong Q&A^[16] | 明确的 10% / 50% / 90% = 2018 / 2028 / 2050，附条件「无战争、无灾难、经济与政治发展良好」 | 引用时经常漏掉那三个条件

| | 2011-12-31 | Vetta Project 博客^[17] | 重申 log-normal 分布、mean 2028 / mode 2025 | —

| | 2023-10-26 | Dwarkesh Podcast（00:34:03 起）^[18] | “I think there’s a 50% chance that we have AGI by 2028. Now, it’s just a 50% chance.” | 把 50% 写成「他预测 2028 实现」

| | 2025-12-11 | Google DeepMind 官方播客^[19] | 仍把 2028 对应到 minimal AGI，full AGI 在其后若干年 | 把 2028 当成 full AGI 的时间

    表 10.3 · Shane Legg 时间表的完整出处链。**明确的「50% / 2028」出自 2011 年的 Q&A 与 2023 年的播客，不是 2009 年的博客。**






    I think there's a 50% chance that we have AGI by 2028. Now, it's just a 50% chance.

    I think it's entirely plausible but I'm not going to be surprised if it doesn't happen by then.


      Shane Legg
      2023-10-26
      Dwarkesh Podcast，00:34:03
      [@src-ac434519b1]来源





    我认为我们在 2028 年前拥有 AGI 的概率是 50%。注意，这只是 50% 的概率。

    我认为这完全说得通，但如果到那时没有发生，我也不会感到意外。


      译文
      译自左侧英文，以英文为准






他 2026-07 的职位是 **Co-founder and Chief AGI Scientist, Google DeepMind**，并领导 **AGI Safety Council**[@src-8efc32482a]。
  也就是说，这家公司里给出最激进时间表的那个人，同时是负责 AGI 安全治理的那个人——这个组合本身就值得记一笔。

### 4.2 Demis 的两条并列一手：区间与概率不是一回事

关于 Demis 的时间表，必须**同时**写两条，不允许只取其一：



    Scott Pelley: “On track for AGI in—”

      Demis Hassabis: “In the next five to ten years, I think.”


      Demis Hassabis
      2025-04-20
      CBS《60 Minutes》官方转录
      [@src-220f10f04f]来源





    My estimate is sort of 50% chance by in the next five years, so by 2030 let's say.


      Demis Hassabis
      2025-07-23
      Lex Fridman Podcast #475，00:52:33
      [@src-df5f9f07df]来源







  **合并口径（本项目统一）**：他的立场是 **5–10 年区间，其中约 50% 概率落在 2030 前**。
  **禁止**写成「Demis 保证 2030 实现 AGI」。区间与概率是两种不同的陈述：
  前者说的是可能性的边界，后者说的是可能性的中位。把二者混为一谈，正是第 4.5 节那张漂移图要处理的核心问题——
  那张图用颜色把「原话给年份」和「本材料把区间塌缩成一个点」明确分开了。


**比数字更值得追的是：这个时间尺度最初是从哪来的。**公开记录能追到的答案是**一个组织目标**，
  而不是从任何一条曲线推出来的。但这里有两个来源，用的**不是同一个词**，本章要求分级、**不得混用**：

| | 日期 | 出处形态 | 原文用的词 | 本章怎么用

| | 2025-05-23 | NYT Hard Fork 官方文字稿 | “Also, my timeline’s been pretty consistent since the start of DeepMind in 2010. So we thought it was roughly a 20-year mission, and amazingly we’re on track.”^[4] | **A 级一手。**正文一律写「20 年使命」

| | 2024-02-23 | 同一档节目另一期的 YouTube 字幕转录 | 把这个尺度说成写在 2010 年那份 business plan（商业计划书）里的 “20-year time scale”^[5] | B 级。「商业计划书」这个更具体的说法只出自字幕转录， 凡出现必须同时标明来源等级，不得升格成一手

    表 10.7 · 「20 年」这个尺度的两个来源。**「使命」和「商业计划书」不是同一个词，也不是同一个证据等级。**
      A 级那句只说了「大约二十年的使命」；「它写在一份商业计划书里」是 B 级字幕转录才有的细节。




2026-05 出现了一次值得单独记一笔的变化：他把区间收窄为「2030，正负一年」，并首次说 **2029 也有可能**，
  **给出的理由不是模型分数，而是「我们现在能看到 agent 真的在发生」**[@src-51b0a33364]。
  **本章把它记为：这是本轮调研找到的首个公开更新。**
  措辞请注意——是「本轮调研找到的首个」，**不是「十六年里唯一一次」**。
  要说「唯一」，需要一份完整的公开发言台账当分母（每一次表态的时点、原话、中心值有没有动），
  **本材料没有这份台账**，因此本章不做任何「唯一 / 从未 / 第一次」的全称陈述。


  **这一条直接关系到「AGI 2030」的地基，必须原样写出来：那份 2010 年商业计划书的实际文本，至今没有被取得。**
    本材料能拿到的、以及所有引用这个锚点的人能拿到的，只有**他本人事后的一句回述**——
    A 级那句是 2025 年说的，B 级那句是 2024 年说的，**两句都在事件发生十四年以后**。

  **它不构成造假嫌疑**：他在这件事上没有说谎的动机，而且他自己还拿这个锚点开过玩笑
    （「20 年项目通常永远还差 20 年」）。**但「没有动机撒谎」不是「已被核实」的同义词。**
    这句自述带来的后果有两条，都要写清：

  **① 这个锚点无法被第三方审计。**没有原始文本，就无法确认 2010 年写下的到底是什么、
    写的是哪一种「二十年」（成立到 AGI？成立到某个里程碑？还是一个融资文件里的常规期限？）。

  **② 无法判断当年的原文究竟写的是「20 年使命」还是「20 年商业计划」。**
    这不是咬文嚼字：一份**使命宣言**里的二十年和一份**商业计划书**里的二十年，
    在「它当初有没有被当成一个可检验的时点」这件事上完全不同。
    本章只能保留两种可能，并按等级分开标注。

  **由此还要撤掉一个常见的推理链。**可观察的事实只有一条：**这个中心值十六年基本没动。**
    从「稳定」推不出「可信」——不改口同样兼容「没有更新机制」，
    而要区分「校准良好」与「未被更新的先验」，需要一条独立的对照序列（同期第三方预测在往哪个方向移动）。
    **本材料未取到可直接引用的第三方对照序列**（本轮尝试抓取的公开聚合预测平台页面未能取得可稳定引用的快照），
    因此本章**不给出任何对照数字**，也**不把稳定性当作可信度的证据**。这两项缺口都已登记在第九节。



### 4.3 Sundar：不是「AGI 还很遥远」，是「略晚于 2030」



    Will the AI think it has reached AGI by 2030? I would say we will just fall short of that timeline, so I think it'll take a bit longer.

    I don't think we'll quite get there by 2030, so my sense is it's slightly after that.


      Sundar Pichai
      2025-06-05
      Lex Fridman Podcast #471，00:40:31–00:41:24
      [@src-835a58822d]来源





    到 2030 年，AI 会认为自己已经达到 AGI 了吗？我会说我们**刚好**会赶不上那个时间线，所以我认为它还要再久一点。

    我不认为我们能在 2030 年前完全到达，所以我的感觉是它会**略晚于**那个时间点。


      译文
      译自左侧英文，以英文为准







  **禁止概括为「Sundar 认为 AGI 还很遥远」。**他的原意是：2030 年前会有巨大进展，但 AGI 可能**略晚于** 2030。
  「just fall short」的语气是「差一点」，不是「差很远」。这两种概括在中文材料里被混用得非常普遍。



  “I would say my p(doom) is about 10%” 这句话是**主持人 Lex Fridman 说的**，出现在同一期节目的 00:44:34[@src-835a58822d]。
    **Sundar 全程没有给出任何 p(doom) 数字。**他的实际回答大意是：底层风险其实相当高，但他对人类抱有信心
    （转述，非逐字，逐字文本请回官方转录）。

  这条误传的传播路径很典型：播客里主持人与嘉宾的连续发言，在被剪成短视频或整理成文字摘要时丢掉了说话人标记，
    之后再被中英文自媒体互相引用放大。**凡是引用播客里的「某人说」，都必须能定位到时间戳。**



### 4.4 Jeff Dean：可引的只有 2016 年那一条，且必须连年份一起写

Jeff Dean 的年份预测，公开记录里**只有一条**可以引用：2016-07-18 的 Metis Strategy 播客录制，
  Forbes 于 2016-08-01 刊出编辑版[@src-6e409ab6cb]。他的原话是「15 到 50 年，可能更接近这个区间的下端」，
  紧邻的定义是「a system that is able to perform human-level reasoning, understanding, and accomplishing of complicated tasks」。

他 2025 年的现行立场是**拒绝给时间点**：



    The reason I tend to steer away from AGI conversations is lots of people have very different definitions of it and the difficulty of the problem varies by like factors of a trillion.


      Jeff Dean
      2025-08-21 发布
      The Moonshot Podcast: Deep Dive
      [@src-7d499e6b8f]来源





    我倾向于回避 AGI 这个话题的原因是：很多人对它的定义非常不同，而问题的难度会因此相差**上万亿倍**。


      译文
      译自左侧英文，以英文为准







  **另一条必须封杀的引语。**流传甚广的 “I don't know if AGI is 5 years or 50 years away…” **查无一手出处，禁止使用**。
  可引的准确数字只有 **15–50 年（2016 年）**，且引用时必须连年份一起写，不能当作他 2025/2026 年的现行观点。



  **准确的说法是：在不标注门槛与概率时，「AGI 在 2030 年前后」这类表述的判别力很低。**
    本章此前版本里出现过的「趋近于零」「不承担任何风险」「它只是一个态度」这类措辞
    **已按本轮返工意见全部降级**——它们把「低」写成了「零」，而这两者的差别正是本节要讲的东西。

  **判别力低，有一条很硬的证据支撑**：这家公司的首席科学家公开说，
    AGI 的定义不同会让这个问题的难度**相差上万亿倍**，并且**拒绝给出任何新的时间点**
    （见上方引语[@src-7d499e6b8f]）。
    一个量纲能差十二个数量级的目标，配上一个不标门槛的年份，确实很难被用来做任何决策。

  **但它仍然携带信息，这一层必须写出来，否则就是把「弱证据」当成「无证据」。**
    「2030 年前后」这句话至少排除了两端：**它排除了「AGI 在 2027 年前到达」**——
    说这话的人不认为两年内会发生，因此不会据此做两年内的应急安排；
    **也排除了「AGI 在 2060 年后」**——他不认为这是下一代人的事，
    因此愿意在今天为它调整组织与治理安排（第一节的 FSF、第三节的标准机构提案都建立在这个前提上）。
    **一个把可能区间从「任何时候」压到「大致这三十年的前三分之一」的陈述，判别力低，但不是零。**

  **正确的批评落点因此要换一个**：不是「这句话没有信息」，
    而是**「它的信息量不足以支撑它被使用的方式」**——
    它被用来论证资本开支节奏、监管紧迫性与人才竞争，而这些用途需要的精度，远高于一个不标门槛的年份能提供的精度。



### 4.5 把这些点画在同一张图上：预测在漂移，还是在锚定？



    AGI 时间表预测的漂移图（2011–2026）
    横轴 = 说这句话的时间，纵轴 = 被预测的 AGI 年份 · **颜色 = 这个纵坐标是怎么来的**（绿=原话给年份／黄=区间编码／红=模糊措辞编码）· 悬停看编码类型与原话 · 点图例可隐藏某一类





    **第一件要看的事：颜色，不是点位。**这张图上的九个点，纵坐标有三种完全不同的来源，
      本图**用颜色把它们分开**，每个点的悬停提示第一行也写明属于哪一类：
      **① 绿色 = 原话直接给出年份**（无换算，可以直接当作陈述读）；
      **② 黄色 = 区间编码**（原话给的是数值区间，纵坐标是本材料取中值或下端的结果）；
      **③ 红色 = 模糊措辞编码**（原话根本没有数字，纵坐标完全是本材料的主观折算）。
      **只有绿色的点可以当成「他说了这个年份」；黄色和红色的点位是本材料造出来的，不是任何人说过的话。**

    **第二件事：谁真的形成了水平线。**如果某个人的点随发言时间**平行右移**（与灰色虚点参考线同向），
      说明他的预测是「永远还有 N 年」——时间过去了，终点也跟着退，这种预测无法被证伪。
      如果某个人的点**水平不动**，说明这是一个**承诺锚定**：不管中间发生了什么，终点不变。
      按这个标准逐个看：

• 只有 Shane Legg 形成了真正的水平线：三个点（2011 / 2023 / 2025）全部落在 2028， 而且三个点全是绿色——不依赖本材料的任何编码。这条水平线已经维持了十五年。

• Demis 不构成水平线。他的四个点在 2029.5–2032.8 之间移动，跨度超过 3 年； 其中只有 2025-07 的 2030 是绿色（原话给年份），另外三个分别是区间编码与模糊措辞编码。 本图此前图注里「Demis 也是水平锚定」的说法不成立，已删除。 他的时间表稳定在「2030 前后」这个量级上是可以说的，说「锚定在一个年份上」不行。

• **Sundar 只有一个点，而且是红色。**2031 完全是本材料对「slightly after that」的 +1 年编码， 他从未说过 2031。单点也谈不上水平或漂移。

• Jeff Dean 只有一个点，而且是 2016 年的旧估计。2031.5 是把「15–50 年」压到区间下端的结果 （依据是他自己那句 “probably closer to the lower end”），换成中值会跳到 2049。 他 2025 年的现行立场是拒绝给时间点，所以这个点不能代表他现在的观点。

    **三点技术说明。**① 本图 x 轴跨 19 年、y 轴跨 8 年，两轴刻度不同，所以「等距未来」参考线在视觉上并不是 45°；
      图中那条灰色虚点线就是它（\(y = x + 5\)），只在它落入 y 轴范围的区段内绘出。
      ② **本图没有画 error bar**：Jeff Dean 那条区间的上端是 **2066**，把它画出来会把 2028–2033 这一段完全压平，
      Demis 2025-04 的区间上端 2035.3 也超出 y 轴范围。**原始区间一律写在下方的编码表里，请以表为准。**
      ③ 数据点的换算方式逐条见下方说明块，来源见本页脚注。

| | 人物 | 编码类型（= 图上的颜色） | x（发言时间） | 原话 | y（图上的 AGI 年份） | 原始区间 | 换算方式

| | Shane Legg | ① 原话给年份（绿） | 2011.46（2011-06-17） | 10%/50%/90% = 2018 / 2028 / 2050^[16] | 2028 | 2018–2050（10%–90% 分位） | 原话直接给出 50% 分位，未做任何换算

| | Shane Legg | ① 原话给年份（绿） | 2023.82（2023-10-26） | “50% chance that we have AGI by 2028”^[18] | 2028 | — | 原话直接给出

| | Shane Legg | ① 原话给年份（绿） | 2025.94（2025-12-11） | 仍把 2028 对应到 minimal AGI^[19] | 2028 | — | 原话直接给出

| | Demis Hassabis | ① 原话给年份（绿） | 2025.56（2025-07-23） | “50% chance by in the next five years, so by 2030 let’s say.”^[20] | 2030 | — | 原话直接给出年份

| | Demis Hassabis | ② 区间编码（黄） | 2023.34（2023-05-02） | “we could be just a few years, maybe within a decade away”[57] | 2029.8 | 2026.3–2033.3 | 区间中值，本材料的编码：「a few years」取 3 年 → 2026.3，「a decade」→ 2033.3，取中点。注意下端本身是模糊措辞折算来的

| | Demis Hassabis | ② 区间编码（黄） | 2025.30（2025-04-20） | “In the next five to ten years, I think.”^[21] | 2032.8 | 2030.3–2035.3 | 区间中值，本材料的编码：取中点。上端 2035.3 已超出图的 y 轴范围

| | Jeff Dean | ② 区间编码（黄） | 2016.55（2016-07-18） | “fifteen to fifty years away—probably closer to the lower end of that range”^[22] | 2031.5 | 2031.5–2066.5 | 取区间下端（2016.55 + 15），不是中值——依据是他自己那句 “closer to the lower end”；取中值会跳到 2049。这是 2016 年的旧估计，不代表他 2025/2026 年的立场

| | Demis Hassabis | ③ 模糊措辞编码（红） | 2026.53（2026-07-14） | “probably only a few short years away”^[8] | 2029.5 | 原话无数字 | 全图最主观的一点，本材料的编码：「a few short years」取 2–4 年，中值 3 年

| | Sundar Pichai | ③ 模糊措辞编码（红） | 2025.43（2025-06-05） | “slightly after that”（指 2030）^[23] | 2031 | 原话无数字 | 本材料的编码：「略晚于 2030」没有给出具体年份，编码为 +1 年。他从未说过 2031

  **四条必须说清的诚实边界：**

  ① **凡是标「本材料的编码」的点，纵坐标都不是原话，是本材料把一句话塌缩成一个点的结果。**
    任何区间在本图里都没有被悄悄塌缩——每一次塌缩都写在上表里，且原始区间一并给出，图上也用颜色标出了它属于哪一类。

  ② **颜色只解决了三类里的一层，纵轴上仍然混着不止一种语义。**
    本轮把「原话给年份 / 区间编码 / 模糊措辞编码」用颜色分开了，但即使在绿色这一类内部，语义也不完全一致：
    Shane Legg 的 2028 是他自己那条 log-normal 分布的 **50% 分位（也是 expected value）**，而他的 **mode 是 2025**；
    Demis 的 2030 是他口头给出的「50% 概率之前」；官方安全论文的 2030 则是一个 “plausible” 的定性判断，根本不是分位数。
    **把 mode、mean、概率分位与定性措辞放在同一根纵轴上，本身就是一次不可逆的信息损失**——
    本图只能用来看「有没有漂移」，**不能用来比较谁的年份更早或更晚**。

  ③ **「区间中值」与「50% 概率年份」在语义上不等价。**前者是可能性边界的算术中点，后者是主观概率分布的中位数。
    本图把两者画在同一根纵轴上，是为了可比，但这本身是一次简化。

  ④ **最刺眼的一处就在 Demis 自己身上**：2025-04 的「五到十年」按中值算是 2032.8，2025-07 的「50% by 2030」是 2030，
    相隔三个月、换算结果差了近 3 年。这不能证明他改了主意，只能证明**「把区间读成点」这个动作本身会制造出不存在的漂移**。
    这也是本图存在的理由：不是为了给谁排名，而是为了展示**把一句话变成一个坐标要付出多少假设**。



### 4.6 反方：四个具名的人认为这条时间表的技术前提不成立

上面几节处理的都是「谁说了哪一年」。但还有一层必须写：**有一批具名的人认为，
  支撑这些年份的那条技术路线本身不成立。**把他们放进来不是为了平衡版面——
  如果他们是对的，上面那张漂移图讨论的就不是「早两年还是晚两年」，而是「这条路线要不要换」。
  下面这一块按四个人分开写，**因为他们反对的不是同一件事**；每个人都必须带上他自己的限定，否则就是稻草人。


  **本块按 SPEC §0.8 的四段式写，并遵守本项目辩证性的第二条硬约束：
    反方成立只意味着正方需要限定，不等于反方成为新真因。**
    自检标准是——如果这四位读到这段，他们应当同意「这确实是我的论点」，
    并且应当同意「这里写下的限定，也确实是我自己承认过的」。


  把 AGI 放在 2029–2031，隐含了一个前提：**当前这条以自回归语言模型为主干、
    靠扩大规模与后训练推进的配方，是通往那个目标的正确配方**，剩下的只是时间与算力。
    反方主张的是：**这个前提本身没有被证明**——四个人分别指向配方的四个不同弱点，
    因此「还差几年」这个问法可能问错了。




  四个人，四条独立论证，**每条都附上它自己最脆弱的地方**：

• Yann LeCun · 自回归误差累积。他的形式化论证是：每个 token 有概率 (e) 走出正确答案的集合， 长度 (n) 的答案正确概率 (P=(1-e)^n) 指数衰减，因此「不做大改就修不好」^[24]。 ★必须一并标注他这条论证最脆弱的那个假设：((1-e)^n) 成立的前提是 “assuming independence of errors”（误差彼此独立）——这句限定是他自己写在后续版本幻灯片上的， 但真实模型的误差并不独立：思维链、自我复核、外部验证器都在制造相关性， 2024–2026 的推理模型恰恰是靠打破这个独立性来提高长程正确率的。 这是该论证被反驳的主要入口；他的辩护是「自我纠错本身也是自回归的，只是把问题推迟一层」， 而这个辩护没有被量化验证过。

• François Chollet · 记忆而非推理。他的核心批评是：智能应当用技能获取效率衡量， 而不是技能水平；LLM 在分布内插值极强，在需要临场程序合成的任务上极弱^[25]。 ★必须同时引他对 o3 的评价，否则就是 strawman：他在 ARC Prize 官方博客里逐字写过 “This is not merely incremental improvement, but a genuine breakthrough”， 并说它修复了 LLM 范式「无法在测试时重组知识」这个根本局限； 同一篇里他也写了 “I don’t think o3 is AGI yet”^[25]。 他不是全盘否定派，他是「这条路有真进展、但衡量方式错了」派。

• **Richard Sutton · 模仿人说什么，不是模仿世界会发生什么。**他的论证是： 《The Bitter Lesson》说的从来不是「大就是好」，而是「可扩展的学习与搜索赢」； 往系统里灌人类知识恰恰是 bitter lesson 反对的那一类^[26]。 ★「dead end」这三个字是主持人给那期节目起的标题概括，不是他的原话，本章不加引号署名给他。 可以引的是他与 David Silver 合写、由 Google DeepMind 官方域名托管的 《Welcome to the Era of Experience》里的原文： “In key domains such as mathematics, coding, and science, the knowledge extracted from human data is rapidly approaching a limit.”^[26] 他自己的限定是：这是历史归纳（过去每一次都如此），不是当下的实证—— 截至冻结日，还没有一个「从经验中学习」的系统在同等算力下超过 LLM。

• **Ilya Sutskever · 回到研究时代。**他的判断是：2020–2025 是 scaling 的时代， 而「把规模乘以 100 一切就会被改变」这个信念不成立，所以又回到了研究的时代，只不过这次带着大计算机^[27]。 ★这一条是本材料里唯一一对当面对撞的一手引语：Demis 在达沃斯直接回应了同一个命题， 两句必须并排放，不允许只放一边。

      Is the belief that if you just 100x the scale, everything would be transformed? I don't think that's true. So it's back to the age of research again, just with big computers.
  
  
        Ilya Sutskever
        2025-11-25
        Dwarkesh Podcast 官方转录
        [@src-24bdaf0e46]来源
  
  
  
  
  
      My view is we never left the age of research.
  
  
        Demis Hassabis
        2026-01-20
        Bloomberg House @ Davos，直接回应上一句
        [@src-99bf9aa644]来源
  
  
  
  
  
  
  
  
  
  这四条各自成立的条件不一样，**而且没有一条的成立条件在冻结日被满足**：

• LeCun 成立的条件：需要证明自我纠错机制只能把误差相关性推迟一层、不能消除它。 这需要一个量化实验，双方都没有做。

• Chollet 成立的条件：需要「技能获取效率」这个指标在他自己的 benchmark 之外也能区分系统。 他的定义是自洽的，但目前主要由他自己维护的测试集来实现。

• Sutton 成立的条件：需要一个「从经验中学习」的系统在同等算力下超过 LLM。这样的系统目前不存在。

• Ilya 成立的条件：需要「研究时代」真的产出一个不靠继续扩规模的突破。尚未发生。

  **这四条削弱的是「scaling 单独足够」，不是「Gemini 这条路线走不通」。**
    请注意这两句话的差别：前者说的是「当前配方不足以单独完成剩下的路」，
    后者说的是「换一条路才对」。**只有前者有证据支撑。**
    后者需要一个独立的识别策略——你得能指出「如果换成 JEPA / 经验流 / 程序合成，结果会不同」，
    而这需要一个对照实验，**四个人都没有提供，本材料也拿不到。**
  
  **而且这四条与正方的距离，可能比表面上看起来小得多。**
    Demis 自己在同一场达沃斯里说：仅靠扩展够不够是「a 50-50」，可能还需要「一两个突破，也许一小把——少于五个」。
    **「还需要少于五个突破」和「当前配方不够」在命题层面并不冲突**；真正的分歧在于
    **这些突破会不会在现有路线内部长出来**，而这一点双方都只有信念，没有证据。
  
  **最后一层折扣，两边都要打。**这四人中已有三人各自创业或转投
    （LeCun 离开 Meta 创办 AMI Labs、Chollet 创办 Ndea、Ilya 创办 SSI），
    **他们的立场与自己的商业利益不完全独立**——一家主打「非 LLM 范式」的公司需要「LLM 不够」这个前提成立。
    **对称地，正方也要打同一种折扣**：Demis 与 Google 的资本开支、招聘与叙事全部押在当前配方上，
    「再有几个突破就到」同样是一个对提案方有利的叙事。
    **本章不用「谁有利益」来判谁对**——利益关系只降低单方证言的权重，不构成对命题的反驳。

  4.7 David Silver 离职：一条关于路线的内部分歧证据，不是一次时间表投票

  上一节 Sutton 那篇文章的共同作者，是 David Silver——AlphaGo 与 AlphaZero 的负责人， 也就是 Demis 反复用来论证「DeepMind 有别人没有的搜索与强化学习传统」的那条血脉本身。 可写的事实有三条^[28]：

• 他于 2026-01 离开 Google DeepMind，创办 Ineffable Intelligence； GDM 发言人向 Fortune 确认了离职，但确切离职日未披露。

• 公司于 2025-11 在伦敦注册，他于 2026-01-16 被登记为 director（英国 Companies House 备案）； 2026-04 有约 11 亿美元规模的融资报道，属媒体口径，本材料未取到公司或投资方的一手公告。 注意不要与本章第八节 Isomorphic Labs 的融资数字混用，那是另一家公司、另一组数。

• 他与 Sutton 合写、由 Google DeepMind 官方域名托管的《Welcome to the Era of Experience》写明： 人类数据中可提取的知识正在迅速接近极限^[26]。

  **不可写的三句话：**「这是对 AGI 2030 最有力的组织级反证」「他用职业选择表达了对时间表的判断」
    「AlphaGo 的负责人不相信 2030」。三句都超出了证据。
  
  **理由一：离职或创业不自动等于当事人反对原公司的 AGI 时间表。**
    创业的动机集合很大——路线自由度、股权、组织规模、想做的问题不在原公司的优先级上，
    任何一条都能单独解释这次离开，**而公开记录不足以在它们之间做区分**。
  
  **理由二，也是更关键的一条：他那篇文章说的是「人类数据的极限」，这与「AGI 何时到达」是两个不同命题。**
    「需要新范式」和「2030 年到不了」之间**没有逻辑蕴含关系**——
    一个新范式完全可能在 2030 年前跑出来（这恰好是他创业要做的事），
    那样的话「人类数据见顶」不但不推迟 AGI，反而是加速它的理由。
    **把这条证据读成一次时间表投票，需要一个额外前提：「新范式在 2030 年前来不及」。
    这个前提本材料没有，他本人也没有公开给过。**
  
  **因此本章的处理是**：把它作为**一条关于路线（而非时间表）的内部分歧证据**呈现。
    它的证据价值在于——「人类数据的可提取知识接近极限」这个判断，
    **不是外部批评者的意见，而是写在 Google DeepMind 自己托管的文本里、由自己的核心研究者署名的**。
    这一层是硬的，也已经足够；再往前一步就要靠假设了。此条已登记在第九节的脆弱性表。

  五、核心追问：为什么「AGI 2030」和「AGI 还早」能在同一家公司并存

  5.1 第一层答案：三套互不兼容的门槛

  这个问题在被提出时，通常预设了「同一个词、同一个含义」。而事实是：同一家公司里，至少有三套门槛在同时使用， 而且它们之间相差的不是几年，是能力量级。

| | 门槛 | 定义者 | 标准 | 对应表态

| | minimal AGI | Shane Legg | 能做「典型人」能做的认知任务 | 2028，50% 概率^[18][19]

| | Exceptional AGI | Google DeepMind 官方安全论文（2025-04-02） | 熟练成人的第 99 百分位 | 官方措辞：“we find it plausible that they will be developed by 2030”^[3][29]

| | 体感 AGI | Jack Rae（时任 Gemini 2.5 技术负责人） | 用起来的主观感受，没有可操作的判据 | “I feel the AGI using 2.5 Pro”（2025-04）^[30]

    表 10.4 · 同一机构、同一时期并存的三套 AGI 门槛。
      **结论：「GDM 的 AGI 时间表」这句话在不说明门槛时，判别力很低**（低不等于零，尺度见第 4.4 节末尾那一块）。
      第三行的说话人当时任 Gemini 2.5 技术负责人；其 2026-07 的所属在本项目两份基线文件之间存在冲突，已登记在第九节。




把三套门槛代进去，那些看起来打架的表态立刻各归其位：Legg 的 2028 说的是 minimal，
  机构口径的 2030 说的是第 99 百分位，而 Demis 的「5–10 年 / 约 50% 概率落在 2030 前」用的是他自己那套更高的门槛
  （匹配大脑的全部认知功能、跨领域一致、且要有真正的发明与创造）[@src-df5f9f07df]。
  **它们不是三个答案，是三个问题。**

### 5.2 第二层答案：门槛解释不了 Sundar

但门槛这一层有个漏洞：Sundar 谈的其实是同一个东西（Lex 问的就是「2030 年 AI 会认为自己达到 AGI 了吗」），
  他给的答案还是「略晚于 2030」[@src-835a58822d]。所以真正需要解释的不是三套门槛，
  而是**为什么同一家公司的 CEO 与研究负责人，在同一个问题上稳定地保持一个方向相同、幅度很小的偏差**。


  **先把结论写在前面，因为这一条是本材料被引用较多的论断，最容易被读成比证据更强的东西：**
    「角色分工」这个说法底下装着**三条互相独立的机制**，它们的证据强度**不在一个档上**。
    本轮返工把它们拆开分级，**不再合并成一个「分工说」整体出售**。

| | 机制 | 本章的定级 | 它能解释什么 / 已知在哪里失效

| | (a) 门槛不同 | 有证据，保留为最强解释 | 就是上面表 10.4：三套门槛相差的是能力量级，不是几年。 能解释 Legg 与 Demis 的差异；解释不了 Sundar——Lex 问的和他答的是同一个门槛。

| | (b) 受众不同 | 降级为「部分解释」 | 机制本身有面上的合理性，但有一条现成的反例说明它不是充分解释——见下方。 反例不证明受众效应不存在，只证明「受众相同」时差异依然出现。

| | (c) 问责距离不同 | 候选解释，尚未获得识别策略 | 不删除，但必须写清它的可证伪性问题：「问责距离」这个变量目前 没有可操作的测量方式，因此它是一个待检验的候选机制，不是已验证的机制。

      表 10.4b · 「分工说」拆成三层之后的定级。**本材料无法判定这三者的相对权重**——
        没有任何一个观测能同时给三条打分，因此本章不写「主要是 (a)」这类排序。




  **（a）门槛不同。**就是上面那张表。这一条能解释 Legg 与 Demis 的差异，但解释不了 Sundar。
    它是三条里唯一有**可直接核对的文本证据**（三套门槛都有官方或本人的定义）。

  **（b）受众不同——机制描述，以及它已知的失效情形。**
    Demis 面对的主要是研究界与政策界，Sundar 面对的主要是财报电话会与反垄断法庭。
    **一句「AGI 快到了」在前一个场合是资产，在后一个场合是负债。**
    在财报语境里它意味着未兑现的预期管理风险；在反垄断语境里，「我们即将拥有一种通用能力」这种表述，
    对一家正在被要求拆解分发排他协议的公司来说，是对方律师最想要的引语。
    **但下面这条现成的反例说明它不是充分解释：**


    You did a panel yesterday with Sergey Brin… he has shorter A.G.I. timelines than you. He thought A.G.I. would arrive before 2030, and you said just after. He actually accused you of sandbagging; basically, like artificially pushing out your estimates so that you could underpromise and overdeliver. But… presumably you and Sergey have access to all the same information and the same road maps.


      Kevin Roose（主持人）
      转述
      2025-05-23
      NYT《Hard Fork》官方文字稿 · **主持人转述，非 Brin 原话**
      [@src-b359d69cbe]来源




  **★这段话的归属必须写死，不得简化。**说这段话的是主持人 Kevin Roose；
    「sandbagging」是他**转述** Sergey Brin 当面对 Demis 的指控（故意把估计推后，以便低承诺、高交付）[@src-b359d69cbe]。
    **本材料没有 Brin 本人的一手原话，因此这条不得直接署名给 Brin，也不得进金句库。**

  **这条反例削弱了什么、没削弱什么。**Roose 在同一段里补了关键的一句：
    **两人看的是同一份路线图**。也就是说，这里出现了一个「受众相同、信息相同、结论仍不同」的实例
    （同一场 I/O、同一个台上问答、同一批听众）。
    **它说明「受众不同」不是充分解释**——至少存在一种情形，受众这个变量被固定住了，差异依然存在。
    **但它不能推出「受众效应不存在」**：一个反例证伪的是「受众差异足以解释全部差异」这个全称命题，
    不是「受众会影响措辞」这个机制命题。把前者的证伪当成后者的证伪，正是本项目第二条硬约束点名的那种过度推翻。
    **因此 (b) 的正确处理是降级为「部分解释」，并写明它失效的具体情形，而不是删掉它。**

  **（c）问责距离不同——保留，但必须如实写出它的可证伪性问题。**
    机制表述是：CEO 的时间表会被写进类似招股书的预期管理体系，是可被追责的；
    研究负责人的时间表只被写进播客，追责成本接近于零；**预测的激进程度与问责距离成反比**。
    **问题在于：「问责距离」目前没有可操作的测量方式。**
    它没有单位、没有分级标准，也没有一个独立于结论的方法把某个场合判为「高问责」或「低问责」——
    于是无论观察到什么，事后都能找到一个说法把它归进来。
    **这不足以判它出局，但足以判定它现在还不是一个已验证的机制，而是一个尚未获得识别策略的候选解释。**

  **要把 (c) 变成可检验的，需要什么：**一份**同一人在不同问责场合的措辞配对样本**——
    同一个人、同一时间窗、同一个问题，一次出现在低问责场合（播客、研究会议），
    一次出现在高问责场合（财报电话会、宣誓证词、监管听证），比较他给不给年份、限定词密度与区间宽度。
    **只有配对样本能把「问责距离」与「这个人本来就这么说」分开。**
    **本材料没有找到 Demis 出席 Alphabet 财报电话会或作证的语料，因此这条至今无法检验**；
    它不是被证伪，也不是被证实，而是缺少检验条件。这项缺口已登记在第九节。

  **★本节的结论应当这样写，不要压缩：**
    **不写「所以是分工」，也不写「所以分工说不成立」。**
    证据支持的是——**(a) 有证据、(b) 部分成立且已知失效情形、(c) 缺识别策略**，
    三者是并列的竞争解释，**而本材料无法判定它们的相对权重**。
    要做权重判定，需要一个能同时对三条打分的观测设计，本材料没有。




  **反驳一：整套解释无法与「他们真的想法不同」区分开。**
    分工假说（无论哪一层）与「两个人对同一件事有不同判断」这个最朴素的解释，在现有证据下**观测等价**。
    要区分，需要看到内部一致的口径文件或事前协调的证据，这类证据不存在于公开记录。
    **注意这条反驳同时也抬高了最朴素解释的地位**：在没有识别策略之前，
    「他们看法不同」与「他们按角色说话」是**并列**的候选，不是前者被后者取代。

  **反驳二：偏差的幅度太小，可能只是噪声。**「2030 前 50%」与「略晚于 2030」之间的距离，
    小于同一个人在不同访谈里的措辞抖动（见第 4.5 节：Demis 自己两次表态换算后差了近 3 年）。
    用一个比噪声还小的信号去支撑一个结构性解释，是过度解读的典型形式。
    **这条反驳对三层同时生效**，而且它不需要任何私有信息就能提出。

  **原「反驳三：它可以被用来解释任何事」已并入上面的 (c)。**
    上一轮有过一个建议是「(c) 不可证伪，直接删掉」，**本章不采纳**：
    **「目前缺少测量方式」和「原则上不可证伪」是两件事。**
    前者可以被一份配对样本解决，后者不能。把前者当后者处理，就是用「无法检验」当作「已被否定」——
    与本材料反复批评的那种跳跃同型，只是方向相反。



## 六、安全与商业的张力：2025-02-04 的同日双动作

### 6.1 同一天，两个方向相反的动作

2025-02-04 这一天发生了两件事，它们分别是本章第一节与本节的主角：

- 2025-02-04 Google DeepMind 发布 Frontier Safety Framework v2.0

      官方标注的三项变化：**① 提出 Security Level 建议**（对达到 CCL 的模型权重给出分级防外泄要求）、
        **② 更严格的部署缓解与 safety case 流程**、**③ 对 deceptive alignment 给出探索性方法**。
        **2025-02-04 是发布日 / 版本日期，官方没有为 v2.0 指定单独的生效日**；版本与日期见 v3.0 PDF 的「Past versions」一节[@src-3c56c8c2a7]。

      安全框架2025

- 2025-02-04 Google 从公开的 AI 原则里删除整个「Applications we will not pursue」小节

      被删掉的内容包含不将 AI 用于**武器**、以及不用于**违反国际公认规范的监控**的承诺。
        旧文本（存于 Internet Archive）承诺不追求
        “weapons or other technologies whose principal purpose or implementation is to cause or directly facilitate injury to people”
        与 “technologies that gather or use information for surveillance violating internationally accepted norms”。
        **同时被改掉的还有第一条目标里的那道普适门槛**：旧版写的是
        “will proceed where we believe that the overall likely benefits substantially **exceed** the foreseeable risks **and downsides**”，
        新版改为 “where the likely overall benefits substantially **outweigh** the foreseeable risks”——
        **动词换成 outweigh，「and downsides」被去掉**[35]。
        四家权威媒体在同日报道了这一变更[@src-6a2a07927e][@src-d1d76f0c94][@src-eb93bb7ebd][@src-da87d05bf6]。
        **★「exceed … and downsides」属于旧版，本材料此前误记为新版，已更正，见紧接着的更正块。**

      AI 原则2025







  **这是本章一次方向性的归属错误，2026-07-26 用 Internet Archive 逐个快照比对后更正。**
    那句「overall likely benefits substantially **exceed** the foreseeable risks **and downsides**」
    **不是 2025-02-04 的新表述，而是 2018 版原则里第一条目标「Be socially beneficial」的原话**——
    也就是这次改版**删掉**的那个版本。

| | 时点（快照） | 页面上的门槛表述 | 「Applications we will not pursue」

| | 2025-01-20（改版前） | …will proceed where we believe that the overall likely benefits substantially exceed the foreseeable risks and downsides | 在（四条齐全）

| | 2025-02-05（改版后不到一天） | Developing and deploying models and applications where the likely overall benefits substantially outweigh the foreseeable risks | 已整段删除

| | 2026-07-26（本次复核活页面） | 与 2025-02-05 逐字相同 | 无

    表 6.0 · 三个时点的原则页对照。**2025-02-04 之后页面没有再被改写过**——变的是 2025-02-04 那一次。


  **这个错误是怎么进来的**：CNBC 2025-02-04 的报道[@src-da87d05bf6]把旧版**同一句话**拆成了两半，
    前半句（“take into account a broad range of social and economic factors”）记作「previous version」，
    后半句（“proceed where … **exceed** … **and downsides**”）记作「the new AI principles」。
    **但这两半在 2025-01-20 的快照里是同一个句子，都属于旧版。**本材料照抄了 CNBC 的这个划分。

  ★**更正之后，这次改版的方向反而更清楚了，而且是单向的：**

• 「and downsides」消失了。旧版要求收益压过风险与负面影响两样，新版只要求压过风险。 需要被抵消的东西变少了。

• exceed → outweigh。exceed 暗示可比较的量级，outweigh 是更常见也更含糊的权衡说法。 单独看是措辞偏好，但与上一处同向。

• **四条禁令整段消失。**这是三处里最实质的一处，也是四家媒体当日报道的焦点。

  **这次更正推翻了下方反方块原先最强的一条依据**——原先写「新文本**增加**了一道普适门槛，旧版没有」。
    事实是：**旧版第一条目标本身就是那道普适门槛，而且措辞更严。**该条已按事实重写，见 6.1 反方块第二项。
  
  **方法论教训（本章第九节的一个实例）**：REVIEW-10 的审计查出了「这句话不在现行页面上」，
    但把原因判成了「页面后来被改写」，并建议改引 CNBC「已核，确含该句」。
    **CNBC 确实逐字含有该句——错的不是字符串，是归属。**
    **核到了字符串不等于核到了归属；只有把改版前后的快照并排看，才能判断一句话属于哪一版。**

  配套的官方博客由 Demis Hassabis 与 James Manyika 共同署名，给出的理由是 「There’s a global competition taking place for AI leadership within an increasingly complex geopolitical landscape」^[31]。 也就是说，删除这一节的公开理由是地缘竞争，而不是伦理判断的更新。

  这两个动作看起来矛盾，但有一个解释能同时容纳它们：**在 Google 的公开治理文本里，「能力」与「用途」是两本分开的账。**
    （下面这段是本材料的判断；紧接着的反方块会给出一个同样有依据的竞争解释，请两段一起读。）
  
  FSF 以模型**能力**为触发条件——多强算危险、达到某个能力等级要上多高的防护。
    AI 原则谈的是**应用领域**——这个能力可以被用来做什么。两份公开文本之间**没有交叉引用，也没有写明共同的裁决机构**。
    在这个意义上，同一天里一份变细、另一份被删，**在文本层面不产生冲突**；
    至于组织内部是否感到不一致，公开记录不足以判断，本材料不作断言。
  
  由此得到本章最重要的一个结构性判断：**当治理体系以能力为触发条件时，一旦某项能力被判定为「已缓解到位」，
    「它接下来被用在哪里」就不再有一个*公开的*约束层来接管。**
    FSF 的逻辑终点是「缓解到位就可以部署」；旧版 AI 原则里被删掉的那一节，是本材料能找到的**公开文本中最明确的一处用途维度硬约束**
    （注意限定语：**公开文本中**——内部是否另有用途审查，公开记录无法判断）。
  
  这个判断有一个直接的观察推论，读者可以自己检验：**在 2025-02-04 之后，Google 在公开文本里关于「不做什么」的表述，
    主要形式从「我们不会追求 X」变成了「我们会在收益显著超过风险时推进」。**
    前者是承诺，后者是标准；承诺可以被第三方检验，标准的适用只能由自己解释。
  
  
  
  
  **本块按 SPEC §0.8 的四段式写。要求是 steelman：用反方最强的版本，不许找一个容易驳倒的说法来陪衬。
    本材料的自检标准是——如果持这一立场的人读到这段，他应当同意「这确实是我的论点」。**
  
  
  「同一天」是一个引人注目的巧合，但它**不构成因果**，也不构成两个动作出自同一决策的证据。
    更合理的解释是：那一节 2018 年写下的禁令，到 2025 年在文本上**已经过时且过窄**，
    删掉它是一次**文本更新**；用途维度的约束并没有消失，而是**换了一种写法**——
    从「列举禁区」改成了「按能力触发 + 逐案评估」。
  
  
  
  
  这一侧有四条可查的依据，都不是本材料替反方编的：

• 新文本并非空白。现行 AI 原则仍写明会 「stay consistent with widely accepted principles of international law and human rights」[35]。 这是一个有外部参照系的约束，不是纯粹的自我裁量。

• 新文本保留了一道普适评估门槛。现行原则第一条写明只在 “the likely overall benefits substantially outweigh the foreseeable risks” 时推进[35]， 它适用于所有推进决策，不像四条禁令那样只覆盖被列举的场景。 ★但这一条不能再按本材料原先的写法用了：原先写「这是新增的门槛、旧版没有」—— 那是错的。快照比对显示，旧版第一条目标 “Be socially beneficial” 本身就是这道门槛， 而且措辞更严（exceed，且要求压过 risks and downsides 两样）。 因此真实的对照是：从「四条禁令 + 较严的普适门槛」变成「无禁令 + 较松的普适门槛」。 反方在这一项上能守住的只剩「普适门槛仍然存在、并非空白」， 守不住「覆盖面孰宽孰窄并不显然」——在这两个维度上新版都不比旧版宽。

• 2018 版那四条是在生成式 AI 出现之前写的。其中 “weapons or other technologies whose principal purpose or implementation is to cause or directly facilitate injury to people” 这类措辞，预设的是专用系统：一件东西有一个可辨认的主要用途。 而通用模型没有 principal purpose——同一个模型既能做翻译也能做目标识别。 把一条按「主要用途」定义的禁令套在通用模型上，几乎必然要么全禁、要么全不禁，它在新技术形态下确实难以适用。

• 用途约束并没有从治理体系里消失。FSF 的三个 misuse CCL——CBRN、Cyber、Harmful Manipulation—— 本身就是按用途切分的风险域^[1]，它们约束的正是「这项能力被拿去做什么」。 反方可以据此说：用途维度没有被取消，它从 AI 原则那张纸挪到了 FSF 这张纸上， 代价是从「事前列举」变成了「按能力触发」。

  这个分歧是**可判定**的，只是判据不在公开记录里。
    如果能证明：**在新框架下实际被拒绝的项目类型，与 2018 版四条禁令的覆盖范围大体相当**
    （即那些本会被旧禁令拦下的项目，今天同样被拦下），**那么反方成立**，
    「红线降级」这个说法就该被撤回，改写成「红线换了一种表达方式」。
    反过来，如果能证明存在**旧禁令会拦、新框架放行**的项目类型，正方成立。
    **判据是「被拒绝的项目类型」，不是文本措辞**——两边都不能只靠读文本赢。
  
  
  
  
  正方仍然**部分**成立，但必须**收窄**到这一句：
    **证据支持的是「红线的形式，从公开的、可被外部问责的列举，变成了内部的、按能力触发的裁量」。**
    这一层有硬证据：一段公开承诺文本被删除了，而替代它的是一条需要评估者自行解释的标准。
    **证据不支持「Google 放松了约束」**——这需要比较两套机制的**实际拦截结果**，
    而反方指出的四条（尤其是「通用模型没有 principal purpose」和「misuse CCL 本身就是用途约束」）都很有力，
    本材料无法把它们驳倒。
  
  **因此本章明确写下：内部裁量的结果数据（哪些项目被拒、依据什么、由谁裁决）本材料无法获得，
    这个分歧在冻结日*无法判定*。**它已登记在第九节，并且是一个**会被未来证据解决**的悬案——
    任何一份披露实际拒绝案例的透明度报告、或任何一次相关诉讼的证据开示，都可能直接判出胜负。
  
  **还有一层元批判要写在自己头上**：本材料在这一节大量依赖 Google 系人物的公开发言与官方文本，
    而**当事方对自己收缩承诺的解释天然带有自我合理化倾向**（「原表述过时了」本身就是一个对自己更体面的叙事）。
    同样地，「同日双动作」这个叙事对**本材料**也更体面——它更好看、更好记、更像洞察。
    **两边的叙事激励都要打折。**
  
  
  
  
  
  
  **上面的反方块处理的是「形式变了还是约束松了」；这里处理的是另一个方向的过度解读。**
    公开证据能支持的最强表述是「红线的形式从**公开承诺**变成了**内部裁量**」；
    它**不支持**「Google 开始做武器或违规监控」。新文本仍然写明会
    「stay consistent with widely accepted principles of international law and human rights」[35]。
    把「删除承诺」直接等同于「开始做武器」是过度解读，本章明确拒绝这个跳跃。
  
  **但背景需要写清。**DeepMind 在 2021 年与 Alphabet 谈判独立法律实体时
    （据媒体报道，内部代号 “Watermelon” / “Mario”），提出的红线之一正是**不得用于军事武器或监控**；
    谈判失败，四年后这条红线从公开文本里消失[57]。
    **这一段按「媒体报道，可信度 B」处理**：两件事之间是时间上的先后，不是被证明的因果。
    本材料给出它，是因为不给出会让 2025-02-04 看起来像一次孤立的政策调整——而它不是。

  6.2 两段互相矛盾的历史证据：这家公司既有过度保守，也有过度激进

  要判断「安全承诺是否正在被商业稀释」，不能只挑一边的证据。这家公司在五年里两种极端都出现过。

    **保守文化的证据（2021–2022）**

• **LaMDA 长期不发布。**2021-05-18 在 I/O 上演示，21 个月后才以 Bard 的形式向公众开放。

• Sparrow 有「引用来源」功能却不发布，理由是要先把这个功能做好^[32]。 这是一手在「正确性」维度更好的牌，公司选择不出。

• Noam Shazeer 2021 年底因此出走创办 Character.AI。他 2023-09-25 在 a16z 的原话是： “At some point we realized there’s just too much brand risk in large companies to ever launch anything fun.”^[33] （补充其后续轨迹：他 2024-08 回归 Google 任 Gemini technical co-lead， 2026-06-17/18 离职加入 OpenAI，新职称未获官方确认^[34]。）

    **激进发布的证据（2022-12 之后）**

• 2022-12-21 的 “code red” 报道。纽约时报基于内部备忘录与录音报道 Google 拉响红色警报^[35]。 两条必须标注的边界：这是权威媒体基于 memo/audio 的报道，不是 Google 官方公告； 且 Sundar 本人在 2023-03-31 的 Hard Fork 上否认自己下过 “code red” 这个指令。

• 2023-02-08 Bard 演示答案出错，Alphabet 当日市值蒸发约 1000 亿美元。 口径提醒：该数字依收盘/盘中口径而异，且当日市场还有其他变量—— 不要写成「一个错误单独导致了全部跌幅」。

• **2024-02 Gemini 图像生成历史人物多样性事件。**Google 承认把「呈现多样人群」这一目标应用得 “too bluntly”， Sundar 在内部信中称之为 “completely unacceptable”。

  把这两栏放在一起，会得到一个比「Google 变得不安全了」更准确的描述： 这家公司的发布阈值在 2022 年底前后发生过一次明显位移，而位移之后没有回到原来的位置。 与其叫道德滑坡，不如叫阈值校准——校准的输入变量里，多了一项「别人已经发到什么程度」 （不是替换掉了「我们自己认为多好算好」；两者现在同时在起作用，而它们各自的权重公开记录里看不到）。 这个变量与 FSF v3.0 §1.6 的「边际风险」条款在形状上是同构的——一处在产品发布决策里，一处写进了正式框架。 需要留出的余地是：同构不等于同源，本材料没有证据表明后者是从前者演化来的，也不排除两者只是对同一种竞争压力的独立响应。

  6.3 2026 年的双用途样本：一个被宣布、但尚未落地的「谁能拿到」式治理

  Gemini 3.5 Flash Cyber 是一个网络安全专用的微调模型，配合 CodeMender agent 发现并修复漏洞。 在讨论它之前必须先把状态写清——本章凡是提到它的地方，一律按下面这四句口径^[36]：

• announcement。2026-07-21 的官方博客宣布了这个型号。这是一则公告，不等于上线。

• future limited pilot。官方描述的形态是面向政府与可信合作伙伴的限量试点， 是将来时，不是公众可调用的 API；冻结日没有公开的试点名单、申请入口或已参与方。

• 厂商自评，评测条件只部分披露。博客里的评测图是厂商自评。 ★图上确实披露了的：基准名（CyberGym）、每一条目所用的 agent harness（Anthropic agent / OpenAI agent / CodeMender）、 以及 Gemini 一侧的「Max 5 model calls」——本材料早前写的「harness 未披露」与图不符，已订正。 仍未披露的：数据集版本、是否开启 thinking、CodeMender 多 agent 结果的聚合方式。

• 冻结日无独立模型卡。截至 2026-07-25，本材料未找到该型号的独立模型卡。

  因此本章**不写「已可用 / 已上线 / 已交付」**，也**不引用它的任何评测数值**；
    下面讨论的是这则公告**所主张的治理形态**，不是一个已被观察到的部署事实。
  
  
  
  
  
  
    **图 10.3** Gemini 3.5 Flash Cyber 在 CodeMender 中的 CyberGym 成绩（announcement 配图，2026-07-21）。
    **★先更正一处形态错判：这不是「示意图」，而是一张带具体数值的五条目跨厂商柱状图**——
    副标题写明基准是 **CyberGym**；**纵轴自 60% 起截断**（刻度 60/65/70/75/80/85），因此柱高差被视觉放大；
    五根柱依次为 Mythos Preview in Anthropic agent **83.1%**、
    **Gemini 3.5 Flash Cyber in CodeMender（Max 5 model calls）83.2%**（蓝色高亮）、
    GPT-5.6 Sol in OpenAI agent **83.6%**、Mythos 5 in Anthropic agent **83.8%**、GPT-5.5-Cyber in OpenAI agent **85.6%**。
    **被高亮的 Gemini 一条在五者中列第四，五条全部落在 83.1%–85.6% 的 2.5 个百分点区间内**；
    换言之，这张官方配图**没有**展示 Gemini 领先。
    **状态口径**：announcement；future limited pilot；**厂商自评，评测条件只部分披露**——
    基准名与各条目的 agent harness 图上可见，但数据集版本、是否开启 thinking、CodeMender 多 agent 结果的聚合方式未说明；**冻结日无独立模型卡**。
    **本材料不用上述数值做任何能力结论或跨厂商排序**（此处列出只是为了让读者能核对图注与图一致）——
    本图在这里的作用只是标记「这类能力被单独命名并宣布产品化了」这一件事。
    [@src-09b59cb95c]出处：Google 官方博客, 2026-07-21
  
  
  
  
  FSF 里的 Cyber uplift level 1 说的是「为高影响网络攻击提供足够提升」[@src-3c56c8c2a7]。
    这则公告主张的正是这件事的防守面——而它宣布的治理手段不是「不做」，是**「限制谁能拿到」**。
  
  这至少是一次**方法论上的位移**：**从「能不能做」转向「谁能拿到」。**
    它承认了一个此前被回避的事实——网络攻防能力在技术上**高度重叠**，同一个模型既能找漏洞也能修漏洞，
    因此单靠能力层面的门禁很难奏效，更可操作的门禁在**分发层**。
    **需要留住的余地是**：这是从一则公告读出的设计意图，**没有**试点执行数据可以证明这个门禁真的有效；
    要证明它有效，需要看到试点范围、拒绝案例与滥用监测结果，这三样冻结日一样都没有。
  
  分级访问是 2026 年前沿实验室**共同走向**的方向（Anthropic 的 ASL 部署标准、OpenAI 的 safeguards 都指向同一侧）。
    但它有一个必须被说出来的代价：**它把「安全」的一部分变成了商业与地缘政治的分配问题。**
    「可信合作伙伴」由谁定义、按什么标准、有无申诉——这些问题在三份安全框架里都没有答案，
    因为它们已经不在安全评估的语法里，而在**权力**那一侧。这正好是第七节那次出口管制事件的主题。
  
  
  
  
  如果「Google 越来越不在乎发布风险」这个说法成立，那么它应该表现为「一切都尽快发」。
    但截至 **2026-07-25**，**Gemini 3.5 Pro 仍在 partner testing、从未公开发布**——
    2026-05-19 Google 曾预告「下个月推出」，2026-07-21 的三模型发布中仍然没有 Pro；
    官方同时披露 **Gemini 4 的最大规模预训练已启动，但尚未发布任何产品**[@src-09b59cb95c]。
    一个旗舰型号缺席两个月而公司照常发布，这不是一家「什么都赶着发」的公司。
  
  **但必须诚实：这条反证支撑不了「Google 仍然保守」。**
    有媒体报道称缺席的原因是**未能达到内部性能目标**（媒体报道，可信度 B；本材料未取得可直接引用的一手链接，已登记在第九节），
    **不是安全原因**。所以它只能证明一件事：**Google 现在有能力承受一次旗舰缺席**——
    产品矩阵足够厚，以至于旗舰不到位也不至于失去存在感。
    这是**组织韧性**的证据，不是**安全审慎**的证据。把二者混为一谈，是对这家公司最常见的一种误读。

  6.4 为什么「能演示」和「敢授权」之间差三个数量级

  上面所有的治理机制——CCL、安全等级、分级访问——最终都要回答一个很具体的工程问题： 什么时候可以把一个系统接进生产环境，让它自己动手？ 这个问题有一个极简的期望价值模型，它能解释一个长期被观察到、却很少被算过账的现象。

    F-10
    授权范围 × 尾部损失：自主授权的盈亏平衡成功率
    本材料构建的分析模型，非任何公司的官方模型
  
  
  
  
  
      符号表

| | (p) | 单步成功率（无量纲，(0 < p \le 1)）

| | (n) | 授权范围：一次授权中连续自主执行的步数（步）

| | (U) | 一次完整成功带来的收益（任意价值单位）

| | (L) | 一次不可逆失败造成的损失（与 (U) 同量纲）

| | (\rho) | 损失收益比 (\rho = L/U)（无量纲）

| | (V_n(p)) | 一次授权的期望价值（与 (U) 同量纲）

| | (p^\star) | 使 (V_n(p)=0) 的盈亏平衡单步成功率

      先写单步的情形（\(n=1\)）：以概率 \(p\) 得到 \(U\)，以概率 \(1-p\) 承担 \(L\)。

      \[ V_1(p) = p\,U - (1-p)\,L \]
      这是最朴素的两点分布期望。它成立的前提是「成功」与「失败」互斥且穷尽——
        现实中还有「部分成功」「无害失败」等中间态，本模型把它们全部并入两端，这是第一层简化。



      把授权范围扩到 \(n\) 步。若一次授权需要 \(n\) 步全部成功才算成功，且各步独立，则整体成功率为 \(p^n\)。

      \[ V_n(p) = p^n U - \left(1-p^n\right) L \]
      「全部成功才算成功」对应的是**没有中途人工检查点**的授权。
        如果中间插入人工复核，有效的 \(n\) 会下降——这正是「人在回路」在数学上的作用：**它不是提高 \(p\)，而是减小 \(n\)。**



      令 \(V_n(p)=0\) 求盈亏平衡点。

      \[ p^n(U+L) = L \quad\Longrightarrow\quad p^\star=\left(\frac{L}{U+L}\right)^{1/n}=\left(\frac{\rho}{1+\rho}\right)^{1/n} \]
      注意 \(U\) 与 \(L\) 只以比值 \(\rho\) 的形式出现：**绝对量级不影响盈亏平衡点，只有比值影响。**
        当 \(n=1\) 时退化为题面给出的 \(p^\star = L/(U+L)\)。



      把 \(p^\star\) 换算成工程界惯用的「几个 9」。

      \[ \text{nines} = -\log_{10}\left(1-p^\star\right) \]
      这个换算的意义在于：可靠性工程里的目标通常写成「三个 9」「五个 9」，
        而不是一个小数。把 \(p^\star\) 翻译成 nines，才能与既有的 SRE 语言对齐。

• 各步失败独立同分布。

• 损失可加、且有限；一次授权最多发生一次不可逆失败。

• 收益只在全部步骤成功时兑现，中途失败收益为零。

• (U) 与 (L) 可用同一把尺子度量（同量纲、可比）。

• 四条假设没有一条在真实系统里严格成立，详见下方批判块。

• 模型只给出「授权是否理性」的必要条件，不给出「如何提高 (p)」的任何指导。

• (\rho) 在实践中极难估计——不可逆失败的损失往往包含法律与声誉项，而这两项没有公认的定价方法。

      \(p^\star=\left(\dfrac{\rho}{1+\rho}\right)^{1/n}\)。当 \(n=1\)、\(\rho=10^3\) 时 \(p^\star \approx 99.9\%\)；
      **授权范围每扩大一个量级，所需的可靠性又要再涨接近一个 9。**
  
  
  
  
  
  
  
  
    授权范围 × 尾部损失：什么时候把权限交给系统才是理性的
    拖 ρ 看盈亏平衡点右移，拖 n 看它继续右移 · 黄色竖线 = 盈亏平衡成功率 p*
  
  
  
  
  
    **这是一个分析模型，不是任何公司的官方数据，也不是对任何具体系统的测量。**
    它的全部输入就是三个滑杆，输出完全由上方的 F-10 决定，没有引入任何外部数据。
    纵轴以「一次成功的收益 \(U\)」为单位，因此 \(U\) 与 \(L\) 的绝对量级不改变曲线形状，只有比值 \(\rho=L/U\) 起作用。
    纵轴在 \(-6\) 处截断：真实的损失分支会一直坠到 \(-\rho\)，量级远超图幅，画出来会把零点附近的结构完全压平。
  
  
  
  
  
  在 **\(n=1\)（单次授权、只走一步）**且 \(L\) 比 \(U\) 大三个数量级时，\(p^\star\) 逼近 **99.9%**——
    也就是说，哪怕单步成功率高达 99%，把权限交出去在期望值上仍然是**亏的**。
    **\(n=1\) 这个条件不能省**：由 \(p^\star=(\rho/(1+\rho))^{1/n}\)，\(n=1\) 是本模型里对单步可靠性**要求最低**的情形；
    \(n\) 每大一个量级，\(p^\star\) 就再往 1 靠近约一个 9（同样 \(\rho=10^3\) 下，\(n=10\) 要 4 个 9，\(n=100\) 要 5 个 9）。
    **所以 99.9% 不是一个通用门槛，它只是 \(n=1\)、\(\rho=10^3\) 这一组参数下的取值**，本章后文每次出现都指这一组。
  
  这解释了「演示很惊艳、没人敢接进生产」这件事的**其中一层**：
    **演示衡量的是 \(p\)，授权要看的是 \(p\) 与 \(\rho\) 的关系，而这两件事之间隔着两三个数量级。**
    它只是一层——真实的不敢授权还有责任归属、审计要求、回滚成本等模型之外的原因。
  
  它**也可以用来类比** FSF 为什么要把「部署缓解」（deployment mitigations）和「安全缓解」（security mitigations）分成**两本账**[@src-3c56c8c2a7]：
    粗略地说，部署缓解更偏向**让系统更少犯错**，安全缓解更偏向**让一次犯错的后果不可扩散**。
  
  **但这个对应关系只是类比，不能当成映射来用。**真实系统里，一项缓解通常**同时**改变三个量：
    **有害事件发生的概率**、**暴露面**（有多少用户 / 多少次调用会碰到它）、**以及条件损失**（一旦发生有多严重）。
    举例：把一个能力限制在受控试点里，既降低了误用发生的概率，也直接砍掉了暴露面，还因为对象可追责而压低了条件损失——
    它**不属于**「只作用在 \(p\) 上」或「只作用在 \(L\) 上」的任何一边。
    本模型只有 \(p\) 和 \(L\) 两个格子，装不下这三个量，所以**「部署缓解 → \(p\)、安全缓解 → \(L\)」只是一种记忆口诀，不是 FSF 的结构**。
  
  在这个类比成立的范围内，有一条仍然值得记住的定性结论：\(p^\star\) 对 \(\rho\) 的依赖是**对数级**的——
    把损失降一个数量级，只换来 \(p^\star\) 上少要一个 9；而在高 \(\rho\) 区间，这一个 9 往往比把模型再做好十倍还便宜。
    **这大致解释了为什么成熟的安全工程倾向于先削损失、再提精度**（「倾向于」——本材料没有做过工程实践的统计。）
  
  Agent 的能力边界、工具调用与世界模型的完整讨论见 第 8 章。
  
  
  
  
  **（a）失败不是独立同分布的。**真实 agent 系统里，失败是**高度相关**的：
    同一个提示注入可以同时打穿一万个跑着同一套 prompt 的 agent，同一个工具的 API 变更可以让所有调用同时失效。
    当失败相关时，\(p^n\) 会严重高估整体成功率——独立性假设在这里是**朝着乐观方向**出错的。
  
  **（b）损失不可加。**声誉损失与法律损失都不满足可加性：十次小事故的总影响可能远小于一次大事故，
    也可能因为「模式被识别」而远大于十倍。把 \(L\) 当成一个可以乘以次数的标量，是这个模型最弱的一环。
  
  **（c）\(L\) 未必有限。**模型要求 \(L\) 有限才能算出 \(p^\star\)。
    如果某类失败的损失在建模上应当取为不可承受（例如触发 FSF 意义上的严重规模危害），
    那么 \(p^\star \to 1\)，**期望值框架本身就失效了**——这时正确的工具不是期望值，是硬约束。
    FSF 用「能力等级 → 强制防护」而不是「期望收益 → 自行权衡」来写，恰恰是因为它处理的正是这一类风险。
  
  **（d）它没有对手。**模型里的失败是自然发生的，而现实中存在**主动寻找失败模式的对手**。
    对抗环境下 \(p\) 不是一个常数，而是攻击者投入的函数。这一点让整个静态期望值分析只能作为**下界工具**使用。

  七、治理与外部环境：反垄断、Apple、出口管制与 TPU 外售

  7.1 反垄断：模型分发第一次成为反垄断客体

  2025-09-02，美国司法部宣布在搜索反垄断案中赢得实质救济^[37]。与本章相关的要点：

• 法院禁止 Search / Chrome / Assistant / Gemini 的分发排他协议；

• 要求部分 search index 与 user-interaction data 的共享与 syndication；

• 最终判决未禁止一切 default payments，但协议不得跨产品或跨设备捆绑，default 条件最长一年， 且 Apple 必须可以推广第三方 Search / GenAI^[38]；

• 截至 2026-07-25，Google 已就 liability 与 data-sharing 救济提起上诉，DOJ 与多州交叉上诉寻求更强救济； 终局未定，但现有行为性救济不因上诉自动失效。

  **Gemini 被明确写进搜索反垄断救济**，意味着「模型分发」第一次被当作**反垄断客体**，而不是产品自由。
    这是一类与 FSF 完全不同的治理：FSF 约束的是模型的**能力边界**，反垄断约束的是模型的**触达路径**。
  
  对 Google 而言，后者在 2026 年**大概率是更硬的约束**，理由不复杂：
    **它已经有法院命令，而 FSF 只有自我承诺。**
    违反 FSF 的后果是声誉与内部问责；违反法院救济的后果是藐视法庭。
    这条差异**能解释**一个否则很难理解的资源分配现象——一家公司在合规上投入最多的地方，
    往往不是风险最大的地方，而是**后果最确定**的地方。
    **能解释不等于已证实**：两边的合规投入本材料都拿不到数据，这里给出的是一个机制假说。
  
  它还有一个反直觉的推论：**反垄断救济在事实上部分实现了安全治理想要的东西**——
    禁止排他分发、限制 default 期限、要求可推广第三方，客观上降低了「单一模型垄断某个入口」的集中度风险。
    **这不是设计意图，是副产品**；但它提示了一个方向：约束分发比约束能力更容易执行，因为分发是可观测的合同行为。
  
  
  
  
  
    **反方主张：把合规投入的差异归因于「后果是否确定」，跳过了一个更简单也更有解释力的变量——
      是否存在一个持续盯着你的外部主体。**
  
  
  
  
    反垄断救济与 FSF 的差别不只在「后果硬不硬」，还在**监督结构**：
      前者有 DOJ、多州总检察长与法院共同持续监督，救济条款本身还带有**报告与数据共享义务**；
      后者的监督主体是 Google 自己未公开命名的「appropriate governance function」。
  
      ★**这一点本章第一节已经写过**：FSF v3.0 全文没有披露该治理职能由谁组成。
      **一个没有外部观众的承诺，与一个有法院盯着的命令，差别可能主要在观众，而不在惩罚。**
  
  
  
  
    反方成立的条件：若能观察到「后果同样不确定、但有外部监督」的场景里合规投入依然很高，
      则「监督结构」比「后果确定性」更有解释力。
      **欧盟 AI Act 第 50 条恰好提供了一个准自然实验**——
      它在 2026-08-02 之后同时具备外部监督与逐步明确的后果，可用来分离这两个变量。
  
  
  
  
    **两条解释并列，本章不判权重，因为它们在现有数据下无法分离。**
      「后果确定性」与「监督结构」在这两个案例里**完全共变**——
      反垄断救济同时具备两者，FSF 同时缺少两者。
      **一个在所有已观察样本上都共变的变量对，无法被这些样本区分开。**
  
      要分离它们，需要本材料没有的**第三类样本**：
      「有外部监督但后果不确定」或「后果确定但无人监督」的治理机制。
      在此之前，这里给出的两条都只是机制假说，**而且是同一批证据支持的两条假说。**

  7.2 Apple 交易：官方确认了合作，没有确认任何数字

  2026-06，Apple 官方确认下一代 Apple Foundation Models 与 Google / Gemini 协作，运行在设备端与 Private Cloud Compute 上^[39]。

  **「约 10 亿美元／年」「1.2T 参数」这类数字只见于媒体与聚合站，不在 Apple 的公告里。**
  本章按**媒体口径、双方未确认**处理，不写进正文事实，已登记在第九节。
  这类数字之所以危险，是因为它们通常来自单一信源，然后在聚合站之间互相引用形成「多来源」的假象。

  7.3 政府直接干预的先例：Fable 5 / Mythos 5 出口管制事件

  这是 2026 年治理格局的分水岭，也是本章认为最被低估的一件事。事实线如下^[9][40] （下面时间轴标题里的「BIS」出自 ^[10]，不是 Anthropic 官方声明的措辞）：

•   2026-06-09
    Claude Fable 5 与 Mythos 5 发布
  
    Anthropic 的两个新模型上线。

•   2026-06-12
    美国商务部工业与安全局（BIS）下达出口管制指令
  
  
      美东时间下午 5:21 收到函件，禁止任何**外国国民**（无论身处美国境内还是境外，**包括 Anthropic 自己的外籍员工**）访问这两个模型。
        由于无法实时核验国籍，Anthropic **对全球所有用户下线了这两个模型**。其他模型（含 Opus 4.8）不受影响。
  
      触发原因：政府获悉一份报告，称有研究者找到绕过 Fable 5 防护的方法，使其识别出若干软件漏洞并在一例中产出利用代码。
        Anthropic 复核后认为这些漏洞「relatively simple」，且其他公开模型无需绕过也能发现。

•   2026-06-30
    出口管制解除，模型重新上线
  
  
      Anthropic 与政府及合作方共同训练了一个新的安全分类器；被拦截的请求**改路由到 Opus 4.8**，而不是硬拒绝。
  
  
  
  
  
  
  
  
    we disagree that the finding of a narrow potential jailbreak should be cause for recalling a commercial model deployed to hundreds of millions of people. If this standard was applied across the industry, we believe it would essentially halt all new model deployments for all frontier model providers.
  
  
      Anthropic（公司声明）
      2026-06
      官方公告 “Fable and Mythos access”
      [@src-001317287c]来源
  
  
  
  
  
    我们不认同「发现一个范围狭窄的潜在越狱」应当成为召回一个已部署给数亿人的商业模型的理由。
      如果这个标准被适用到整个行业，我们相信它将实质上让所有前沿模型提供方停止一切新模型部署。
  
  
      译文
      译自左侧英文，以英文为准
  
  
  
  
  
  
  
  ① **指令函件未公开**，「究竟适用哪种管制理论」在公开记录里**是有争议的**。
  
  ② 有安全研究者认为那根本不是 jailbreak，而是**防御性研究**。
  
  ③ 另有**单一信源**报道称管制部分源于对某中国关联组织接触 Mythos 的担忧，
    **Anthropic 表示从未被提出过这一问题**[@src-c3653da242]。
  
  本材料不在这些冲突叙述之间做裁定，因为公开证据不足以裁定。
  
  
  
  
  把两件事并置：**2026-06-12 的即兴干预**，与**一个月后（2026-07-14）Demis 的 FINRA 提案**。
    Demis 本人在 Axios 采访中把这次干预称为 “a bit of a wake-up call”（Axios 转述其表述，转述）[@src-ac3c32c0b0]。
  
  并置之后，提案的动机就清楚了。BIS 那次干预具备了企业最不能承受的三个特征：
    **无预告**（下午 5:21 收到函件）、**无比例**（一个窄口越狱 → 全球下线）、**无程序**（函件不公开、理论有争议）。
    对一家公司来说，这不是「监管变严」，而是**方差爆炸**——你无法为它定价，也无法为它做工程准备。
  
  并置之后，本材料读到的提案卖点就不只是「接受约束」，更像是**把不可预期的风险换成可预期的流程**：
    一个有 30 天窗口、有公开评估协议、有既定升级路径的审查机构，对企业而言首先是**降低方差**。
    **这也是这类提案常常由被监管者自己提出的一个原因**——注意是「一个原因」：
    本材料没有 Demis 的决策过程材料，**动机归因只能停在「与他公开写下的诊断一致」这一层**，
    而且「他确实认为需要更强的约束」这个更朴素的解释同样与全部公开证据相容，本材料无法把它排除。
  
  这也解释了为什么 Altman、Musk、Amodei 都对这个提案表示了不同程度的赞同
    （二手报道，可信度 B）[@src-ac3c32c0b0][@src-17e98b29d0]——
    对所有前沿实验室来说，可预期性是**共同利益**，而严格程度才是分歧所在。

  7.4 欧盟 AI Act：在冻结日之后第 8 天，内容标注义务开始有牙

  本章的事实冻结时点是 2026-07-25。欧盟这条线值得单独写，是因为 离它咬下来只剩 8 天——而被推迟的部分和没被推迟的部分，恰好分在两边。

| | 义务 | 适用日期 | 状态

| | GPAI 模型义务（第 51–56 条） | 2025-08-02 起适用于新投放市场的模型 | 已生效

| | 委员会对 GPAI 提供者的罚款权 | 2026-08-02 | 未被推迟

| | 第 50 条透明度义务（与 AI 交互告知、AI 生成内容标注、深度伪造标记、情绪识别通知） | 2026-08-02 | 未被推迟

| | 第 50 条第 2 款的机器可读标记（仅限 2026-08-02 前已投放市场的系统） | 2026-12-02（唯一的宽限期） | 有限宽限

| | 独立高风险系统（附件三） | 2027-12-02 | 已推迟

| | 嵌入产品的高风险系统（附件一） | 2028-08-02 | 已推迟

    表 10.6 · 欧盟 AI Act 与前沿模型厂商直接相关的时间点，数据截至 2026-07-25。
      第 50 条的适用日期与宽限期依据欧盟委员会官方 FAQ[@src-6b9c978375]（原文：“Article 50 of the AI Act
      applies as from 2 August 2026.”，且明确 2026-08-02 之前生成的内容**不需要追溯标注**）；
      两项高风险义务的推迟依据 Digital Omnibus on AI 的最终文本——欧洲议会 2026-06-16 通过、
      理事会 2026-06-29 最终放行、2026 年 7 月生效[@src-4abcc8cf05]，
      **具体推迟日期取自律所与咨询机构对最终文本的解读，可信度 B，本材料未逐条核对官方公报原文**。





  「欧盟推迟了 AI Act」这个说法在 2026 年上半年传播极广，但它只对了一半。
    Digital Omnibus 推迟的是**高风险系统**那一档（附件三推到 2027-12-02、附件一推到 2028-08-02），
    理由是配套的协调标准来不及就绪。**而 GPAI 义务与第 50 条透明度这两项，一天都没有挪。**

  这两项恰恰是唯一直接够得着 Google、OpenAI、Anthropic 这类前沿模型提供者的条款。
    换句话说：**被松绑的是使用 AI 的行业，没被松绑的是造 AI 的公司。**
    这个分野本身就说明了欧盟的立法重心在过去一年发生了什么位移——
    从「管住高风险场景」转向「管住上游模型」。




  把两个日期并排看：第 50 条的 AI 内容标注义务在 **2026-08-02** 生效；
    而 Google 在 **2026-05-19**（I/O 2026 专题）就公布了 SynthID 的部署规模——已为
    **超过 1000 亿张图像与视频**、**6 万年时长的音频**打上水印；
    Gemini app 里的验证功能已被使用 **5000 万次**，并正在扩展到 Search 与 Chrome；
    同时新增了对 C2PA Content Credentials 的验证；OpenAI、Kakao、ElevenLabs
    也在把 SynthID 用到自己的生成内容上[@src-306170b3d6]。

  **本材料倾向于认为这个时间关系不是巧合**，而是一个在别的行业也见得到的结构：当强制义务的轮廓已经清楚、但还没生效时，
    头部厂商会抢先把机制做成**既成事实**；等法条真正落地，「合规」就容易约等于「采用我已经建好的那一套」。
    **它与本章第三节的 FINRA 提案在形状上相近——与其被规定，不如先把标准建成。**
    **但要留出余地**：SynthID 的公开工作从 2023 年就开始了，**早于**第 50 条的立法定型，
    所以「为了抢在法条前面」这个动机**解释不了它的起点**，最多解释 2026 年这一次**公布规模数字**的时点选择。

  **可证伪判据**：如果这个解释成立，2026-08-02 之后围绕第 50 条的技术标准讨论，
    应当大量引用已有的水印与溯源实现（SynthID、C2PA），而不是另起炉灶。
    反过来，如果监管方选择定义一套与现有实现不兼容的标记格式，
    「先建成即标准」这个策略就失效了。**这一条在冻结日尚无法判定。**




  水印不是万能的，有三层边界必须同时说清：

  **（1）鲁棒性的威胁模型不同。**SynthID 的公开演示（见下一节图 10.5）覆盖的是**常见退化**，
    这**不等于**对**针对性攻击**的鲁棒性——二者是完全不同的威胁模型，而演示只覆盖了前者。
    **★这里要按图收窄两处**：其一，那张演示网格上**实际做的改动只有调色、去色、提亮、左右镜像、上下翻转、加噪六类**，
    **既没有裁剪也没有可识别的压缩**（本材料早前列的「裁剪、加噪、压缩、调色」四项与图不符，已订正）；
    其二，**网格里根本没有印出任何检出结果**，所以「这些改动之后水印仍可检出」这句话的依据是官方博客正文，**不是那张图**。

  **（2）覆盖面的结构性缺口。**任何自愿水印方案只能覆盖发起方自己的生成管线。
    **对一个开源权重模型在本地跑出来的内容，没有任何自愿方案能起作用**——
    权重一旦公开，水印代码就是可以被删掉的几行。

  **（3）于是出现一个结构性反讽**：第 50 条要求标注 AI 生成内容，
    而**最需要被标注的那部分内容（刻意用于伪造与操纵的），恰恰最不可能自愿标注**。
    标注义务真正约束的是守规矩的一侧。**这是所有溯源方案共同面对的、尚未被跨过的结构性缺口**——
    写成「缺口」而不是「上限」是有意的：它描述的是当前配方（自愿嵌入 + 检测）覆盖不到的那一块，
    不是「任何方案都不可能覆盖」这样一个已被证明的断言。
    这一层也和本章第三节里那条批评同构：**一个能测但不能拦的机制，只是审计员。**



### 7.5 TPU 外售的伦理面

事实部分：Anthropic 于 2025-10-23 宣布计划使用最多 **100 万颗 Google TPU**，数百亿美元规模，2026 年上线超过 1GW 容量[@src-97c582cac1]。
  2026 Q2，Alphabet 首次向客户自有数据中心交付 TPU 系统并确认收入，
  **客户身份与 TPU 代际均未披露**——**不得指认为 Anthropic、Meta 或任何具体公司**[@src-9f4a08bfb1]。



  「5 年 2000 亿美元」「Alphabet 至多 400 亿美元投资」等金额**均为匿名信源，双方未证实**，本章按存疑处理，已登记在第九节。
  TPU 外售的商业逻辑、与 Nvidia 的竞争关系、以及中英文叙事的分裂，属于 第 11 章的范围，本节只写伦理面。



  本节的事实底稿与 第 7 章、第 11 章**逐字一致**：
    最多 100 万颗的容量计划、2026 Q2 首次向客户自有数据中心交付并确认收入、客户与代际未披露、两个金额为匿名信源。
    **三章共用这一份底稿，是为了避免同一组事实出现三种口径。**

  **但对这组事实的评价，三章不统一，而且这是有意的。**
    「英文圈把它写成商业胜利、中文圈把它写成战略失焦」——
    **这是价值之争，不是事实之争，本章不裁定。**
    按本项目区分三类分歧的纪律：事实之争去核，归因之争并列呈现，**价值之争呈现立场、不强行裁定**。
    两套评价框架的完整并置见 第 11 章「同一组事实，中英文两套相反的故事」那一节；
    它与全材料其它争议的关联图见 第 14 章 · 争议地图。

  **一条使用限制**：第 14 章在本轮独立审查中**评分 39/70、未通过**，
    因此本章**只把它当作争议的索引，不引用它的任何结论作为已裁定事实**。
    本节以下两种读法的并列，是本章自己的处理，不依赖那一章。




  **读法 A（扩散论）**：这扩散了前沿能力。FSF 里 security level 的全部意义就是**保护模型权重不外泄**，
    因为权重一旦扩散，所有部署侧的缓解都失效[@src-3c56c8c2a7]。
    而向外部供应大规模训练算力，虽然不等同于权重扩散，却**降低了另一家公司训练出同等能力模型的门槛**——
    与「保护能力不扩散」的底层逻辑张力明显。

  **读法 B（择优论）**：反过来说，买家恰恰是三家里安全框架**最具体**的那一家——
    RSP 对权重安全等级与部署标准做了预承诺（见表 10.2），而 FSF 只承诺流程。
    如果算力终归要外售，那么**卖给谁**本身就是一个安全变量；
    选择一个预承诺更强的买家，可能**降低**而不是提高系统性风险。

  **本材料两种读法都列出，不拍板。**要在两者之间做出裁定，需要知道两件公开记录里没有的事：
    ① 这批算力实际被用于训练什么规模的模型；② 买家的 ASL 承诺在这批算力上是否被实际执行与核验。
    **在这两件事公开之前，任何一边的确定性结论都超出了证据。**



## 八、AI for Science 的双重性：救人的技术与生物安全

### 8.1 先把诺奖的事实写准

2024 年诺贝尔化学奖于 **2024-10-09** 公布[@src-8951007398]：

• David Baker 获一半，贡献表述为 “for computational protein design”；

• Demis Hassabis 与 John Jumper 共同获另一半，贡献表述为 “for protein structure prediction”；

• 份额：Baker 1/2、Hassabis 1/4、Jumper 1/4。

  **一个常见的错误写法**：把获奖理由说成「团队因广义生物分子交互获奖」。
  官方表述对应的是**蛋白质结构预测**这个长期问题的解决，奖励材料的重点是 AlphaFold2[@src-8951007398]。
  写作时请逐字使用官方的两句贡献表述，不要自行概括。

  8.2 开源的不对称，与一条他从未正面回答的问题

  AlphaFold2 于 2021-07-15 论文与代码同日开源^[41]。 他后来在 TED2024 回述过当年的开源理由：

  **Demis Hassabis · 2024-04 · TED2024 · 大意（回述 2021 年的开源决策）** 转述
  
  靠 DeepMind 自己去用这套工具，充其量只能触及皮毛，大约只相当于科学界拿它做的事情的百万分之一——
    所以更合理的做法是把它放出去。
  
  同上：来源为第三方转录站[@src-919fc443a1]，**未与 TED 官方视频逐字复核**，
    因此**按转述处理、不加引号**。「百万分之一」这个量级说法是转述里保留的原始比喻，不是可引用的逐字原话。

  而下一代结构预测系统没有以同等方式开源——首发时不放代码与权重，其完整经过（联署抗议、期刊社论、后续补充说明） 是 第 9 章的主题，这里只取它对本章的意义。

  本材料的判断，非引用
  
  **把两个论证并排看，会发现它们互相蕴含对方的反面：**
  
  他为蛋白质结构预测开源给出的理由是「规模」——我们自己只能用到百万分之一，所以必须放出去。
    **这个规模论证在逻辑上同样适用于前沿语言模型**：Google 自己能想到的用法，同样只是全世界用法的极小一部分。
  
  他为前沿模型不开源给出的理由是「误用风险」——坏行为者会拿走开源系统重新用于有害目的。
    **这个误用论证在逻辑上也同样适用于蛋白质结构预测**：CBRN 里的 B 就是生物，
    而 FSF 自己的 CBRN uplift level 1 明确覆盖「低到中等资源的行为者获得实质提升」的场景[@src-3c56c8c2a7]。
  
  **这不是在指控他虚伪。**恰恰相反，它说明了一件更有意思的事：
    **「开不开源」在实践中不是由一条原则决定的，而是由「误用的可及性」与「商业价值」共同决定的。**
    蛋白质结构的误用需要湿实验室、需要合成能力、需要专业知识，可及性低；语言模型的误用只需要一台电脑。
    而商业价值的方向恰好相反。这两个变量足以解释全部观察到的行为——
    **问题在于，这两个变量都没有被任何一方公开量化过**，于是每一次开源决策看起来都像是原则问题，实际上都是这两个数的比较。

  8.3 生物安全在框架里的具体挂钩

  FSF v3.0 的 CBRN uplift level 1 推荐 Security level 2，官方给出的理由值得原样引用： 「The difficulty of building defenses against certain CBRN threats means the exfiltration and leak of model weights with this capability could be highly damaging.」^[1]

  这句话的结构很清楚：因为防守难，所以保护权重。它同时暴露了一个不对称—— 在网络安全域，防守方可以用同一个模型去修漏洞（这正是 CodeMender 公告所主张的逻辑，见第 6.3 节）； 而在 CBRN 域，没有一个同样直接的防守面：你没法用一个模型去「修补」一个病原体。 所以同样是 Security level 2，两个域的实际含义相差很大： Cyber 更接近「攻防同步推进」，CBRN 更接近「主要靠不泄露」。 这个对照不宜推得太远——生物侧并非完全没有防守面（疫苗与药物设计、病原体监测都在这条线上）， 只是它们的迭代周期以年计，与网络侧的补丁周期不在一个量级；本材料把它写成量级差异，不写成有无之别。

  8.4 溯源与水印：提案里落地程度最高的一条建议

  2026-07-14 的提案里提到了给 AI 生成图像做数字水印^[8]。 在提案的各项建议中，这一条的已有产品实践最厚——SynthID 的公开工作可以追溯到 2023 年^[42]， 到 2026-05 已积累超过 1000 亿张图像与视频、6 万年时长音频的水印，验证功能被使用 5000 万次^[43]。 这个规模与欧盟 AI Act 第 50 条的关系，以及「自愿承诺跑在强制合规前面」这个结构，见本章第 7.4 节。

      **图 10.4** SynthID 的演示样本：画面是一只**水晶／玻璃质感的银白色蝴蝶停在绿叶上**，绿色虚化背景，图内无任何文字或标注。
      水印在生成时嵌入像素、肉眼不可见——**这一点本图（以及任何一张图）在像素上都无法自证**，它来自官方博客的说明。
      **⚠ 注意它与右图不是同一张样本**：右侧鲁棒性网格用的是另一张写实的蓝紫色小灰蝶照片，
      **两图并列不构成「对同一张图做改动前后」的对照**。
      [@src-f01dd98867]出处：Google DeepMind 博客, 2023
  
  
  
  
  
      **图 10.5** 鲁棒性演示网格：**2 行 × 4 列共 8 格，是同一张写实蓝紫色小灰蝶照片的 8 个改动版本**。
      逐格实测（像素统计，原图基线 L=126.7 / 饱和度 0.62 / 高频能量 8.8）：
      **上排**——① 原图；② 蓝色调偏（饱和度升至 0.73）；③ **灰度去色**（饱和度 0.005）；④ 金黄色调偏。
      **下排**——⑤ 提亮褪色（亮度 226、对比度降到 26.5、饱和度 0.13）；
      ⑥ **左右镜像**；⑦ **上下翻转**；⑧ **重噪点**（高频能量 64.2，约为原图的 7 倍）。
      **★三处必须更正的读法**：
      **（1）图上没有任何检出结果**——没有分数、没有 detected 标签、没有对勾或叉号、没有图例，
      所以**「改动后水印仍可检出」这句话不能由本图得出**，它须引官方博客正文或检测数据；本图只展示了「改动后的图像长什么样」。
      **（2）图中没有裁剪**：八格的取景范围与被摄体比例完全一致（⑥⑦ 只是镜像与翻转，构图未变），
      **本材料早前写的「经裁剪…」与图不符，已订正**。
      **（3）图中也看不出压缩与模糊**：八格里没有一格呈现可识别的压缩伪影，
      高频能量最低的一格是⑤（7.1，因低对比而非失焦），**没有任何一格是模糊处理**。
      该网格是 2×4 齐边的完整成品，**不属于「内容被裁掉」，而是原图本就没有检出结果**。
      **另注这类演示的边界**：即便配上检出数据，它展示的也只是对**常见退化**的鲁棒性，
      不等于对**针对性攻击**的鲁棒性，二者是不同的威胁模型。
      [@src-f01dd98867]出处：Google DeepMind 博客, 2023

  8.5 一条落空的预测，以及为什么要写它

  2024-05-08，Demis 在 Bloomberg 专访里说^[44]：

    I would be expecting, maybe in the next couple of years, the first AI-designed drugs in the clinic.
  
  
      Demis Hassabis
      2024-05-08
      Bloomberg 专访（archive 存档）
      [@src-33918d5fce]来源
  
  
  
  
  
    我预期，也许在接下来的几年内，会有首批 AI 设计的药物进入临床。
  
  
      译文
      译自左侧英文，以英文为准

  该预测在 2025 年初被具体化为「2025 年底」，2026 年 1 月在达沃斯场边被推迟到 2026 年底 （据本项目人物档案的核对记录，可信度 B[57]）。 这是本材料手上能够明确判定为落空的一条——不是「他唯一落空的一条」： 要说「唯一」，需要一份完整的可核预测台账（每条预测的原话、时点、可判定的兑现条件、以及判定结果）作分母， 本材料没有这份台账，因此不写「唯一」，也不做任何比例性陈述。这项缺口已登记在第九节。

  一个人的预测记录里，**兑现的部分**信息量很低——因为幸存者偏差会让所有人的成功预测看起来都差不多。
    真正有信息量的是**落空的那些**：它们落在哪个领域、他如何处理落空（沉默、重设日期、还是修正模型）。
  
  这一条的位置值得记一笔：**它落在药物研发，也就是本项目在 第 9 章反复指出的、
    「验证器最贵」的那个领域**——一条候选药物要不要算数，得靠临床试验来判，而临床试验的周期与成本都不受算法进步支配。
    **所以这个案例与「验证器成本决定预测可兑现性」这个假说是*一致*的。**
  
  **但一致不等于成立，本材料在这里明确停住。**
    **一个样本推不出跨领域规律**：要说「验证器便宜的领域预测更容易兑现」，至少需要
    ① 一份完整的预测清单作分母、② 每条预测有事前可判定的兑现标准、③ 领域的验证成本有独立于结果的刻度——
    这三样本材料一样都没有。因此本章**删掉了「验证器便宜的领域预测大多兑现、昂贵的领域落空」这个概括**，
    只保留「**这一例与该假说一致**」。**而且要注意反向解释同样成立**：
    药物研发的周期本来就以年计，一条 2024 年做出的「几年内」预测在 2026 年还没兑现，
    用「他对临床时间线一贯乐观」就能解释，根本不需要动用验证器成本这个框架。
  
  处理方式上，他选择的是**重设日期**而不是修正估计方法——这是一个值得继续观察的信号。
    如果 2026 年底再次推迟且仍不说明估计方法哪里错了，那么这条预测就从「一次误判」变成了「一个值得怀疑的系统性偏差」。
  
  
  
  
  
    **反方主张：本材料能看到的「落空预测」本身是被筛选过的样本——
      而筛选规则恰好会让被观察者显得比实际更诚实。**
  
  
  
  
    能进入公开记录的落空预测，几乎都满足两个条件之一：
      **① 当事人自己重新提起**（因此他有机会同时给出解释与修正）；
      **② 被媒体追问**（因此通常发生在他声誉足够高、值得追问的时候）。
  
      **那些当事人不再提、媒体也不追的预测，会静默地从记录里消失。**
      本章引用的这一条正属于第 ① 类——它之所以可核，恰恰因为当事人后来又谈起了它。
  
  
  
  
    反方成立的条件：只要「预测落空」与「预测被记录」不独立，这个偏差就存在。
      **本材料无法反驳这一点**——要反驳它，需要一份**事前登记**的预测清单，
      而本项目引用的所有预测都是**事后从公开发言里捡出来的**。
  
  
  
  
    **反方成立，本章据此把这条降级为方法建议，而不是评价结论。**
      可保留的是：**「看一个人怎么处理落空」比「看他兑现了多少」更有信息量**——
      这是方法论主张，不依赖样本完整性。
  
      **必须撤回的是**任何形如「他的预测记录整体可信 / 不可信」的评价——
      **那需要一个完整的分母，而本材料的分母被当事人与媒体共同筛选过。**
  
      ★**这一条同样适用于本材料自己**：本项目对各家公司的预测台账都建立在公开发言上，
      **因此系统性地偏向那些愿意公开复盘的人。**

  8.6 人物与组织：三条必须按 2026-07 状态核对的事实

• Isomorphic Labs 成立于 2021-11-01；「数字生物学（digital biology）」这个词就是在其成立博客中命名的^[45]。

• Demis Hassabis 同时是 Google DeepMind 与 Isomorphic Labs 的 CEO， 这一点见其 Substack 的署名行 “Nobel Laureate | Co-Founder & CEO, Google DeepMind & Isomorphic Labs”^[8]。

• John Jumper 已于 2026-06-19 宣布离开 Google DeepMind 加入 Anthropic，新职位未披露（Bloomberg 报道，可信度中高）^[46]。 也就是说，AlphaFold 的两位诺奖得主，有一位已经不在这家公司。

• Lila Ibrahim 自 2026-01 起任 Google DeepMind 首任 Chief AI Readiness Officer，不再是 COO^[47]。 注意：GDM 官网 Responsibility 页在冻结日仍显示旧 title，属官方页面滞后，不能作为当前职位依据。

  全部人物职位以 第 2 章人物志为准；本章只引用与安全治理直接相关的部分。

  九、本章的已知不确定性

  下面这张表集中登记本章没有解决的问题。它们不是遗漏，是被明确标注的空白。

  按本项目的纪律：**「看起来确定的错误答案」比「明确标注的存疑」危害大得多。**

| | 条目 | 现状 | 本材料的处理

| | 欧盟 AI Act 的具体推迟日期与罚款比例 | 第 50 条的适用日期（2026-08-02）与宽限期（2026-12-02）已核到欧盟委员会官方 FAQ； 但附件三 2027-12-02 / 附件一 2028-08-02 这两个推迟日期只核到律所与咨询机构对最终文本的解读， 罚款比例本材料一律不写 | 官方 FAQ 能支撑的按 A 级写、逐条给链接；推迟日期在表 10.6 的 caption 里显式降级为 B 级并说明未核官方公报原文； 罚款比例整项留白（第 7.4 节）

| | 「appropriate governance function」的组成与决议披露 | FSF v3.0 全文没有写 | 写进批判块，作为框架的结构性空白（第一节）

| | 三家框架改版是收紧还是放松、是否在阈值将被触发前夜发生 | 三家均未公开 | 「更新频率」的两种读法并列，不选边（第二节）

| | Demis 在高问责场合（财报会 / 法庭）的措辞 | 本材料未找到语料 | 「分工」解释的可证伪判据目前未被检验，已明确标注（第五节、TL;DR 第 3 条）

| | 2025-02-04 之后实际被拒绝的项目类型 | Google 未披露；无透明度报告、无拒绝案例、无裁决主体名单 | 这是「红线降级 vs 红线换写法」这个分歧的唯一判据。本材料只写到「形式从公开列举变成内部裁量」， 「是否放松了约束」在冻结日无法判定，四段式反方块与本行同步（第 6.1 节）

| | Demis 公开预测的完整可核台账 | 本材料没有完整清单：缺分母、缺事前可判定的兑现标准 | 因此删除「唯一落空」「大多兑现」等比例性表述；药物时间线一例只写「与验证器成本假说一致，单例不足以建立跨领域规律」（第 8.5 节）

| | 2010 年那份商业计划书的原始文本 | 本材料未取得；能拿到的只有他本人 2024 / 2025 年的两句事后回述， 且两句用的词不同（「20 年使命」A 级 / 「商业计划书」B 级字幕转录） | 正文只写「20 年使命」；「商业计划书」出现时必须标 B 级。 明确写出这个锚点无法被第三方审计，也无法判断原文究竟是哪一种表述（第 4.2 节）

| | 同期第三方预测的对照序列 | 本材料未取到可直接引用的第三方对照序列（公开聚合预测平台页面本轮未取得可稳定引用的快照） | 不编任何对照数字；因此本章不把「中心值十六年不动」当作可信度的证据， 只把它当作一条可观察事实（第 4.2 节）

| | Demis 在宣誓证词 / 监管听证等高问责场合的措辞配对样本 | 本材料未找到；缺的是同一人、同一时间窗、同一问题的低/高问责成对样本 | 「问责距离」只登记为尚未获得识别策略的候选解释，不写成已验证机制（第 5.2 节）

| | ARC-AGI-1 与 ARC-AGI-2 的同模型同设置配对成绩 | 本材料未取得可核的配对表；图 10.2 只有 ARC-AGI-2 一侧 | 删除「换一代题成绩断崖」的说法，图注只保留「新题把绝对得分压低」这一层（第 3.5 节）

| | Gemini 3.5 Flash Cyber 的试点范围与评测条件 | announcement 之外无试点名单、无独立模型卡、无 harness / 数据集 / thinking 设置披露 | 统一写「announcement；future limited pilot；厂商示意图，评测条件未披露；冻结日无独立模型卡」； 不引用其任何评测数值（第 6.3 节）

| | FSF v2.0 的 PDF 原件 | 版本号与日期已核到 v3.0 PDF 的「Past versions」与官方博客；v2.0 文件本身本材料未单独存档 | 日期统一写「2025-02-04 发布 / 版本日期」（不写「生效」，官方无单独生效日）； 三项变化按官方要点概括并标明来源边界，如与原文有出入以原文为准（第 1.1 节）

| | TED2024 两段引语的官方逐字文本 | 本材料只有第三方转录站文本，未与官方视频复核，无时间戳 | 两处一律改为转述、去掉引号并加 转述 标记，不进第 12 章金句库（第 3.3 / 8.2 节）

| | Gemini 3.5 Pro 缺席的原因 | 媒体报道称未达内部性能目标；本材料未取得可直接引用的一手链接 | 标可信度 B；明确写出不是安全原因，因此不能用作「Google 仍然保守」的证据（第 6.3 节）

| | BIS 指令函件的内容与适用的管制理论 | 函件未公开，公开记录中理论有争议 | 整段标「二手、存在冲突」；中国关联组织的说法为单一信源且被 Anthropic 否认（第 7.3 节）

| | Apple–Google 交易的金额与模型规模 | 「约 10 亿美元/年」「1.2T 参数」只见于媒体与聚合站 | 按媒体口径、双方未确认处理，不进正文事实（第 7.2 节）

| | Anthropic–Google TPU 交易的金额与投资额 | 「5 年 2000 亿美元」「至多 400 亿美元投资」为匿名信源

         | 标存疑，双方未证实（第 7.5 节）

| | 2026 Q2 首次向客户数据中心交付 TPU 的客户与代际 | Alphabet 未披露 | 不得指认为任何具体公司（第 7.5 节）

| | DeepMind 2021 年独立实体谈判的代号与红线内容 | 媒体报道，本材料未取得一手文件 | 标可信度 B；与 2025-02-04 之间只写时间先后，不写因果（第 6.1 节）

| | Jack Rae 截至 2026-07 的所属机构 | 本项目两份基线文件结论冲突：一份记为 GDM 项目署名、当前 title 未核实；另一份记为 2025-06 已转 Meta Superintelligence Labs | 只引用他 2025-04 说这句话时的身份（Gemini 2.5 技术负责人），不写当前所属（第五节）

| | FINRA 式标准机构的落地状态 | 截至 2026-07-25 无成立公告 | 提案本身为一手；落地与否作为第三节给出的可证伪判据，留待 2027 年检验

| | 2023-11 Bletchley 峰会的单日精确日期 | 该峰会会期为两天 | 写作与图表统一记为 2023-11-01/02，不指定单日

    表 10.5 · 本章已知不确定性登记表，冻结时点 **2026-07-25**。
      凡表中条目，正文里均已就地标注，不存在「正文当事实、表里当存疑」的两套口径。




### 9.1 单点证据脆弱性登记

第 11 章在本轮返工中吃了一个教训，值得在这里同步登记：
  **一个数字过期，可能同时抽掉好几层论证的地基**（ARC-AGI-3 从 7.78% 更新到 30.16%，
  一次性废掉了三处结论）。本章的论断大多建立在**官方文本与日期**上，
  这类证据不会像 benchmark 分数那样漂移；但仍有几条是**单点证据**，列在这里。

| | 结论 | 它依赖的那一个证据 | 什么变化会让它需要重估

| | 「红线的形式从公开列举变成内部按能力触发的裁量」 | 2025-02-04 的同日双动作——一次事件，不是一组统计 | 本章已配四段式反方块并明确写「冻结日无法判定」。任何一份披露实际拒绝案例的透明度报告，都可能直接判出胜负

| | 「前沿实验室怕的不是被监管，而是被无法预期地监管」 | Fable 5 / Mythos 5 一次出口管制事件（2026-06-12 → 06-30）+ 一个月后的 FINRA 提案 | 这是单事件的时序相邻，不是因果证明。若出现第二次类似干预而无对应提案，或提案被证明早于该事件成稿，本判断需重估

| | 「自愿技术承诺跑在强制合规前面」 | SynthID 的一次官方规模披露（2026-07-01）与 欧盟第 50 条 2026-08-02 生效的时间差 | 时间差是事实，「因此获得标准定义权」是推断。判据已写明：看 08-02 之后的技术标准讨论是否引用既有实现

| | 「Isomorphic 的临床时间线推迟与验证器成本假说一致」 | 一条预测的一次推迟 | 已按 Phase 3 意见删除「唯一」「大多」，并写明单例不能建立跨领域规律；建立规律所需的预测台账本材料没有

| | 「AGI 2030 与 AGI 还早可以用角色分工解释」 | 零个关键语料——缺 Demis 在财报/法庭场合的样本 | 这条已明确标为**「缺少检验条件」**，既非证实也非证伪。它是本章最弱的一条，已在 TL;DR 同步降级

| | 「AGI 2030 这个锚点来自一个二十年期的组织目标」（整条时间表的地基） | 2010 年那份商业计划书的原文至今未被取得； 全部证据是他本人事后十四年的两句回述，其中「商业计划书」这个说法只见于 B 级字幕转录 | 它不构成造假嫌疑，但它意味着这个锚点无法被第三方审计。 什么变化会让它需要重估：任何一次原始文件的公开、披露或在诉讼证据开示中出现； 或他本人给出与现有两句回述不一致的第三种表述—— 后者会直接改变「这个数字当初是不是一个可检验的时点」这个判断

| | 「分工说」三层解释中的 (c) 问责距离 | 缺识别策略——「问责距离」目前没有可操作的测量方式， 无法把它与「这个人本来就这么说」分开 | 本章只把它登记为候选解释，不写成机制。 什么变化会让它需要重估：出现同一人在低/高问责场合的措辞配对样本 （同一时间窗、同一问题、一次播客一次财报会或证词）。 有了配对样本，这一条要么升级为有证据的机制，要么被证伪；在此之前两种都不能写

| | 「David Silver 离职是一条关于路线的内部分歧证据」 | 解释依赖一个额外前提：把它读成时间表判断，需要「新范式在 2030 年前来不及」这个前提， 而本材料没有这个前提，当事人也没有公开给过 | 本章只写「路线分歧」，不写「时间表投票」。 什么变化会让它需要重估：他本人公开给出 AGI 时间判断（那样就不再需要推断）； 或 Ineffable Intelligence 拿出可复现的可比系统（那样「需要新范式」这一半获得实证支持）； 或 GDM 官方撤下 / 修改那篇官方域名托管的文本（那样「内部分歧」这一层的证据基础改变）

    表 10.8 · 单点证据脆弱性登记，冻结于 **2026-07-25**。
      **登记标准**：结论若移除某一条证据就不再成立，即计入。
      **脆弱不等于错误**——但脆弱的结论必须知道自己脆在哪，否则下一次数据更新时没人知道该回头改哪里。




### 9.2 两条四要素完整的可判定预测，以及本章其余判据的正确名称

本项目对「可判定预测」有一个硬定义：**主体 / 指标 / 阈值 / 截止日期，四要素齐全**，
  缺一条就不能叫预测。本轮跨章审查了 17 条被称作「可判定预测」的条目，
  **严格四要素完整的只有 7 条，能双向裁决它所声称的原命题的只有 1 条。**
  本章据此补两条四要素完整的，并把本章其余的判据改回它们本来的名字。

| | 编号 | 主体 | 指标与阈值 | 截止日期 | 判法（必须事前写死）

| | D4 | Demis Hassabis 本人的公开表述 | 他公开给出的 AGI 中心值是否移出 2029–2031 这个区间 | 2026-12-31 | ★判法必须写明，否则这条会被读错：「他不再报中心值」不等于「中心值没动」。 不报只增加锚定疑虑，不能当作「不动」的证据。 因此这条的判定需要他确实给出了新数字： 给出且落在区间外 → 锚点存在更新机制；给出且仍在区间内 → 锚点未动。 如果到期他没有再给数字，本条记为「无法判定」，而不是「未被证伪」。

| | D16 | Gary Marcus 与 Miles Brundage 的公开对赌，由双方共同认可的评委小组裁定 | 清单上的十项任务中，到期存在能完成 ≥8 项的 AI 系统 | 2027-12-31 | 条款公开、清单固定、金额明确（达成 ≥8 项则 Marcus 向对方指定慈善机构捐 2,000 美元； 少于 8 项则 Brundage 捐 20,000 美元）^[48]。 这是本材料找到的唯一一条同时有第三方裁判、明确清单、明确金额的公开对赌， 因此它是本章少数能双向裁决的判据：≥8 项 → 「AGI 还早」一侧需大幅让步； <8 项 → 「2030 前后」一侧需要解释两年内的跳跃。 它的判定权不在任何一方手里，这正是它的价值所在。

    表 10.9 · 本章补入的两条四要素完整的可判定预测。
      **D16 之所以珍贵，不是因为它更聪明，而是因为它的裁判不是当事人。**
      判断一个预测者，看的不是他说对过什么，是他愿不愿意把判定权交出去。





  下面这些在本章其它小节出现过，此前的措辞容易让人误以为它们是可判定预测。**它们不是。**
    改名不是降低它们的价值，而是**不让它们借「预测」的名义拿到自己没有的确定性**：

• FINRA 式标准机构是否成立、是否有实验室因它推迟过发布（第 3.5 节）—— 有主体、有日期（2027 年），缺阈值：「推迟过一次发布」由谁认定、以什么口径记录，都没有定义。→ 观察清单。

• Demis 在高问责场合的措辞是否向 Sundar 收敛（第 5.2 节）—— 缺阈值也缺截止日期，而且「收敛」目前没有可操作的度量。→ 观察清单， 并且它连样本都还没有（见第 5.2 节对配对样本的要求）。

• 2026-08-02 之后第 50 条的技术标准讨论是否引用既有实现（第 7.4 节）—— 有主体、有大致时间窗，缺阈值（引用到什么程度算「采用了既有实现」）。→ 观察清单。

• 是否出现披露实际拒绝案例的透明度报告（第 6.1 节）—— 缺截止日期：这类披露完全取决于披露方，没有任何一方承诺过时点。→ 观察清单。

• Isomorphic 的临床时间线是否再次推迟（第 8.5 节）—— 有主体、有日期（2026 年底），阈值依赖「进入临床」的口径（登记、首例给药、还是 I 期读出）。 → 在口径写死之前算观察清单；口径一旦写死，它可以升级为可判定预测。

  **一条通用纪律**：观察清单到期时的正确结论是「观察到 / 未观察到」，
    **不是「被证实 / 被证伪」**。把没有阈值的观察写成证伪，是本材料在其它章节已经踩过的坑。
  
  
  
  
  来源
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
        新版（2025-02-04 起）——2025-02-05 快照（改版后不到一天）：改为
          “Developing and deploying models and applications where the likely overall benefits substantially outweigh the foreseeable risks”；
          「Applications we will not pursue」整段消失。
        现行（2026-07-26 复核活页面）：与 2025-02-05 快照逐字相同。对 166KB 原始 HTML 全文检索，
          exceed 与 downsides 各出现 0 次。
          即：2025-02-04 之后该页没有再被改写过。
        “…widely accepted principles of international law and human rights” 一句在新版与现行页面上均存在，2026-07-26 复核命中。
  
      ⚠️ 归属陷阱：CNBC 2025-02-04 的报道[@src-da87d05bf6]把旧版的同一个句子拆成两半，
      把后半句（含 exceed / and downsides）记作「the new AI principles」。该句逐字存在于 CNBC 文中，
      但它属于旧版。核到字符串 ≠ 核到归属。
      现行官方页（访问日期 2026-07-26） ·
      Internet Archive 快照 · 2025-01-20（旧版） ·
      Internet Archive 快照 · 2025-02-05（新版）
      A（官方一手 + 改版前后各一份存档快照）
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
  
    ← 总览
    上一章：AI for Science
    下一章：2025–2026 前沿最佳实践与行业对照
  
  
  
    Gemini 认知体系全景 · 材料时间边界 2021.01 – 2026.07 · 事实冻结于 2026-07-25
  
  
  
    本章中，正文为有出处的事实陈述；**紫色「本质洞察」**与**橙色「批判 / 局限」**为作者判断。
    引语标「转述」者非原话，标「译文」者以英文原文为准。数字凡官方未披露的均标注为外部估算或媒体口径。