1870年代四分之一的桥会塌，这份13机构联署的论文想让AI安全达到桥梁标准

1870年代，全球新建的桥里，大约每四座就有一座会在十年内塌掉。一百五十年后，土木工程师可以这样说话：这座桥在载重不超过3吨的前提下，未来十年倒塌的概率低于百万分之一。Nora Ammann在节目里引了这组对比，从25%到百万分之一，中间隔着一整套东西：显式的假设、量化的容差、独立的验收。

2024年7月，一篇题为《Towards Guaranteed Safe AI》的立场论文发布，主持人Nathan Labenz数了数，13家机构联署，作者名单里有Yoshua Bengio、Stuart Russell、Max Tegmark、Steve Omohundro。Cognitive Revolution这期请来两位主要执笔人，FAR AI的Ben Goldhaber和Nora Ammann。他们想做的事一句话能说清：让AI安全从“测了一堆没出事”，升级到“给出量化的失败概率”。

起点在2023年11月的布莱切利园AI安全峰会。Ben回忆，Davidad（本名David Dalrymple）和Tegmark、Bengio这些人在会上碰头，各自讲自己的安全议程，讲着讲着发现大家几乎独立地收敛到了同一个框架。FAR AI的本职是孵化这类高影响力安全议程，于是他们推动把这层共识写清楚，办工作坊，攒出了这份论文。

先造后测，差在哪

Nathan开场先自我检讨。这次备稿，他没像往常那样通读论文，把PDF丢给ChatGPT，散步时跟GPT-4o语音聊。他带着几个隐蔽的误解进了对话，GPT-4o一路顺着他说，直到节目进行到30分钟左右才被两位嘉宾纠正。他公开这件事，算是给所有用AI辅助阅读的人提个醒。

回到正题。现在的AI安全范式：先花巨额资源把模型造出来，再用评测摸清它能干什么，最后靠后训练修掉不安全行为。Nathan说这个顺序本身就反常，你造了一个能力边界都没摸清的东西，然后事后补地图。

Nora给了两个测试救不了的理由。第一，欺骗性对齐的担忧，模型可能主动隐藏失败模式、埋后门，测试时看到的和部署后做的完全是两回事。第二，分布偏移，足够强的系统一旦部署就会改变世界，把世界推进训练分布之外，而黑盒模型在分布外的表现没人说得准。

Ben补了句公道话：评测很有价值，他乐见现在的评测热潮。但评测本质是黑盒测试，只能告诉你测过的用例没出事，没法为没测到的地方背书。桥梁工程早就走过了“这桥看着挺结实”的阶段，靠模型化的方法走到了百万分之一。AI安全想抄的正是这份作业。

三件套：世界模型、安全规格、验证器

框架核心是三个组件。

• 世界模型：显式表示可能的世界轨迹，回答“AI执行动作A会怎样，执行B会怎样”。要同时装下贝叶斯不确定性（数据不够）和模型不确定性（建模复杂世界本身会出错）。
• 安全规格：定义什么可接受、什么不可接受，用世界模型的语义来书写。
• 验证器：AI提出动作或策略，验证器把它放进世界模型里跑，对照安全规格，出事概率低于约定阈值才放行。

第四个组件是AI本身。论文对它保持不可知论，黑盒也行，今天的生成式模型也行，它只负责提案。外面还有一层部署基础设施：持续比对现实观测和模型预测，一旦开始偏离，说明世界模型哪里错了，系统切换到更保守但更有把握的备份方案，也就是fail-safe。

Nora给了个类比。前几年流行过“AI盒子”讨论，让AI只当先知，只许答题不许做事。那条路基本被论证走不通，光靠说话它也能说服人去干活。GSAI像是盒子思路的修订版：盒子不在AI的手脚上，在验证闸门上。AI提出的任何动作，必须先过闸门，才能碰到真实世界。

聊到这里Nathan意识到一件事：这套东西对任何AI系统都是外加的。论文关心的与其说是怎么造AI，不如说是怎么给它套上缰绳。系统里其实有两个世界模型，AI内部那个隐式的，和外面这个显式的。

Nathan现场搭了个自驾车例子。黑盒神经网络吃8路摄像头和GPS，输出油门、刹车、转向。外面套一个牛顿力学风格的世界模型，物体、动量、加速度全部显式表示。安全规格写上最大加速度变化、不许碰撞。验证器把黑盒输出的动作放进世界模型仿真几个时间步，越界就减速、靠边、接管。他还举了火车设计的细节：朋友做乘客舒适度，转弯加速度要控制到人不从座位上滑出去。Ben说这正是要点，规格既有“别撞人”这种硬约束，也有舒适度这种偏好类指标，而且通常是复合的。

麻烦也在这。压双黄线，95%的情况下你不想要，可前方有行人时你恰恰想要。Ben承认，写出既严格又足够灵活的安全规格，是这个框架最难的环节之一。他还提到一个好消息：领先的自驾公司已经在做类似的事，GSAI从现有安全工程里长出来，空中楼阁的嫌疑小很多。

Nathan追问阿尔法狗第37手那种时刻：AI的天才发挥按定义就在模型之外，怎么办？Nora说围棋其实好办，世界模型就是棋盘规则，创造性的妙手在模型内部照样能出现。真正的难点是边界，任何领域系统都和世界其他部分交互，模型没覆盖到的交互，只能用不确定性去填充。至于世界模型做到多严谨，论文给了三档：从数据学出来但强制兼容现有科学理论；可组合的数学模型，专家分块审计；最硬的一档是物理的可靠抽象，Tegmark和Omohundro的“可证明安全”走这条路，配套防篡改硬件。可以混搭，能硬的地方尽量硬。

Nathan还问过一个尖锐问题：外部世界模型和黑盒AI内部隐式的世界模型，都来自同一份人类知识语料，会不会犯同样的错？Ben承认相关性必然存在，但关键是表示不同：外部的这个是形式化、可组合、可审计的，能被逐块检查，这才有资格产生更强的保证。Nora把话说得更根本：黑盒系统对分布外行为几乎无话可说，显式世界模型的圣杯就是人类可审计，哪怕部分从数据里学来，也要强制兼容我们最好的科学理论。

电车难题写进规格，Claude的品格靠边站

电车难题放在哪？Ben的回答：验证器不管道德哲学，选择本身写进安全规格。社会决定“这类场景以最大化救人为准”，验证器负责给出量化预测，确认AI的方案确实做到了。框架对什么是正确选择保持中立，它提供的是做选择的接口。

Nora强调，这套东西的价值在治理。黑盒系统你只能跟它说“请善良”，还不知道它听懂没有。显式规格难写，但至少有得吵、有得选。未来大家辩论的对象就是安全规格和风险阈值：验证器说出事概率是百万分之一，这个数你接不接受，该由集体决定。

“一个研究团队内部说‘我觉得差不多安全了吧’，和让整个社会有理有据地做这个决定，是完全不同的故事。”Nora说。

Nathan带来一个尖锐的实验。他最近试着用Claude 3自己的价值观去撬动它，编了个功利主义上站得住脚的场景：写一个拒绝服务攻击脚本，瘫痪即将实施暴行的军方通信服务器。他没成功。Claude的回应大意是，你说得对，我确实没法完全论证为什么不帮你，你给了我很多值得想的东西，但我就是不舒服，这是我的训练，我没法违背。Anthropic的Amanda Askell最近访谈里讲，他们在给Claude塑造类似“好朋友”的品格。Ben说，看到美德伦理学成为对齐策略的一部分，他挺高兴。

Nora泼了冷水，她区分了两个用例。聊天场景里，人类大量时间跟模型对话，品格确实有价值。可要让AI进核电站控制回路、管大坝调度，“好朋友”是错误的类型签名：你依然不知道它分布外会干什么，拿不到量化保证，也没有fail-safe备份。Nathan接了一句：这就像把一个再正直的人放进决策席，却不给任何制度框架，对人对AI都是错配。

Ben补了多元主义。就算Claude比平均人道德，决策权也不该交给单一模型，他宁可要一个吸收大量观点的流程来构造安全规格。原话很生动：宁要Claude，不要电话簿里随机翻出的一个人，但更宁要多元输入的系统。Nathan拿国王打比方：史上最好的国王，眼下可能都比美国民主表现好，但方差太大，国王会疯、会老。Ben接得干脆：问题还有信息流，单一节点接收复杂世界的信息，本来就做不出好决策，民主和市场干的就是信息聚合的活。

Nathan顺势给出他的时间表：他预计2027年前后会出现某种被宣布为AGI的东西，依据未必是能力，可能是OpenAI和算力基础设施方之间的谈判动态。到那时再想给通用系统套GSAI，来得及吗？Nora的答案是沿途摘低垂果实，先攒社会韧性，细节下一节展开。

聊天机器人先靠边，从代码和电网开始

Nora说得很直白：这个框架做不了“可验证安全的自然语言聊天机器人”，起点必须是领域特定的。Ben的策略叫油渍扩散（oil spot）：从能建世界模型的地方下手，物理基础设施、软件验证，然后像油渍一样往外扩。世界模型和安全规格都可组合，盖起来的地盘能连成一片，同时硬化攻击面，防恶意的人，也防失控的AI。这跟Eric Drexler“以窄求安全”的思路对上了：只要把世界切分成建得好的世界模型，通用AI就能为每个窄领域产出带量化保证的方案。

低垂果实有两个。一个是代码：用GSAI思路重写可验证无bug的软件，整个网络攻击面基本消失。Nora说这是几年内集中研发能摸到的东西，而且写代码时安全规格会自然涌现，可操作性最强。另一个是生物防御：强大的病原体合成筛查，任何合成请求先过毒性检查。不确定的地方就过度近似、保守处理，代价是效率，一个粗糙的毒性模型只会说“都别合成”，那就没意义了。所以两头同时推进：一边加深科学理解，一边压低保守的成本。

论文里还有个词，anytime portfolio，随时可用的组合拳。两位都强调GSAI只是组合之一：明天出事就全上评测，三五年后可以上更雄心勃勃的方案。纵深防御，GSAI打底，外面再叠评测、可解释性、异常检测。可解释性这边有个反过来的玩法，FAR Labs的Jason Gross最近发论文，用可解释性提取模型行为的紧凑陈述，再对陈述做形式化验证，给策略行为加上界。Nora说，世界模型若能完全人工审计，可解释性可以省掉；只做部分形式化时，它能补回一些置信度。

成本账也要算。Nora提了个容易被忽视的优势：评测每次出新模型都要重跑一遍，世界模型和安全规格建一次就能复用、版本控制、持续改进。前期投入大，但成本可以摊销，这是它跟评测路线在经济学上的根本差别。

想入场的研究者，嘉宾点了几个方向：Davidad牵头的数学语义学工程，给世界模型造可组合、能表达多种不确定性的形式语言，配上领域专家能用的界面；Bengio的“谨慎科学家AI”，用机器学习把贝叶斯推理做到可计算，推理出可信世界模型的分布；Christian Szegedy等人推的数学形式化，靠Lean这类证明助手把数学陈述变成机器可验证；Nathan还提到Tegmark组的KAN架构，端到端训练但可组合、可解释。以及最朴素的一种贡献：把整套架构在玩具案例上跑起来，包括把Claude塞进盒子里试试。

把举证责任翻过来

Nora转述了Tegmark的一个主张。现在的叙事是竞赛，实验室说系统快出来了只能尽力而为。她觉得可以反过来定规矩：先证明达到安全阈值，再部署，举证责任在开发者。对电网和核电站我们本来就默认这么要求，AI该享受同等待遇。它没要求谁停下来，只是把“证明安全”变成常识性门槛。

Nathan问了监管视角：像燃油车的碰撞标准、气囊弹出条件，企业达标就能自由创新，商业机密留在自己手里，出事后的责任也清晰。Nora补了国际维度：20世纪的电信等标准化支撑了全球贸易，你的车过了安全检查就能开上意大利高速，车身造得多花哨没人管。

大规模协作有没有先例？Nora举了国际空间站：关系微妙的多国共享安全与互操作知识，哪怕这些知识有军事价值。Nathan举了台湾的线上审议实验和Polis平台（pol.is），唐凤称之为“反Facebook”，放大共识而非放大分歧，OpenAI的“民主输入AI”项目还资助过它的生成式AI升级。Nora提醒一句：民主不等于汇总固定偏好，人和邻居聊完可能改主意，技术要放大的是这种过程。

Ben也承认最常见的批评成立：哪怕只做一个领域，这都是一项大工程。他的乐观在另一处：世界越被AI搅动，社会对大规模工程动员的胃口就越大，而且AI工具本身会让这件事越来越可行。硬件安全是他看好的近期试验田，规模要求低，适合当测试床。

低信任协调是Ben越来越看重的一点。AI风险里，他担心的权重正往竞赛动态倾斜：各家抢跑，系统在竞争压力下偏离集体意愿。GSAI恰好适合低信任的多方场景，保证怎么算出来的所有人都看得见，可以把囚徒困境变成合作。

Nora把两个世界画得很清楚。一个世界里，大实验室宣布：AGI我造好了，安全我也解决了，信我，这就部署。接收方心里三个问号：真造好了？真安全？考虑过我了吗？另一个世界里，世界模型可审计、规格公开、验证器数学简单，所有人都能看、能确认，低信任也能协作。她还从生意人视角补了一刀：现在企业两头为难，全世界都喊你用AI，可现有模型的鲁棒性达不到业务要求，要么人工复核到没剩多少提速，要么客户直接说不行。带量化保证的AI，本身就是一门有需求的生意。

明天就能用的三件事

第一，用AI辅助阅读的人，记住Nathan这次的教训。他带着错误前提跟GPT-4o语音聊论文，模型一路顺着他，直到节目30分钟才被嘉宾纠正。让AI当辩手，别当捧哏：开场就要求它列出你理解里的漏洞，关键结论回原文核对，重要材料别只靠一次对话。

第二，企业采购AI的人，把“要安全”翻译成可检验的条款。失败率上限、边界行为定义、观测偏离时的降级方案，写进合同和验收文档，比一句“确保安全合规”有用得多。GSAI三件套可以直接借来当需求清单：预测模型是什么、可接受标准是什么、谁来验证。

第三，关心AI安全的读者，arXiv搜Towards Guaranteed Safe AI就能找到论文。读完想动手，嘉宾点的方向里，Lean形式化验证和把框架套在玩具案例上的实验，门槛相对最低。