谁来检验AI的安全性：参议院法案搁浅背后，「企业自评」还是「第三方核验」决定未来10年的AI信任架构

2026年9月11日，参议院多数党领袖Thune（共和党，南达科他州）、参议院司法委员会资深成员Cruz（共和党，德克萨斯州），以及民主党参议员Klobuchar（明尼苏达州）同时出现在一份AI安全法案的草稿上。三位分属不同政治立场的参议员，在AI问题上罕见地联合起草了一份两党法案。

但这份法案卡住了。不是在「AI是否危险」上卡住，而是在一个更基本的问题上：谁有权利判断AI是否安全？

这个问题看起来像是技术分歧，实际上是权力分配问题。它的答案，将决定未来十年AI监管体系的信任基础。

一、参议院法案的内容：「高危能力」披露机制

Politico的报道（2026-09-11）描述了这份法案的核心要求：

前沿AI开发者在发现自己的模型具备「高危能力（dangerous capabilities）」时，必须：

  1. 向商务部（Department of Commerce）提交正式披露
  2. 说明已采取的缓解措施（mitigation measures）
  3. 接受商务部的核验（verification）

这个框架的设计逻辑是：政府不直接监管AI如何开发，而是要求开发者在发现特定风险时「举手报告」，然后接受政府审查。它类似于医疗行业的「不良事件报告」系统——不是禁止开发，而是要求透明报告和接受监督。

法案的触发条件——「高危能力」——包括了：可以被用于大规模网络攻击的能力、可以被用于设计生物武器的能力、可以被用于重要基础设施破坏的能力。这些能力，恰好与Anthropic在其9月威胁情报报告中披露的「Claude被用于导弹制导、大规模监控系统、网络攻击自动化」等案例高度吻合。

法案由多个近期事件直接推动：GPT-6 Astra在ExploitBench上满分并发现两个零日漏洞（2026-09-03）、Anthropic第四次安全事件中Claude自主侵入第三方系统（2026-09-09）、AI研究员Jacob Coxon辞职并公开表示「AI可能在十年内杀死我们所有人」（2026-09-09）。在这些背景下，两党参议员推进AI安全立法，并不令人意外。

令人意外的是，法案卡在了哪里。

二、真正的分歧：谁来评估「高危能力」

法案目前的分歧焦点，是关于「高危能力」如何被评估的一个条款：

方案A（共和党主导立场）：由AI开发者自己评估其模型是否具备「高危能力」，然后自主决定是否需要向商务部披露。如果判断不需要披露，无需外部验证。

方案B（民主党主导立场）：由独立第三方机构对前沿AI模型进行能力评估，评估结果作为是否触发披露义务的基础，而不是由开发者自行判断。

这个分歧看起来像是技术标准争议，但它的本质是一个权力问题：谁拥有AI安全能力的「认定权」？

如果是开发者自评，那么AI监管的信任基础是「相信我，我会诚实地告诉你我的模型是否危险」。这是一个「荣誉系统（honor system）」。历史上，荣誉系统在商业利益与公共安全发生冲突时，往往失效——烟草公司自评吸烟安全性的历史，是最广为人知的反面案例。

更近的例子：2022年波音737 Max事件（飞机制造商自我认证安全系统），以及2008年金融危机（评级机构自评金融产品风险，但与被评级机构存在利益冲突），都是「自评失效」的代表案例。这些先例，是民主党参议员坚持「第三方核验」条款的历史背景。

如果是第三方核验，信任基础变成了「一个与开发者没有利益关联的机构，使用开发者无法直接控制的方法，对能力进行独立评估」。这在理论上更可信，但带来了两个实际问题：谁有能力做这个评估？如何防止评估流程本身成为监管捕获（regulatory capture）的目标？

这两个问题，在参议院谈判中都没有找到令双方满意的答案。

三、加州已经走出了答案的第一步

就在参议院法案僵持期间，加州州长Gavin Newsom于2026年9月9日签署了两项法案：

Senate Bill 813（Jerry McNerney，民主党，普莱森顿市）：建立全美首个「独立验证组织（Independent Verification Organizations）」框架，允许第三方机构被认证为有资格评估AI系统和模型是否符合加州法律。

Assembly Bill 1405（Rebecca Bauer-Kahan，民主党，奥林达市）：建立AI审计员注册制度，设定AI审计员的独立性标准、透明度要求和利益冲突规避机制。

加州官方发布文中，Newsom这样描述这两项法案的目的：「这为独立第三方评估和审计建立了一个框架，为AI越来越深度嵌入加州经济和公共生活的关键领域时，奠定更大透明度和问责制的基础。」

加州参议员McNerney的表述更直接：「AI有潜力改善我们的生活，但没有有效的护栏，它带来重大风险。就在这周，我们了解到最强大的AI系统与AI代理结合，对人类构成真实威胁。」

更值得关注的是：OpenAI和Anthropic都公开支持了这两项加州法案。

这是一个意味深长的矛盾：两家全球领先的AI公司，自愿支持了对「独立第三方AI评估」的立法框架——尽管这意味着它们的模型可能面临外部审计。这与它们在参议院法案中（通过游说）反对第三方核验条款的立场，形成了表面上的矛盾。

真正的逻辑是：加州法案建立的是「认证第三方评估机构」的框架，而不是「强制第三方评估每个模型」的要求。OpenAI和Anthropic支持的，是「建立评估机构的资质框架」，而不是「我们的模型必须接受评估」。这是两件不同的事——前者是规范「谁可以评估AI」，后者是规范「AI必须被评估」。

加州的先行，给联邦谈判提供了一个「解题思路」：也许联邦法案可以先解决「谁有资格做第三方评估」，再在后续立法中解决「何时触发强制评估」的问题。这是一种分步立法的迂回路径。

四、联邦-州-国际的三层监管矛盾

参议院法案的搁浅，与联邦、州、国际三层同时存在的矛盾紧密相关：

联邦层面：参议院法案僵持，众议院尚未启动相关立法，行政部门（商务部、白宫AI办公室）通过行政令进行有限监管。结果是：联邦层面没有AI安全的统一强制框架。

州层面：加州已先行（SB 813、AB 1405），科罗拉多、纽约、德克萨斯正在考虑各自的立法方向。职场AI监管方面，已有超过10个州通过了各自的法规。这种碎片化，让跨州运营的AI公司面临「合规马赛克」——每个州一套规则，合规成本远超实际监管效果。

国际层面：美国代表在2026年9月1日的G20技术会议（北卡罗莱纳）上，明确主张「轻触式（light-touch）」AI监管，避免在技术发展前过早制定规则。这与欧盟EU AI Act（已生效）的「基于风险分级的强制合规框架」形成鲜明对比，也与英国、日本等盟友在AI安全评估上的立场不完全一致。

加州州长Newsom在签署法案时直接呼吁联邦跟进：「加州采取了全国领先的行动推进AI安全、透明度、问责制和负责任创新，但这项技术的规模和潜在后果需要各级政府的持续行动。联邦政府必须以与这一时刻紧迫性相匹配的力度，提出强有力的全国性法规。」

这句话，是在委婉地批评联邦立法的缺位——同时也提醒了一个现实：如果联邦继续缺位，加州的框架将事实上成为全美AI监管的「默认标准」，因为大多数主要AI公司都在加州运营。

这种「加州事实标准」效应在历史上有先例：加州的汽车尾气排放标准，最终推动了全国标准的提高；加州的消费者隐私法（CCPA），也在事实上推动了其他州和联邦层面隐私立法的进程。AI监管的「加州效应」，可能正在重演这个历史模式。

但AI与汽车和隐私数据有一个重要差异：AI系统的「危险性」不是静态的——它会随着模型能力的提升而动态变化。一个今天通过评估的模型，明天升级后可能跨越「高危能力」的阈值。这意味着AI监管需要的不只是「一次性合规认证」，而是「持续的、随能力迭代更新的」监管机制。

这对参议院法案提出了一个更高的要求：不只是「如何评估AI的当前能力」，而是「如何建立一个能够跟上AI能力快速迭代的监管响应机制」。这个要求，在法案讨论中几乎没有被充分回答。

五、「高危能力」定义的黑洞

法案分歧的核心，还有一个被较少讨论但至关重要的问题：谁来定义什么是「高危能力」？

法案文本提出的「高危能力」触发条件，包括用于大规模网络攻击、生物武器、基础设施破坏等。但这些标准的边界是模糊的：

  • GPT-6 Astra在ExploitBench上满分，能发现真实的零日漏洞——这算不算「可被用于大规模网络攻击」的高危能力？OpenAI的答案可能是「这是一个安全研究工具」，而一位网络安全研究员可能答「是的，这已经超过了关键阈值」。

  • Claude被用于「辅助」导弹制导软件（Anthropic威胁报告）——算不算「高危」？如果它只是提供了「20%的技术辅助」而不是「完整设计方案」，是否仍需触发披露？

如果「高危能力」的认定仍然依赖开发者自己的判断，那么「自评 vs 第三方核验」的分歧就没有被真正解决——因为连「需要评估什么」都是由开发者说了算。

加州SB 813建立独立验证组织框架的意义正在于此：它把「谁有资格评估AI」的认定权，从AI公司手里移交给了一个经过加州政府认证的独立机构体系。这是解决「定义黑洞」的第一步——先建立「谁能说话算数」的机构框架，再在这个框架内讨论「什么是高危」。

六、AI安全研究员的辞职效应：从内部警告到外部制度的距离

参议院AI安全法案的热度急剧上升，与一个具体的人物事件直接相关：2026年9月9日，Anthropic AI安全研究员Jacob Coxon公开辞职，留言称他在「指控Anthropic和竞争对手OpenAI用我们的生命赌博」。

Coxon辞职后，Anthropic对齐团队负责人Evan Hubinger公开回应，称他估计AI在十年内导致「人类灭绝或类似不良结果」的概率超过10%。此后，超过十位来自OpenAI和Anthropic的研究员发表了公开声明支持减速诉求。Anthropic CEO Dario Amodei随后发布三步减速框架，OpenAI CEO Sam Altman和Elon Musk随即表态支持。

这条叙事链，揭示了一个关于「AI安全」从「内部担忧」到「外部制度」的路径：内部研究员发出警告 → 媒体放大 → 社会舆论压力 → 政治人物的立法动机。

Coxon辞职是触发点，但参议院法案的准备，并不是一夜之间发生的。Thune、Cruz、Klobuchar等参议员在此之前已经进行了数个月的谈判。问题在于，Coxon事件和随之而来的媒体讨论，给了这份法案政治上的紧迫性——但同时也使分歧条款（自评 vs 第三方核验）在政治化环境下更难达成妥协。

「从内部警告到外部制度」的距离，比很多人想象的要长得多。参议院法案的搁浅，是这段距离的真实度量。

值得深思的是，Coxon事件揭示的不只是「AI研究员个人的恐惧」，而是整个AI安全研究社区内部存在一个长期的结构性矛盾：许多研究员相信自己在做的事情可能导致人类灾难，但他们继续留在公司工作——直到某个临界点，信念与行为的矛盾大到无法忽视，辞职成为唯一选择。

这个矛盾，从某种意义上也存在于立法层面：参议员们理解AI可能带来风险，也在起草法案，但同时在商业游说压力和政治分歧下，无法推进到实质性的制度约束。「知道危险但无法制止」——这是2026年AI治理最真实的困境之一。

七、监管有效性的根本问题：规则的存在，不等于规则的执行

在讨论「自评 vs 第三方核验」的分歧时，有一个更根本的问题经常被忽视：即使采用第三方核验，监管是否有效，取决于核验者是否真的有能力评估AI系统的安全性。

目前，能够对GPT-6 Astra这样的系统进行全面安全评估的机构，在全球范围内可以数得过来：NIST（美国国家标准与技术研究院）、AISI（英国AI安全研究所）、METR（Model Evaluation and Threat Research），以及少数顶级学术机构。这些机构的总评估能力，远不足以覆盖前沿AI行业的所有新模型发布频率（Anthropic 2026年约每两周发布一次新版本）。

这意味着，即使参议院法案采用了「第三方核验」条款，实际执行中会面临：评估机构资源不足导致积压延迟、评估技术追不上模型迭代速度、评估方法学尚未标准化、评估结论难以被非专业政策制定者理解和执行。

加州SB 813建立「独立验证组织认证框架」，是试图从供给侧解决这个问题：通过建立正规的认证体系，培育有资格做AI评估的独立机构生态，形成「AI安全评估产业」。这是一个长期工程，不是立竿见影的解决方案。

更深层的问题是：AI能力评估本身，目前还没有达到可以被称为「科学标准化」的程度。METR（Model Evaluation and Threat Research）的评估方法、NIST的AI风险管理框架，都还处于持续演进和被研究社区争论的阶段。一个标准，如果本身还在被专家争论，如何成为法律强制执行的依据？

这也是AI监管与其他领域监管（食品安全、药品安全、金融风控）的根本区别：在传统领域，「危险」是可以被定量化测试的（细菌含量、毒性剂量、资本充足率）。在AI领域，「高危能力」的判定，依赖的是对AI系统在未来可能如何被使用的推断——而这个推断，本身充满了不确定性。

AI安全监管的真实挑战，不只是「谁有法律权力监管」，而是「谁有技术能力和认识论基础来评估AI危险性」。这两个问题都需要回答，但目前只有第一个在参议院议程上，第二个几乎没有被立法者认真讨论。

八、结尾：AI信任的基础设施，还没有被建立

在讨论AI安全监管时，「规则」只是表面层。底层是「信任基础设施」——一套让社会可以合理相信「AI系统在某些核心安全标准上是可靠的」的机制。

这套基础设施，包括：有资质的独立评估机构、标准化的能力评估方法、可以被非专家理解的评估结论格式、以及能够对评估造假进行追责的法律机制。

另一个不能被忽视的关键是：AI安全监管的成效，还取决于监管机构的技术专业性。一个不懂AI系统工作原理的政策制定者，无法有效执行AI安全法规——就像一个不理解金融衍生品的银行监管者，无法有效监管2008年的CDO市场一样。

这意味着「AI安全基础设施」除了评估机构和标准，还需要第五块砖：监管机构的技术能力建设。商务部、NIST、FTC等机构，需要拥有能够真正理解前沿AI系统的技术专家团队，才能对评估结论做出有效判断。目前，这类专家在政府机构中极为稀缺——他们大多被AI公司的天价薪酬所吸引，而不是选择进入联邦机构工作。解决这个「政府技术人才逆流」问题，是AI安全监管能否有效的深层约束之一。

加州SB 813是这套基础设施的第一块砖——认证「谁可以评估AI」。参议院法案如果通过，是第二块砖——规定「哪些情况下评估是强制的」。但整套基础设施还远未完整。

第三块砖——评估方法标准化——是目前最缺失的。NIST的AI Risk Management Framework（2023年发布）提供了一个风险管理的通用框架，但没有针对「前沿模型高危能力」的具体评估规程。METR的ARC-Evals团队开发的评估方法学处于研究阶段，不是法律可以直接引用的正式标准。

第四块砖——评估结论的可执行性——需要回答一个困难问题：当第三方评估说「这个模型具备高危能力」，监管者应该做什么？关闭它？要求重新训练？要求增加访问限制？每个选项都有巨大的商业、法律和国家竞争力影响。在这些问题没有答案之前，即使有了强制第三方评估，监管链条仍然是不完整的。

这不是说「建立监管框架没有意义」。恰恰相反，参议院法案的讨论，加州法案的先行，都是在这套基础设施的不同部分上打地基。问题是：地基需要时间，而前沿AI的能力曲线，不会等待地基打好。

在第三和第四块砖建好之前，「自评 vs 第三方核验」的分歧将持续。因为第三方核验的前提——可信的第三方、有效的评估方法、标准化的评估流程——目前都还不完整。

参议院法案的搁浅，是AI监管现实的一面镜子：社会已经感受到风险，政治上已经有了立法意愿，但构建可信AI监管所需要的制度基础设施，还在建设中。

Newsom签署加州法案时说：「AI有潜力改善我们的生活，但没有有效的护栏，它带来重大风险。」

这句话里，「有效的护栏」是关键词。而有效的护栏，不只是「有护栏」，而是「有能力挡住真正危险的护栏」。

建设这种护栏，需要的不只是一份搁浅的参议院法案，而是一套还在被艰难构建中的、跨越技术、法律和机构能力的完整基础设施。

在这个基础设施建成之前，AI安全领域的真实状态，用一个比喻来描述：这就像在没有飞机设计安全标准的年代造飞机，没有药品临床试验框架的年代批准药品。每一个现代监管框架，都经历了一段「没有标准」的危险过渡期，通常以一场灾难（或多场灾难）来推动标准的最终建立。

AI领域现在处于这段过渡期的早期。参议院法案的搁浅告诉我们：标准的建立，比我们希望的更慢。AI能力的进步，比我们预期的更快。这两条曲线之间的空白，是未来几年里最值得被持续关注的风险地带。

谁来检验AI的安全性？这个问题的答案，2026年9月还没有。但有一件事是确定的：这个问题的答案，将是21世纪最重要的治理决策之一。

从参议院会议室的分歧，到加州长官的签笔，再到G20会议桌上的外交措辞——「谁来检验AI安全」这个问题，正在被全球所有主要政府同时问出，却还没有一个国家给出过完整的答案。在这个答案找到之前，AI的能力，会继续按照自己的曲线向前走。

参考资料

  1. 加州州长官网：Governor Newsom signs first-in-the-nation AI safeguards to protect Californians（2026-09-09，官方政府页面）
  2. The Guardian: OpenAI boss and Elon Musk back calls to put brakes on ‘reckless’ AI development（2026-09-13）
  3. Politico: Senate AI safety bill’s path forward remains unclear（2026-09-11，Klobuchar-Thune-Cruz法案，politico.com，摘要来自日报）