当AI代理开始"失控"，谁来做审计师：AIUC 5500万美元，把SOC 2的逻辑移植到AI代理安全
当AI代理开始”失控”，谁来做审计师：AIUC 5500万美元，把SOC 2的逻辑移植到AI代理安全
Jacob Coxon离职的前一天，在Anthropic做了三年AI安全研究员，写了一篇辞职信，发布在网上，说”AI可能在本十年结束之前杀死我们所有人”。
第二天，我见到了Rune Kvist和Rajiv Dattani。
这是TechCrunch记者的开场白，带着一种有点荒诞的对比感：一边是AI安全研究员因为绝望而离职，一边是两个人声称他们找到了一个现实可行的解决方案。
Kvist和Dattani的公司叫AIUC（Artificial Intelligence Underwriting Company，人工智能核保公司）。本周，AIUC宣布完成4000万美元A轮融资，由Ribbit Capital领投，First Harmonic参投；加上此前的1500万美元种子轮（来自Nat Friedman的NFDG基金、Emergence、Terrain，以及Anthropic联合创始人Ben Mann），累计融资达5500万美元。
Kvist是Anthropic的早期员工，同时也是Dattani的连襟。Dattani是AI安全研究组织METR（之前叫ARC-Evals）的前首席运营官。他们的背景组合很有意思：一个从AI公司内部看过AI安全问题，一个从AI安全评估机构外部看过AI公司。
他们看到的是同一个问题，从两个不同的方向。
企业为什么不部署AI代理：不是能力不够，而是无法保证
“银行、医院、政府和军队如今不再因为模型不够智能而拒绝部署AI，”Kvist对TechCrunch说，”他们拒绝，是因为他们向自己的客户做出了关于系统行为的承诺，而目前没有任何机制能保证这些承诺得到遵守。”
这句话值得拆解。
当一家银行说”我们保证不会把你的投资决策信息分享给竞争对手”，这是一个法律合规承诺。当一家医院说”我们的AI助诊系统不会在没有医生确认的情况下给出诊断”，这是一个医疗安全承诺。当一个政府机构说”我们的AI审批系统不会基于种族或性别做出歧视性决定”，这是一个反歧视法律承诺。
在没有AI代理的时代，这些承诺相对容易保障：软件是确定性的，遵循明确的规则和逻辑，审计路径清晰，如果出了问题可以直接追溯到代码层面。
但AI代理不是这样工作的。AI代理是概率性的，每次运行的结果取决于大量上下文因素，它会根据当前情况做出判断，而不是执行预先写好的规则。这个能力让它比传统软件更灵活、更有用，但同时也让”保证它不会做某些事”变得极其困难——因为你无法穷举所有可能的场景，也无法像检查代码那样直接验证AI代理的决策逻辑。
这是AIUC要解决的核心问题：如何在一个概率性系统上，建立一套类似于传统软件审计的可信任保障机制？
AIUC-1标准：借鉴SOC 2，但专门为AI代理设计
AIUC的解决方案是构建一个叫做AIUC-1的标准，以及一套基于这个标准的第三方审计和认证服务。
SOC 2（Service Organization Control 2）是传统软件安全领域最广泛使用的第三方审计标准，要求服务商证明他们的系统在安全性、可用性、数据完整性、机密性和隐私五个方面满足特定要求。当一家企业说”我们是SOC 2认证的服务商”，采购方可以不用自己去检查所有代码和配置，而是信任这个第三方认证的结论。这大大降低了企业采购的尽职调查成本。
AIUC的逻辑是：AI代理需要一个类似的标准——一个可以让”买AI代理服务的人”信任”卖AI代理服务的人”的第三方保障机制。
为了构建AIUC-1标准，AIUC聚集了大约250名安全和风险领域的资深人员——这些人是实际上负责在企业里购买AI代理服务的决策者——定期召开工作坊，问他们同一个问题：”当你从供应商那里购买AI代理时，你最担心的是什么？你在合同里写不进去却最想要保证的是什么？”
把这些担忧系统化，转化成可以被审计、可以被测试的具体指标，就是AIUC-1标准的内容。
具体包括哪些维度？AIUC没有完整公开AIUC-1的全部内容，TechCrunch的报道中也没有逐条列出标准细节。但根据Kvist的描述和AI代理安全领域的通行框架，可以推断会涉及这样几类核心问题：边界遵守（代理是否会超出被授权的行动范围）、数据保护（代理是否会在不应该的情况下访问或传输数据）、人类监督（代理是否会在关键决策点前主动寻求人类确认）、可解释性（代理的决策路径是否可以被事后审计）、行为一致性（代理在不同上下文和压力条件下是否表现出一致的行为模式）。这些分类是基于行业惯例的推断，而非AIUC公开披露的完整标准文本。
为什么是”承保”而不是”咨询”
AIUC名字里的”Underwriting”（核保/承保）这个词，不是随便选的。它暗示了一种不同于传统合规咨询的商业模式。
传统的合规咨询是：我告诉你应该做什么，帮你建立政策和流程，但我不对结果负责。如果你按照我的建议做了，后来还是出了问题，那是你执行的问题，不是我建议的问题。
AIUC的模式更接近于保险核保：我评估你的AI代理系统，如果它满足AIUC-1标准，我给你发认证，这个认证是一个有法律效力的声明——我已经验证这个系统在特定条件下不会做某些特定的事情。如果后来出了问题，AIUC作为认证方需要承担相应的责任，而不只是说”你没有执行好我的建议”。
这个模式需要AIUC真正去测试AI代理的实际行为，而不只是检查文件和政策。这也是为什么Kvist强调他们建立了一套”测试服务”（testing service），而不只是标准文件。
对于企业采购方来说，这个差别是很大的：当我需要向董事会解释为什么批准了一笔AI代理服务采购，”该供应商通过了AIUC-1认证，这是一个有法律效力的第三方审计结论”，比”该供应商提交了一份SOW说他们的系统很安全”，说服力完全不同。
客户：Cursor、Lovable、Harvey、ElevenLabs
AIUC目前的客户包括Cursor（AI代码编辑器）、Lovable（AI应用构建平台）、Harvey（AI法律助手）、ElevenLabs（AI语音合成）。这个客户列表很有意思——不是大型传统企业，而是正在快速扩张、需要向企业客户证明自己可信任度的AI原生公司。
对于这些公司来说，AIUC认证的价值是双向的：对外，它让他们在向金融、医疗、法律等行业的企业客户销售时，有了一个具体的可信任证明；对内，AIUC的测试过程可能帮助他们发现自己AI系统里的边缘case和意外行为，这本身就是有价值的产品安全输入。
Harvey是一个特别值得关注的案例。作为一个AI法律助手，Harvey面临的合规压力极高——法律服务错误可能导致法律诉讼，律师事务所对风险管理的要求远高于一般企业。Harvey能够向律师事务所的采购决策者说”我们通过了AIUC-1认证”，可能直接解决了它的销售漏斗里最大的阻碍之一。
背后的资本逻辑：Ribbit Capital为什么押注
Ribbit Capital是一家专注于金融科技领域的风险投资机构，过去的代表投资案例包括Robinhood、Brex、Wise等。它投AIUC，不是在赌”AI代理安全”这个技术方向，而是在赌这个类别会发展出一个类似于金融合规服务行业的稳定商业模式。
金融合规服务是一个规模庞大、利润稳定、高度专业化的行业：审计公司、法律顾问、合规咨询、信用评级机构，这些服务提供者靠的是他们的声誉和专业知识，而不是技术上的竞争优势。一旦建立了品牌和信任，这类公司的客户粘性极强，因为更换合规服务提供者本身就是一个有成本和风险的决策。
AIUC如果能成功建立AIUC-1标准的行业认知，就能在AI代理领域复制这个商业模式：不靠AI技术本身赚钱，靠”给AI代理盖章认证”这个服务赚钱。这是一个轻技术、重声誉的商业模式，刚好适合Ribbit Capital擅长的金融服务业投资逻辑。
AI代理安全的技术挑战：为什么这么难
要理解AIUC试图解决的问题的难度，需要先理解为什么AI代理安全和传统软件安全是本质不同的问题。
传统软件是确定性的：给定相同的输入，软件总是产生相同的输出。你可以写自动化测试，枚举所有可能的输入情况，验证每种情况下的输出是否符合预期。如果测试全部通过，你有相当的把握说这个软件在这些情况下是安全的。
AI代理是概率性的：即使给定完全相同的输入，代理的输出也可能每次不同，因为它受到模型内部状态、采样参数、上下文窗口等多种因素影响。更重要的是，AI代理的决策过程通常是不透明的——你知道输入，你知道输出，但你不知道为什么它给出了这个输出，也很难预测在边缘情况下它会给出什么输出。
这让传统的”枚举测试”方法失效了。你无法枚举所有可能的企业业务场景，也无法枚举所有可能的用户提示词，更无法枚举所有可能触发代理意外行为的上下文组合。
AIUC的方法是从另一个角度切入：不是要证明系统”在所有情况下都安全”（这在技术上可能是不可能的），而是要证明系统”在特定定义的行为边界内通过了大量对抗性测试”。这个方法论上的转变——从完整性证明到边界测试加统计概率——是AIUC-1标准设计的核心哲学。
“我们实际上是在问：当有人试图让你的AI代理做一些它不应该做的事情时，它能多大概率地正确拒绝？”Kvist说，”没有任何AI系统能达到100%，但我们可以说某个系统在5000次对抗性测试中通过了4900次，这是一个有意义的指标，比’我们有安全政策文件’要有意义得多。”
更大的背景：研究员离职潮和制度性AI安全
AIUC出现的这一周，发生了一件值得一起读的事：一批Google DeepMind的AI安全研究员集体离职，发表公开声明表达对AI发展速度的担忧。与此同时，Anthropic的研究员Jacob Coxon离职并发文警告。Pew Research Center的数据显示，52%的美国人”对AI更担忧而非兴奋”。
这些事件描述的是一个宏观层面的AI安全担忧。AIUC描述的是一个微观层面的具体解决方案。两者之间有着直接的关联：当越来越多的人——包括AI领域内部的专家——表达对AI安全的担忧，企业在采购AI系统时面临的内外部压力就越来越大，对”可信任的第三方保障机制”的需求就越来越强。
AIUC的价值主张，恰好站在这两个层面的交叉点上：它不试图解决”AI会不会毁灭世界”这个大问题，它只试图解决”我在我的企业里部署的这个AI代理，会不会做一些让我后悔的事”这个小问题。
有意思的是，Kvist本人是从Anthropic内部离职来创业的，而AIUC的种子轮投资人之一是Anthropic的联合创始人Ben Mann。这是一个有点复杂的关系：Anthropic是Kvist工作过的公司，也是AIUC在某种程度上要”监管”的AI系统提供者之一。这种关系在传统行业里不太常见，但在AI行业的2026年，产业链的相互交织让类似的复杂关系越来越普遍。
还没有答案的问题
AIUC面临的最大挑战之一，是如何建立足够广泛的行业信任，让AIUC-1成为真正被认可的行业标准，而不只是AIUC自己设计、自己认证的私有标准。
SOC 2之所以有公信力，是因为它基于AICPA（美国注册会计师协会）多年建立的专业标准体系。如果AIUC只是一家初创公司自定的标准，大型企业的合规部门会问：谁来监督AIUC本身？谁来认证AIUC的认证是可信的？
这个问题目前没有答案，但AIUC的250人用户顾问委员会（由企业安全决策者组成）是朝着建立外部公信力迈出的第一步。如果这个委员会能够变成一个真正独立的标准制定机构，而不只是AIUC的背书背景，AIUC-1就有了更强的行业认可基础。
另一个未解决的问题是AI能力的快速进化。AIUC-1今天测试的AI代理，可能是基于GPT-6 Astra或Claude Fable 5.1的。但如果六个月后，一家公司发布了能力大幅跃升的新一代模型，旧的AIUC-1认证还算数吗？认证周期如何与AI能力的快速迭代保持同步？这些都是AIUC需要在扩展规模之前回答的问题。
关键数字
- 融资总额：5500万美元（1500万种子轮 + 4000万A轮）
- A轮领投：Ribbit Capital（金融科技专注VC）
- 种子轮投资人：Nat Friedman（NFDG基金）、Emergence、Terrain、Anthropic联合创始人Ben Mann
- 用户顾问委员会规模：约250名安全和风险决策者
- 客户：Cursor、Lovable、Harvey、ElevenLabs
- 创始人背景：Kvist（早期Anthropic员工）、Dattani（前METR COO）
参考资料：
- TechCrunch: “Early Anthropic hire, former METR COO have found a way to rein in rogue AI agents” (2026-09-15) — https://techcrunch.com/2026/09/15/early-anthropic-hire-former-metr-coo-have-found-a-way-to-rein-in-rogue-ai-agents/
- Reuters/MSN: Jacob Coxon和AI研究员离职报道 (2026-09-15)
- Pew Research Center: AI公众态度调查 2026 (cited in Yahoo News 2026-09-15)
- AIUC官网 — https://aiuc.com/
为什么这个时机是对的
有一个宏观背景让AIUC的商业时机格外好：AI代理部署正在从”试验项目”进入”全面铺开”阶段。
根据Dreamforce 2026上公布的《State of Salesforce》调查数据，55%的企业已经在生产环境中部署了AI代理，69%的首席AI官（CAIO）表示变革管理是他们面临的最大挑战。”变革管理困难”，很多时候就是”我知道这个技术很强，但我不知道怎么向合规部门、监管机构和董事会解释为什么我应该信任它”。
AIUC填补的，正是这个认知空白和信任空白之间的鸿沟。
另一个数据点：一份2026年企业AI安全报告（Reco Agent Security Report）发现，80%的企业AI工具在IT部门不知情的情况下运行，这意味着大量企业的AI代理部署是在没有系统性安全审计的情况下发生的。这个数据令人担忧，但对AIUC来说，它也是市场机会的量化描述：有大量需要被审计的AI代理，已经在运行了，但还没有被认证。
随着AI代理从”创新实验”变成”核心业务基础设施”，这个认证需求的紧迫性只会越来越高，而不是越来越低。AIUC的A轮融资出现在这个时间节点，可能不是偶然，而是这个需求从”潜在的”变成了”真实的”的市场信号。
从Kvist的角度来说，他在Anthropic工作三年，见证了AI能力的快速提升，也见证了AI安全问题从”学术讨论”变成”真实的企业部署阻碍”的全过程。他和Dattani离开各自的前岗位创业，选择的是在商业机制里解决这个问题，而不是继续在研究机构或AI公司内部讨论它。这个选择本身就是一种判断：光靠讨论是不够的，需要一个具体的市场机制来把安全需求转化为可持续的商业产品。
结语：一个小问题，一个大市场
“AI可能杀死我们所有人”和”有人在认真构建AI代理的审计标准”——这两件事同时发生，不是矛盾，是一枚硬币的两面。
前者代表的是宏观的、系统性的、可能需要十年以上才能有清晰答案的AI安全挑战。后者代表的是现在、今天、可以立即开始解决的微观具体问题：在企业级别，我如何知道我部署的这个AI代理是可信任的？
AIUC选择聚焦在那个可以立即回答的小问题上。这个选择不是因为大问题不重要，而是因为小问题是现在唯一可以用商业机制有效解决的问题，而解决小问题积累的方法论、标准和信任基础，最终可能成为回答大问题的一部分基础设施。
Jacob Coxon离职是因为他觉得机构内部的努力不够。Rune Kvist和Rajiv Dattani离职，是因为他们觉得可以在机构外部构建一个更有效的解决机制。同样是对AI安全问题的严肃对待，走上了两条完全不同的路。
2026年，这两条路都在同时延伸，没有人知道哪条更有效，但它们都在发生，这本身就是一件令人略微安心的事。
今天的AIUC，最重要的工作是建立信任——对企业客户的信任，对AI代理供应商的信任，对标准本身的信任。这是一个需要时间和案例积累的过程，不是靠一轮融资就能解决的。但5500万美元的资金池，给了他们足够的跑道来证明这件事是可以做到的。
对于关注AI治理的研究者和政策制定者来说，AIUC代表的这种”用市场机制解决AI安全问题”的路径，值得认真观察。它不依赖政府立法，不依赖AI实验室的自律承诺，而是用一个独立的商业认证机构来填补制度空白——这套逻辑在其他行业已经被验证过多次，AI行业没有理由不能复制。