30美元瘫痪一座百亿美元数据中心：美国「AI曼哈顿计划」的安全账本

两位前特种作战人员在一座造价约100亿美元的数据中心里转了一圈，边走边问：这样动一下那个设备会怎样？那样动一下呢？转完回来，他们给出的评估是：花30美元做一两次小动作，就能让这座设施停摆大约一年。

这个故事出自最近一期Cognitive Revolution播客。主持人内森·拉本兹请来的嘉宾，是Gladstone AI的两位创始人杰瑞米·哈里斯和爱德华·哈里斯，一对兄弟。他们刚发布了一份新报告，名字很直白：《美国的超级智能项目》（America's Superintelligence Project）。整份报告只回答一个问题：如果美国真要启动AI版曼哈顿计划，在2027年前后冲向超级智能，安全上到底要做什么、要付什么代价。

杰瑞米是AI圈的老面孔，长期主持Last Week in AI播客，去年上过乔·罗根的节目；兄弟俩一年前还给美国国务院做过一份前沿AI安全报告。这次的调研做得更狠：跑数据中心，混硅谷派对，访谈情报官员和一线特种部队。内森读完报告后的评价是，他本来以为自己在读一份操作手册，读完发现更像一份警告。

一个两头堵死的困局

兄弟俩反复强调一个判断：这是个被过度约束的问题，两头都是硬事实，谁也绕不开。

第一头：超级智能可能根本控制不住。爱德华给的定义很朴素，在几乎所有事情上都远超最强人类的东西。他打了个比方，那东西超出人类的程度，至少相当于成年人超出一个三岁小孩，三岁小孩怎么可能把成年人长期关在围栏里。杰瑞米补了一个观察：定义里只要带上「所有领域超越人类」，就必然隐含一场智能爆炸，一个在自主AI研究上超过所有人类的系统会自己造出更强的下一代，时间可能是几年，也可能是几周，回头看一定是一条曲棍球杆式的曲线。超级智能本身就是终极国家安全技术，能设计生物武器，能造终极网络武器，唯一的悬念是它听不听你的。

第二头：跟中国谈不出协议。兄弟俩访谈过国务院和情报系统里真正跟中国打过交道的人，回答高度一致：当前条件下没有任何可签的协议。核领域那套「信任但验证」用不上，因为验证需要的硬件工具不存在，安全可治理的芯片造不出来，可靠的监测手段也没有，协议就是一张纸。

于是两派人马各抓一头，互不搭理。爱德华总结：AI安全圈说，系统可能失控，唯一出路是所有人一起减速，这是个协调问题；国家安全圈说，我见过中国怎么利用国际协议捆住别人手脚、自己想干嘛干嘛，跟这种政府做交易等于自杀，所以必须赢，必须抢跑。安全派默认对方夸大了中国威胁，国安派默认失控问题能在飞行途中顺手解决，两派各捏一半事实，谁也不看另一半。

连安全阵营的代表人物达里奥·阿莫迪也在向抢跑移动。他泄露的融资材料里写着，2025到2026年领先的公司可能拉开无人能追的差距；公开文章里他进一步说，可以用优势换更大的优势，最后给中国一个无法拒绝的条件。杰瑞米对这个论证表示同情：如果中国的承诺在2027年这个时间尺度上不可信，留给美国的选项，确实比安全圈愿意承认的窄。

内森在对话里做了个让步：讨论AI风险，生物武器类比可能比核类比更贴切。生物制剂有控制问题，实验室泄漏历史上发生过不止一次，而再危险的病原体，也比今天的AI蠢得多。

他还提了一个技术上的希望：模型的能力面是锯齿状的。今天的智能体单步成功率能有99%，串成100步的完整任务就掉到20%左右，如果失控的系统也这样，它可能在半路露出破绽，给人类留出刹车时间。杰瑞米认可这个希望对部分失控场景成立，但他把问题重新表述得更尖锐：真正要问的是，能不能造出「那个造系统的系统」，也就是启动递归自我改进的第一个AI，它在关键能力面上是否足够平滑。

关于超级智能长什么样，内森有个自己的猜测：类似GPT-4o图像生成那种文本与图像在同一套潜空间里打通的架构，再乘上十到二十种模态，让模型在材料、蛋白质这些领域拥有「直觉物理」。他甚至觉得这种「松软」的超级智能可能更容易控制，因为它体量太大，几万亿参数散布在多个数据中心，想把它从网络上偷走都难。爱德华指出，这个构想的雏形是DeepMind 2021年的Gato，一个模型同时看图、聊天、操控机械臂。杰瑞米则泼了盆冷水：前沿实验室的算力只会花在通往递归自我改进的关键路径上，其他模态大概率留给落后一代的开源模型去补课。

30美元的攻击，和来不及后悔的单向门

报告最有分量的部分来自实地调研。兄弟俩的方法论很特别：不找专家泛泛而谈，直接去找那个极小的圈子，海豹六队、三角洲部队里真正懂相关技术的少数人。杰瑞米形容，这是个高度信任的小圈子，他们知道一些外界根本不知道的战术、技术和程序，外行的整套假设可能就建立在不知道这些上面。聊完一轮，原以为很难的事变简单了，原以为简单的事变难了，整个认知地图要重画一遍。

30美元瘫痪数据中心就是那个圈子给出的答案。具体手法不能公开，兄弟俩被明确要求保密，因为漏洞还在，而且今天的数据中心普遍存在。

能公开讲的是另一类攻击，叫TEMPEST，电磁泄漏攻击。爱德华描述的版本像詹姆斯·邦德电影：一台完全物理隔离、没联网的电脑，只要被植入特定恶意程序，按特定模式访问内存，几米外一台无线电接收器就能捕捉内存访问产生的电磁辐射，隔空把数据读走。相关论文一年前公开发表，情报机构掌握它只会更早。防御办法也公开：机柜和机房墙壁之间留出几米物理间隔。因为隔壁访客区坐着个看起来无害的人，手机装个应用，就能隔着墙从GPU里拉数据。

问题在于，今天开工的数据中心，就是2027年那些关键训练运行的容器。机厅空间没留够，回头只能砸墙重建。兄弟俩管这类决策叫单向门：走过去之前不起眼，走过去之后改不了。数据中心的单向门已经够头疼，供应链的单向门更棘手。

供应链上全是别人家的零件

几组事实摆在一起，画面就出来了：

• 全世界的先进AI芯片都由台积电代工，台积电在台湾。中芯国际的创始班底就出自台积电，这套挖人带走技术的打法已经跑通几十年。
• 服务器里一个不起眼的部件，基板管理控制器（BMC），全球约80%的市场份额在台湾信骅科技手里。BMC有独立供电，还能读写固件。爱德华的原话：

这是个梦寐以求的后门，是高性能计算和AI基础设施的软肋。

• 变压器和变电站的零部件，找不到一条完全绕开中国制造的供应链，而中方在美国基础设施的变压器里装过后门，这是公开披露过的事实。

爱德华把后果讲得很具体：如果台海出事、美方介入，中方手里有一张不用开一枪的牌，远程把美国各地的变压器「变砖」；或者更狠，在变压器断电时把它短路改接，下次通电直接像炸弹一样炸开。到时候美国面对的局面是，大片地区断电断通讯，还要在战时抢修更换散布全国的变压器。这些手法全是已知的，不需要任何黑科技。

杰瑞米补了一个战略原则：国家之间亮能力，永远只出能达到效果的最小一招，目的是「学习而不教学」。所以没人知道中国能力的上限在哪，但下限已经足够高。

供应链之外还有人。访谈里听到的一个细节：2019年前后伯克利一次停电，当地的中国留学生非常紧张，因为他们被要求定期向国内的联系人汇报。这些是普通学生，不接触任何敏感领域，不汇报的代价可能是家里的母亲断药、兄弟丢工作。而美国前沿实验室的研究团队里，华裔研究员占两位数百分比，这意味着一座曼哈顿计划要建在一大批人随时可能被施压的背景上。杰瑞米特意强调，这套针对海外族裔的施压机制最大的受害者是中国人自己，它本身令人发指；但报告必须直面现实，因为二战时的日裔集中营是这套逻辑的另一个极端，两边都是深渊。

挡不住所有攻击，就让每次攻击都留下签名

既然防御做不到万无一失，报告给出的安全思路是威慑逻辑，三步：抬高攻击成本，让攻击可见，配上可信的报复。

爱德华解释，一个嵌入国家反情报体系的项目，会主动收集对手针对它的渗透和窃取行动。防御目标随之改变：逼对手调动足够多的资源才能突破安全线，而调动这么多资源，一定会留下可观测的签名。对手当然可以干脆从海上发射一枚巡航导弹，这个真防不住，但导弹看得见，看得见就能报复。他用了个不太好听但准确的类比：今天大国之间的稳定，靠的跟芝加哥帮派划地盘是同一个机制，帮派A拦不住帮派B动手，但B动手之后，A一定报复回去。

反过来看现状，问题就大了。过去几年，美国的对手在美国本土搞动作，几乎没有付出过代价。未经许可在美境内运作的中国警察站这类事，按兄弟俩的说法已接近战争行为，但没有后果。没有后果，就是在训练对手继续加码。落到AI上就是那个噩梦剧本：训练跑突然变得又慢又满是漏洞，你以为是技术问题，实际是对方在往齿轮里撒沙子，同时窃取的权重已经在他们的服务器上跑得又快又好，而受害者全程毫不知情，也毫无还手。

还有一层不对称让局面更糟：美国对中国基础设施的可见度很差，对等报复能力基本不存在，而这个窗口还在收窄。10吉瓦级的巨型集群靠卫星图就能发现，分布式算力和流式技术会让「找到对方的训练集群」越来越难。兄弟俩认为，建立对等能力是优先级最高的事项之一；报告里对应的解决方案被主动删掉了，理由可想而知。

实验室文化：一边怕被泄露，一边敢吵架

聊到硅谷，兄弟俩的观察相当扎手。OpenAI内部是分裂的。杰瑞米说，调研中接触的OpenAI现员工和前员工，研究者的担忧和高管对外的说法对不上，很多人紧张到反复叮嘱「别透露我们聊过」。Anthropic完全是另一幅画面：员工跟领导层有分歧，但敢说，而且说过。员工敢不敢公开反对老板，是最容易被低估的文化指标。

至于山姆·奥特曼，杰瑞米的批评很直接：他对超级智能是什么、怎么实现、拿来干什么始终保持模糊，这种模糊对招聘一直是有价值的资产，就像当年非营利实体控制营利实体那张牌一样。

安全投入上，兄弟俩的说法是：相比一年前那份国务院报告披露的灾难级状态，各实验室有了一些进步，但离需要的水平差得远，行业激励决定了没人会真正投入到位。杰瑞米原话更狠：这些实验室早被渗透了，这一点几乎没有任何悬念。

宏观信号也在加速。利奥波德·阿申布伦纳的《情境感知》没怎么上过主流媒体，却在华盛顿国安圈人尽皆知，中文译本很快也在国内流传；DeepSeek的梁文锋与政治局成员同席座谈的画面传出后，中方又宣布了超过2500亿美元（按购买力平价计算）的AI基础设施投资计划。兄弟俩特别纠正了一个流传很广的误读：有分析机构说这个数字是1370亿美元，按购买力算不对，是超过四分之一万亿美元。美国政府这边，一年半前承认「AGI是个真问题」的官员还只敢私下嘀咕，现在整个办公室公开讨论的都有；副总统万斯在巴黎的AI峰会演讲，基调是不能在安全问题上畏手畏脚，但结尾也承认真实风险存在。

兄弟俩还反思了安全圈的一个自我伤害：前几年有人劝他们别在政府面前用AGI这个词，怕把话题政治化。杰瑞米认为这是安全圈犯过的最危险的错误之一，结果就是「对华鹰派」和「担心AI失控」被硬生生绑成对立阵营，而这两件事本来毫无关联。

一份罗夏墨迹测验式的报告

这份报告有个有趣的遭遇：有人读完质问他们，为什么教大家搞超级智能项目；内森读完的感想恰好相反，这是一份警告。兄弟俩自己的总结是，这文件像罗夏墨迹测验，每个人看到自己想看的东西。

但他们的核心结论很清晰：报告里大部分安全措施，不管搞不搞国家级项目，都应该立刻去做。因为不做的话，结局就是上面那个剧本，对手在你的训练跑里撒沙子，在最后一刻偷走权重，而你连发生了什么都不知道。

普通人能带走的东西，至少有三件明天就能用上：

• 把《美国的超级智能项目》、阿申布伦纳的《情境感知》和《AI 2027》放在一起读。三份文件立场不同，对照着看，比单看任何一份都更容易形成自己的判断。
• 做AI基础设施或企业算力采购的人，把两个问题带进下一次评审：BMC这类带固件读写权限的部件来自哪里？机房布局有没有为电磁泄漏防护留出物理间隔？这些今天改还来得及，建成之后再改就是砸墙。
• 盯住两个信号：美国是否开始建立对基础设施攻击的对等报复能力；今天开工的数据中心是否预留了安全冗余。这两个信号，基本决定了2027年那扇单向门后面是什么。

内森在节目结尾说了句挺动人的话：我们和中国人之间的共同点，远多于我们和AI之间的共同点。真到了必须选边的那天，他愿意赌人类能找到共同点，也不愿意赌人类能驾驭一个仓促造出来的超级智能。这话天真与否，兄弟俩的报告没有回答，它只是把账本摊开了：每一行都标着价格，有些价格，现在看还付得起。