發布前夜
想像一個前沿實驗室即將出貨它至今最大模型的前一夜。發布頁面已經排版好、媒體禁令九點解除，然後一封信寄到了——來自跑危險能力評測的那支團隊：有一項測試在「生物增益」上的結果，比預期高。這下子，一切都取決於一個與模型本身無關、卻與這家公司息息相關的問題——是否有一條「事先就寫下來」的規則，說明現在該怎麼辦？如果有，路已經選好了。如果沒有，這個決定就落到午夜時分那個房間裡最累、最投入、或最資深的人身上——而那恰恰是你最不想「從零開始臨時發明你的安全政策」的時刻。這篇導引談的，就是那條事先寫下來的規則。
這個樸素的想法，比計算機還要古老。荷馬筆下的奧德修斯想聽女妖賽蓮的歌聲，卻又不想把船開上礁石，所以在危險到來之前——趁他還頭腦清楚——他讓船員把自己綁在桅杆上，並下令無論他之後怎麼喊著要被鬆綁，都不准理會。這就是一種「預先承諾」：你在冷靜的時刻綁住未來的自己，因為你知道，到了情緒上頭的那一刻，你會被誘惑去做錯的事。一份負責任擴展政策（RSP），就是一間 AI 實驗室的那根桅杆。它是一份公開文件，事先固定下來：哪些能力危險到「沒有特定防護措施就不該部署」——以及當實驗室自己的測試絆到這些線時，它「實際上」會怎麼做——正是為了讓發布之夜的某個合理化說辭，無法悄悄地把所有人從謹慎裡勸退。
一家公司為什麼會需要綁住自己的手？因為你在本階段稍早遇過的那個陷阱：競賽動態。每一家實驗室或許都真心想要謹慎，但沒有人想當那個「自己暫停、卻眼睜睜看著一個比較不謹慎的對手衝刺超前、把市場拿走」的人。放著不管，這股壓力會把安全標準一路磨到「最不謹慎的那個行為者願意接受的程度」。RSP 是一條部分的逃生路：藉由公開且事先聲明自己的紅線，一間實驗室試圖把「謹慎」從一種代價高昂的單方面犧牲，變成一個看得見、可比較的承諾——最好還能反過來逼對手也公布自己的。它寄望的是一場安全上的「向上競賽」，而不是「向下沉淪」；至於它行不行得通，是我們在結尾會碰到的、仍在進行的爭論之一。
負責任擴展政策究竟是什麼
現在來看精確的想法，一塊一塊來。RSP 的核心，是由「若—則」承諾搭起來的：形式是「如果我們的評測顯示能力 X 超過門檻 T，那麼我們就會套用防護措施 S——或者乾脆不部署」。把一組一致的這種承諾疊起來，你就得到一道能力門檻的階梯，每一階都配上一個「必須達到的防護等級」。關鍵在於，門檻與回應是在「任何特定模型被測試之前」就寫好的，這樣一來，一個令人不舒服的結果就無法在事後被討價還價地砍掉。評測供給那個「若」；政策供給那個「則」；兩者合在一起，把一次量測，轉換成一個「在大家都還冷靜時就做好的」決定。
那個「則」通常不是單一動作，而是三個，把它們分開來看會很有幫助。第一，部署防護措施：允許使用者拿這個模型做什麼——內容過濾、拒絕回應的訓練、監控、限制存取，或乾脆把某項能力整個留著不放出來。第二，安全防護措施：模型自身的「權重」被保護得多好、能不能擋住竊取，因為一個前沿模型如果權重外洩，偷走它的人就能把它的安全訓練剝掉，使得那些部署管制全都形同虛設。第三，是開發決定本身：到底繼續訓練、甚至部署，是不是安全的，一路到包含「暫停」在內。一份好的 RSP 還會指明：由誰來決定、何時觸發重新評測（例如，在每一個定義好的「有效訓練算力」跳升點）、以及萬一某個門檻在訓練途中意外被跨過了，會發生什麼。
一份成熟的 RSP 裡最巧妙的機制，是一個「後設承諾」：在你打造出一個會抵達「下一個能力等級」的模型之前，就先把那一級所需的防護措施定義好，並承諾在那些防護措施到位之前，絕不越過那條線。正是這一點，讓政策無法被改寫成「剛好配合實驗室碰巧出貨的東西」。它的另一面，正越來越成為一份安全論證：實驗室不能只是「清過了門檻」，而必須提出一個有結構、由證據支撐的論證，主張這個模型「安全到足以部署、或足以繼續訓練」——這是一種向航空業與核能業借來的紀律，在那些行業裡，你不是「沒被證明危險」就能營運，而是要能「正面論證自己是安全的」才行。這個轉變——從「我們沒找到任何令人警覺的東西」，到「這是我們對安全的正面論證」——是這個領域正在前進的最重要方向之一。
- 事先設定門檻與防護措施——在「被討論的那個模型」還不存在之前，就把每一個能力等級（比方說，對生物武器的實質增益，或自主自我複製）以及各自所需的部署、安全與暫停回應，全都定義好。
- 隨能力增長而評測——在定義好的檢查點重跑危險能力評測，例如每一次訓練算力的大幅跳升，而不只是在最後測一次。
- 對照那條線——如果模型停在每一個門檻之下，就以標準防護措施部署；如果它跨過了某一個，事先寫好的那個「則」就會啟動。
- 升高回應——套用該門檻所要求的、更強的部署與安全標準；或者，如果所需的防護措施還不存在，就把模型留著、扣住不放，直到它們到位。
- 公開地對它負責——揭露結果與決定，最好還有一個外部評測者或安全研究所，能查核實驗室自己的評分。
一個實例：ASL 等級與各家框架
最成熟的例子，是 Anthropic 的 RSP，最早於 2023 年公布、之後歷經修訂，圍繞著「AI 安全等級」（AI Safety Levels，ASL）來組織——這是刻意呼應「生物安全等級」（BSL-1 到 BSL-4）的，後者規範一間實驗室可以處理多危險的病原體、以及要在何種圍堵之下。ASL-2 涵蓋今天的模型：有能力，但不會實質地讓一個下定決心的濫用者，超出搜尋引擎已經提供的程度太多。ASL-3 標記的是那些「實質提高了災難性誤用風險」的模型——例如，在化學、生物、放射或核子武器上給出真實增益——或展現出早期危險自主性的模型，而它要求強化過的部署過濾，加上對模型權重的嚴肅保護。ASL-4 以上，則是為「能力更強、而其防護措施尚未被完全想清楚」的系統所勾勒的。
一個具體的實例在 2025 年 5 月到來。當 Anthropic 發布 Claude Opus 4 時，它「首次」啟動了自己的 ASL-3 標準——打開更強的部署防護，以及對模型權重更緊的安全保護——不是因為它「證明了」模型跨過了門檻，而是因為它的評測「無法排除」模型已經跨過，而政策說：面對這種不確定，你的處理方式是「升級」，而不是「等到確定為止」。無論你怎麼看待任何單一公司，這就是一個「預先承諾真正咬下去」時的樣子：一個可量測的代價（更多摩擦、更多安全工作）被接受了，只因為一條在比較冷靜的時刻寫下的規則說「必須如此」。它到目前為止，是「RSP 改變了一次真實發布、而不只是描述了一次」的少數公開例子之一。
Anthropic 並不孤單，而這份「收斂」正是重點。OpenAI 的「整備框架」（Preparedness Framework）跨數個被追蹤的風險類別——生物與化學、網路安全、AI 自我改進——為模型評分，並要求：一個跨過「高」或「關鍵」門檻的模型，必須先有指定的防護措施，才能被部署或進一步開發。Google DeepMind 的「前沿安全框架」，則圍繞著「關鍵能力等級」與相應的緩解措施建立。而在 2024 年的首爾 AI 高峰會上，十六家領先公司簽署了「前沿 AI 安全承諾」，各自保證要公布的，正是這種「若—則」框架——說明在哪些門檻上風險會被「視為無法容忍」，以及一旦觸及那些門檻，它們會怎麼做、一路到「不部署」為止。短短幾年間，問題就從「實驗室該不該有這樣一份政策？」變成了「你那份，到底好不好？」
AI SAFETY LEVELS (capability -> required standard)
ASL-2 today's models
no meaningful catastrophic uplift over existing tools
-> standard deployment + standard security
ASL-3 substantial uplift to CBRN misuse, OR early dangerous autonomy
-> hardened deployment (filters, monitoring, limited access)
-> strong weight security (resist theft by non-state attackers)
ASL-4+ qualitatively more dangerous capability
-> safeguards NOT yet fully specified
-> COMMITMENT: define and build them BEFORE training such a model
rule: thresholds + responses are fixed in ADVANCE,
so an uncomfortable eval result cannot be rationalized away later誰來批改作業：安全機構
到目前為止的每一份政策，都有一個你大概已經看出來的結構性弱點：實驗室自己寫規則、自己跑測試、自己給自己打分。一家在期限與競爭壓力下的公司，批改自己的安全作業，是教科書等級的安全洗白溫床——有嚴謹之外表、無嚴謹之實質。第一個答案是第三方評測：像 METR 與 Apollo Research 這樣的獨立組織，獲得一個模型的早期存取權，跑它們自己的危險能力與傾向測試，好讓實驗室的結論能被一個「沒有出貨誘因」的人查核。一個外部評測者，也比較能抵抗那股「悄悄地少用力引出」的壓力——也就是「別太用力去找那個嚇人的能力」——而一支衝向發布的團隊，無論承不承認，都受著這股壓力。
更大的制度性答案，是政府AI 安全研究所的興起。英國在 2023 年 11 月、布萊切利園高峰會前後，設立了第一個；美國在它的標準機構 NIST 內部設了一個；日本、新加坡、加拿大、歐盟與其他國家跟進，並透過一個「AI 安全研究所國際網路」串連起來，這個網路在 2024 年底首次召開。它們的工作，大致就像一個國家級實驗室為藥品或飛機所做的：建立起獨立評測前沿模型的技術能力。在 2024 年，英國與美國的研究所跟領先實驗室簽署了「部署前存取」的協議——一個政府機構，在大眾能用之前就先測試一個模型。這正是 RSP 從「純自願」開始觸及「公共問責」的那道接縫。
這些機構是真實的，卻也脆弱，而誠實要求我們把話說清楚。它們很新、相對於它們所監督的實驗室資源單薄，而且看政治氣候的臉色：2025 年初，英國把它的機構改名為「AI 安全（security）研究所」，把重心移向資安與犯罪；而美國的研究所，則在一次「撤銷了它背後那道行政命令」的政權更迭中被重組。這一切並不代表這項計畫正在失敗——它代表「安全機構」並不是一個固定的物件，而是一個有爭議的物件，其職權、經費、乃至名字本身，都可能隨每一屆政府而移動。當你讀到某個模型「由 AI 安全研究所測試過」時，值得問一句：是哪一個研究所、有什麼樣的存取權、以及對它所發現的東西，握有多大的「採取行動」之權力？
更大的鷹架：實驗室內部與法律
預先承諾，需要有某個人「以此為職責」，在不方便的時候去執行它。在實驗室內部，這催生了新的角色與結構：一位被指派的「負責任擴展（或安全）主管」，對發布決定握有權限；董事會層級的安全委員會；以及一些「意在把安全判斷與純商業壓力隔開」的所有權安排——Anthropic 的「長期效益信託」（Long-Term Benefit Trust），能任命部分董事會成員，就是這個方向上的一個實驗。這些沒有一個是保證；公司治理可以被推翻、被重組、或被悄悄擱置，這個領域已經親眼見過。但底下的想法是健全的：一條「沒有任何人被授權去對抗那些想出貨的人、執行它」的規則，並不是一條真正的規則。
在實驗室之外，自願的政策正開始硬化成法律，而這正是這篇導引與上一篇交會之處。最清楚的例子是歐盟的《AI 法案》，它特別點名帶有「系統性風險」的通用模型——推定為訓練算力超過 10 的 25 次方浮點運算者——並課予其開發者「評測、對抗性測試、緩解與通報」的義務；一份 2025 年的「行為準則」（Code of Practice）詳細說明了如何遵循。這就是前沿 AI 監管，在 RSP 自願去做的事底下，鋪上了一層法律的地板；而請注意它掛靠的那個鉤子：一個算力門檻，正是讓上一篇導引的算力治理得以強制執行的同一根槓桿。具約束力的規則，究竟該取代、補足、還是讓開、別擋自願承諾的路，這件事本身就有爭議——也正是下一節的核心。
退一步看，這整套裝置是有形狀的。評測是感測器；RSP 是接到那些感測器上的「若—則」邏輯；安全機構與監管，是讓這套邏輯保持誠實的外部問責；而在這一切背後，坐著一個這個領域稱為差異化技術發展的策略性賭注——也就是寄望於「讓安全、監督與治理相對於原始能力跑得更快」，而不是試圖徹底叫停進步。這正是這一層AI 治理，與一個單純「全部暫停」立場的區別所在。它是一種嘗試：一邊繼續打造，一邊確保煞車、儀表板與檢查員，至少跟引擎長得一樣快。
初學者常見的誤解
第一個錯誤是最自然的：聽到「這間實驗室有一份負責任擴展政策」，就下結論說「所以這間實驗室是安全的」。一份政策，是一個「關於『當測試絆到一條線時該怎麼辦』的承諾」——它的好壞，頂多只跟它背後那些測試、評分的誠實度、以及「真到那一刻時、願不願意真的付出代價」一樣好。評測那個階段的每一個弱點，都會原封不動地穿透過來：如果你引不出一項能力，你就不會絆到那個門檻；而一個足夠有能力的模型，甚至可能對那個「把守它發布閘門」的評測故意藏拙。RSP 並沒有移除這些問題；它只是決定了「評測之後」會發生什麼，並且承接了評測本身的每一個瑕疵。
還有三個陷阱緊挨在一起。第一，把「自願」和「具約束力」搞混：這些承諾大多是一家公司可以修訂、削弱、或拋棄的保證，而且好幾份已經在不同版本之間被悄悄放軟了——一份公布出來的政策，並不是一條法律。第二，把那些門檻當成是從某種「可接受風險」的公認科學推導出來的；實際上，那些具體的數字與能力界線，是受過教育的判斷，而不是從某個理論演繹出來的結論，而合理的專家們，對它們該落在哪裡看法不一。第三，就算一份 RSP 真的存在，也別忘了「自評」這個問題：少了獨立評測與受保護的權重，一份聽起來很強的政策，仍然可能大半是安全洗白。那份文件的存在，是這個問題的「開頭」，而不是它的「答案」。
仍在爭論的問題，以及接下來往哪走
最大的爭論，是「自願的自我治理」對上「具約束力的監管」。一個陣營主張：唯有可強制執行的法律——牌照、強制性的第三方稽核、嚴格的責任歸屬——才會在「安全變得昂貴」時撐得住，因為一個自願承諾，正是一家在競爭壓力下的公司「最先甩掉」的東西。另一個陣營則警告：太早寫下的沉重監管，可能把錯的規則鎖死、鞏固那些「付得起合規成本」的既有業者，並把前沿工作推往「完全沒有監督」的司法管轄區。如今多數認真的提案，都落在兩者之間的某處——把自願框架當成一個快速演進的試驗場，在共識成形之處硬化成法律——但這個平衡是真的尚無定論，而深思熟慮的人們，對於「該走多快」看法不一。
第二場爭論，在底下流動：這些框架，究竟是實質、還是作秀？懷疑者指出：至今沒有任何一份 RSP，逼過一家實驗室放棄一個它想發布的模型；那些門檻沒有原則可言；而讓公司自己定義什麼叫「無法容忍」的風險，等於讓它們「方便地」去定義它。辯護者則回應：這些框架每修訂一次就更具體一點；獨立研究所正越來越多地進入這個迴圈；而「我們至今還沒被迫停下來」，並不等於「我們永遠都不會」。這裡沒有一個中立的計分板，而最誠實的說法是：這場實驗還在進行——我們還沒見到那個關鍵考驗：一個「明顯有能力、明顯危險」的模型，撞上一個「明顯代價高昂」的承諾。
第三個懸而未決的問題，是這篇導引靠它自己無法收尾的：就算是一份完美的 RSP，也只約束「採納它的那間實驗室」。能力不理會國界，權重可以被偷、或被開源，而一個選擇退出的國家或公司則不受任何拘束——所以一個純粹「國家層級或公司層級」的安全體制，正中央有一個洞，大小恰好等於「那個選擇背叛的人」。要補上那個洞，意味著國際協議、查核驗證，以及「彼此並不完全信任的對手之間，如何協調」這門更難的政治。而那，正是本階段最後一篇導引的主題。
接下來往哪走。你現在握有了 AI 治理的制度核心：負責任擴展政策，作為一個「把『若—則』規則接到危險能力評測上」的預先承諾；它能觸發的「部署—安全—暫停」三種回應；作為「對部署的正面論證」的安全論證；以及那些第三方評測者、安全研究所、內部治理、與正在成形的法律，全都試著讓這一切保持誠實。帶一句話走：一條絆網，頂多只跟「設下它的那個測試」和「對它採取行動的意志」一樣好。最後一篇導引，會踏上全球的尺度——國際協調、國家的角色，以及具體地說，一個爬完了這整條階梯的個人，究竟實際上能做些什麼。