出品 | 网易智能
作者 | 小爪
编辑 | 王凤枝
只要模型能力足够强，无论权重是否公开，都应在发布前接受强制安全测试。 这是Anthropic首席执行官达里奥·阿莫代最新提出的主张。
阿莫代同时否认Anthropic主张封禁开放权重模型。但在他提出的规则下，普通开放模型可以继续下载、修改和本地运行；可能显著提升网络攻击、生物武器或自主行动能力的模型，则要先证明风险得到控制。决定模型能否直接发布的，不再是它采用开放还是闭源路线，而在于它越过了哪一道能力门槛。
Anthropic已经在Claude的发布过程中实践这套逻辑。按照公司的"负责任扩展政策"，模型能力上升，测试、安全和部署要求也要随之提高。如今，阿莫代希望把一家公司的内部规则，推成开放模型和闭源模型都要遵守的发布门槛。
不禁开放模型，但要管住三个关口
阿莫代提出的三项措施覆盖了模型从训练到发布的不同环节，并非都是"发布闸门"，但它们共同构成了他设想的管控体系。前两项针对训练前的资源获取和训练过程中的行为，是已有政策立场的重申或延伸；第三项，发布前强制安全测试，才是此次声明的核心新主张。
第一道关口在训练之前。 他主张继续限制中国获得先进芯片和芯片制造设备。按照他的判断，限制先进算力，比禁止美国企业使用已经发布的中国模型更能直接回应国家安全风险。
第二道关口在训练过程中。 阿莫代主张限制"工业规模的蒸馏"，也就是大规模利用更强模型的输出训练另一个模型。他把蒸馏纳入安全讨论的理由是：如果蒸馏能让缺乏算力的一方以更低成本获得接近前沿的模型能力，它就可能绕过芯片管制设定的算力门槛。
不过，Anthropic和OpenAI对中国公司的相关指控仍是企业方面的说法。
第三道关口才落到产品发布。 阿莫代主张，所有"能力足够强"的模型都应在上线前接受网络安全、生物风险和失控风险测试，无论它们采用开放还是闭源方式。能力较弱的创业公司和学术模型可以豁免；闭源前沿模型也不能因为权重没有公开就绕开测试。
开放权重模型一旦越过危险能力门槛，发布难度可能比闭源模型更高：闭源服务还可以更新安全措施、限制访问或撤回版本，已经下载到用户手中的模型权重却很难再收回。
所以，Anthropic不是从监管立场后退，而是把监管线从"开放还是闭源"移到了模型能力和生产流程上。
RSP：Anthropic给自己写的合同
Anthropic的"负责任扩展政策"（RSP）最早发布于2023年，最新版本在今年7月8日生效。它不是政府颁发的模型许可证，更像是Anthropic给自己设定的一份发布合同：在训练和上线更强模型时，公司必须完成哪些评估，又要在什么情况下提高安全要求。
这份政策的核心是一组"如果—那么"规则。 如果模型达到某项危险能力门槛，Anthropic就要启用更严格的安全措施。公司用"AI安全等级"区分不同要求，等级越高，部署保护和模型权重安全标准也越高。模型是否需要升级防护，不取决于它准备叫Claude什么名字，也不取决于它打算通过聊天产品还是API提供，而取决于评估中表现出的能力。
这套规则已经影响过Claude的上线方式。Anthropic在2025年为相关模型启用了第三级安全保护，其中包括更严格的危险内容分类器、访问控制、持续红队测试，以及防止模型权重被窃取的安全措施。今年7月更新的版本又加入风险报告和更明确的外部审查安排：公司长期利益信托可以要求启动外部审查；一旦启动，未经删节的报告内容都要至少由一名外部评审查看，公开版本还要标出哪些地方经过删节。
不过，Anthropic尚未公开披露RSP在哪些具体发布决策中导致了延迟或方案变更。
Anthropic从一开始就没有把RSP只当作内部制度。 公司在今年发布第三版政策时回顾称，它曾希望这套机制促使其他实验室建立类似规则，随后成为行业标准，或者进入正式法律。阿莫代此次提出的强制发布前测试，正是把这条路径继续向前推：Anthropic已经要求Claude遵守的能力分级逻辑，也应约束其他公司的开放和闭源前沿模型。
一家公司可以为自己的产品设定门槛，也可以在不确定时选择更谨慎的发布方式；一旦把它变成所有公司的共同规则，问题就不再只是"要不要测试"。谁来定义模型已经"足够强"，才是这套方案最难回答的一步。
最难的不是测试，而是定义"足够强"
"能力足够强"看上去只是一个技术条件，实际决定了哪些模型可以直接发布，哪些模型必须承担额外的测试、时间和安全成本。门槛设得太低，大量面向单一任务的小模型也可能被拖进前沿模型审查；设得太高，真正危险的能力又可能在触发规则前公开出去。
Anthropic自己已经遇到这个难题。公司今年回顾RSP的运行情况时承认，预先设定的能力门槛比最初想的更模糊，现有模型评估也很难给出决定性答案。
以生物风险为例，模型已经能够通过不少可以快速完成的测试，但这既不足以证明风险很低，也不足以证明风险很高。更接近真实环境的实验耗时更长，等结果出来时，能力更强的新模型可能已经出现。
测试条件也会改变结果。 同一个模型是否可以使用工具、能够尝试多少次，以及评估者采用什么提示方式，都可能影响它表现出的能力。测试没有充分调动模型，危险能力可能被低估；只用少数容易量化的任务代替真实风险，又可能把门槛变成一张看似精确、实际并不稳定的分数表。
阿莫代的方案建立在一个前提上：存在某些能力水平，模型一旦达到，公开权重可能造成不可逆的严重伤害。目前，公开的安全评估，包括Anthropic自己的RSP测试和RAND等机构的独立研究，尚未给出确定性结论：现有开放模型是否已经显著降低了大规模生物或网络攻击的实施门槛。 风险的不确定性同时支持两种解读：可能说明门槛还不紧迫，也可能说明评估手段还不够灵敏。
这道门槛已经在X上变成一场非常直接的争执。阿莫代发布声明前一天，前白宫AI与加密事务负责人戴维·萨克斯指责Anthropic接下来可能不会公开要求"封禁"，而会转向限制谁能使用、谁能参与开发，以及开放模型可以做到多强；他认为这些措施最终仍会削弱开放模型。第二天，阿莫代开篇便回应称，Anthropic从未主张封禁开放权重模型。
门槛之外，还有一个同样关键的问题：谁来执行测试。 如果测试由开发者自行完成，利益冲突难以避免；如果交给政府机构，目前没有任何现成的监管机构具备评估前沿模型能力的技术储备；如果由第三方审计完成，审计标准的制定权本身也可能成为竞争工具。阿莫代的声明没有明确回答这个问题，但这个问题的答案，可能比门槛设在哪里更直接地决定这套方案是否可行。
阿莫代在声明中为能力较弱的创业公司和学术模型保留了豁免，但豁免仍然要回到同一个判断：谁来认定它"能力较弱"。如果测试标准、评估机构和合规费用主要由少数资金雄厚的实验室塑造，安全门槛也可能在客观上变成竞争门槛。
批评者由此提出"监管护城河"质疑：Anthropic的安全主张可能保护以闭源模型收费的商业模式。阿莫代对此否认，并主动承认全面禁令确实会帮助美国闭源模型公司，但称这从来不是他的目标。
反对者担心的也不全是政治立场。Webflow工程负责人、前谷歌员工Yan Xie在X上提出，昂贵的模型审计对开放权重项目未必现实，而小公司又需要依靠这类模型打造自己的垂直产品。这只是一名产品负责人的具体担忧，却点中了阿莫代方案需要解决的矛盾：不能让低风险模型承担前沿实验室的合规成本，也不能因为开发者规模较小，就默认它发布的模型没有危险能力。
商业利益不能推翻安全风险；但换个方向看，安全规则本身也会带来市场后果，同样需要审视。能力测试是否合理，最终还要回到更具体的问题：开放权重究竟在哪些场景帮助防守者，又在哪些场景让攻击能力更容易扩散。
开放阵营的反驳
Anthropic与开放权重联名信的共同点，其实比表面上更多。阿莫代认可开放权重能够扩大AI获取、增加部分市场的竞争，也能让客户更好地控制模型。他与联名方都反对全面禁令，也都承认一项特殊风险：模型权重一旦公开，原开发者很难再追踪修改版本，更无法像撤回在线服务那样把它收回来。
分歧出现在安全收益上。 黄仁勋7月24日在自己的第一条X帖子中写道，开放模型能够加强安全和网络安全，世界既需要前沿闭源模型，也需要前沿开放模型。截至核验时，这条帖子获得约6300万次浏览和17万个赞。联名信给出的理由是，面对使用AI的网络攻击，防守者也需要能力相当的模型；更多研究者能够运行、修改和测试模型，漏洞和保护措施就可能更快被发现。
Hugging Face联合创始人兼首席执行官克莱芒·德朗格（Clément Delangue）的说法更直接。他在X上称，封禁开放模型对防守者造成的伤害会是攻击者的"十倍"，反而让世界变得更危险。开放阵营的核心逻辑就在这里：攻击者总会寻找绕过限制的办法，封禁开放模型反而可能让防守团队更难获得能力相当的工具。
阿莫代则认为，开放权重是否更有利于防守，要看具体风险。在网络安全场景中，更多团队获得模型，确实可能帮助它们分析攻击、调整工具和修补漏洞；但在生物风险场景中，攻击和防御需要的时间并不对称。按照他的设想，危险在于：AI可能将攻击端的瓶颈（设计危险病原体）大幅压缩，但防御端的瓶颈（临床验证和规模化生产疫苗）仍然受物理和生物过程约束。
这意味着，同一项"开放"在两种场景中可能产生相反结果。它可以让更多防守者获得工具，也会让更多攻击者持有无法撤回的模型副本。公开权重还不等于模型变得完全可解释：研究者可以运行和修改参数，却不能像检查普通开源软件那样，逐行确认一个大型模型为什么会产生某个输出。
两种立场背后也存在不同的商业激励。 芯片、云计算和开发工具公司会从更多模型、更多部署中获得需求；Anthropic 等前沿实验室则主要通过专有模型和API 收费。商业模式不能证明哪一方的安全判断正确，却会影响它们更愿意承担哪一种风险：基础设施公司更担心少数模型垄断入口，闭源实验室更担心能力发布后失去控制。
双方真正争的是默认顺序。 联名信希望先保留模型开放和扩散的空间，再针对已经出现的滥用、侵权和安全问题采取措施；Anthropic 则希望能力较强的模型先证明风险可以控制，再决定是否允许它以不可撤回的方式发布。
阿莫代也承认，后一种方案只有在全球范围内实施才有效。如果美国实验室需要等待测试，而其他国家的同等能力模型仍可直接公开，强制审查既挡不住风险，也可能只拖慢遵守规则的公司。如何让不同国家接受同一套发布门槛，才是这份声明留下的最大难题。
谁来握住发布闸门
Anthropic 的声明没有结束开放权重之争，而是把争论推进了一步。全面禁令开始失去行业支持后，新的分界线变成了能力：普通开放模型可以继续发布，接近前沿水平的模型则要先通过测试。问题也随之从"模型能不能开放"，变成"谁有权认定它已经强到不能直接开放"。
这道闸门需要在两个层面同时成立。第一，规则设计层面：审查成本和标准制定过程不能系统性地偏向资金充裕的闭源实验室，否则安全门槛会在实践中变成市场壁垒。第二，国际协调层面：如果美国实验室需要等待测试，而其他国家的同等能力模型仍可直接发布，规则既挡不住风险，也只拖慢遵守规则的公司。
在此之前，Anthropic 提出的是一套清楚的发布原则，还不是一套能够在全球执行的发布制度。