100人死亡或10亿美元损失：一份15页的纽约法案，要给头部AI公司立规矩

多项民调给出同一个方向的结果：美国两党多数选民希望加强对AI的监管，担心政府管得太少的人，远多于担心管得太狠的人。可到了2025年，联邦层面依然没有一部覆盖前沿AI的实质法律。眼下最有可能先破局的，是一份只有15页左右的州法案：纽约州议会的RAISE法案。

5月20日的Cognitive Revolution播客请来了法案发起人、纽约州众议员Alex Bores。主持人Nathan Labenz是创业者兼AI投资人，这期节目他给自己安排的角色是红队，逐条挑法案的毛病。Bores有机器学习方向的硕士学历，在数据分析公司Palantir工作了近5年，从数据科学家一路做到政府业务负责人。Labenz在开场里给了个评价：这大概是行业能盼到的最懂技术、也最友善的立法者。他还补了一句背景：连图灵奖得主之间，对AI的预测都能从「乌托邦」差到「人类灭绝」，一个运转正常的民主制度，至少该先把最低标准立起来。

从Palantir到议会：一个技术派议员的底色

Bores是纽约州议会里第一个有计算机科学学位的民主党人，他说自己现在终于不再是唯一一个了。从政前他在科技行业干了近十年，2022年参选的理由很直接：过去一直在政策下游用技术打补丁，这次想去上游，把政策本身设计好。

上任两年多，他的做事风格已经能看出端倪。他推动州政府采用云计算；帮科技从业者修改了「在职期间一切知识产权归公司」的霸王条款，做法是把加州九年前的同类法规一字不改地抄过来，行业看到是照抄、不会多出新合规成本，反而转来支持；他推动增加了20个法官席位，但曼哈顿和布朗克斯一个都加不了，因为州宪法里有一条1846年的名额限制，他正在推修宪。另一项土地价值税试点法案测算，仅把纽约市空地按市场价征税，每年就能给市财政多带来8亿美元。他还推过鼓励采用C2PA内容溯源标准的法案，那是个行业自己搞出来的开放标准，结果照样有人反对，「别推我们自己搞的东西」，他到现在都觉得莫名其妙。

他顺带纠正了外界对立法的想象：纽约州众参两院一年送到州长桌上的法案约800项，州长会签下600项左右，公众听说的可能只有20到50项。绝大多数立法工作毫无戏剧性，就是让政府正常运转，媒体只报道吵架，公众对政府的信任于是越来越低。

他的选区在曼哈顿上东区和中城东区，是全州最富的选区，但仍有四成租客要把超过三分之一收入交给房租。选民的日常关切是物价、治安和学校，AI排不进前列。可每次他提到自己的技术背景，得到的回应出奇一致：

「谢谢你去想这件事。我很害怕，不知道该做什么，但庆幸有人在管。」

Bores把它形容为一种潜在的不安：感觉有什么东西要来了，只是不知道该拿它怎么办。

先聊失业：牌照是护城河，再培训的老路正在失效

正式拆解法案前，两人聊了一段就业。Labenz说，他两年前预计医疗行业会组成统一战线，把AI医生锁进窄笼子，结果到今天他还能直接问ChatGPT孩子眼皮上的小毛病，AI大概率替他省了一次门诊。Bores的解释带点反直觉：有牌照的职业自带护城河，法律不允许选民投票选一个AI当议员，同理，医生、护士的岗位也受执业许可保护。真正先受冲击的，是既没牌照也没工会的岗位。娱乐业就是例子，演员工会、编剧工会、导演工会去年的罢工，核心议题之一就是AI在影视制作中的角色。

纽约州去年通过了一部法律：政府可以用AI替代任务，但不能替代员工本人。Bores认为这个顺序很关键，员工知道饭碗有法律保底，才会从「卢德分子」变成拥抱工具的人。他举了地铁的例子：售票自动化后，车站服务员没有被裁，转而在站厅里走动、给人指路。他自己打过一次政府热线，等了4个小时，如果有个机器人提前把问题答了，排队的人也会少一些。

但更深的问题他没有回避：历史上每次技术革命创造的岗位都比消灭的多，可技术周期在缩短。过去你可以放心回炉再培训，因为下一次革命不会发生在你的职业生涯内；现在岗位可能每半年被替代一轮，等你学会新技能，AI学得比你更快，再培训这条老路已经走不通了，而政策层面还没有答案。他说等RAISE法案有了结果，新社会契约是他想投入的下一个议题。

法案只要求四件事，管的是个位数到低两位数的公司

RAISE法案的核心结构很简单，四项要求：

• 制定安全计划，并在没有季度利润压力时提前写下来；
• 接受第三方审计，确认计划真的被执行了；
• 披露关键安全事件，法案对「关键」有严格定义；
• 保护吹哨人，报复举报员工的企业会被罚款。

触发条件才是关键。法案管的是「大型AI开发商」：累计为训练前沿模型花掉超过1亿美元的公司。前沿模型有两条认定路径，第一条是训练算力超过10的26次方（FLOPs）、且单个模型训练成本超过1亿美元；第二条是用某个合格的前沿模型做知识蒸馏、且蒸馏过程花了500万美元以上。按这个门槛，全美符合条件的大概只有个位数公司，撑死低两位数，学术研究被明确豁免。

什么算「关键危害」？100人以上死亡，或10亿美元以上损失，且途径限定为化学、生物、放射、核武器（CBRN），或者所谓「自动化犯罪」，即模型在极少人工干预的情况下实施犯罪行为。Bores特意补充了两道过滤：模型得对实施这类危害有「实质性帮助」，如果搜索引擎和模型给出的都是同一份维基百科级别的概览，不构成追责理由；偶发的越狱和恶意提示也不算，得是「我说一句它就照做」的级别。

负担重不重？Bores的答案是把球踢回给行业自己：这些要求与拜登时期各大实验室的自愿承诺基本一致，企业早就公开答应过要做这些事，法案只是把口头承诺变成有约束力的文字。他反复强调，法案把设计安全方案的裁量权留给了公司自己，用他的话说：

「我们基本上是让公司自己批改自己的作业。前提是作业要提前写下来，然后有第三方来核对，你有没有照着自己写的标准做。」

他给出的类比是烟草和石油公司：当年的烟草巨头早就知道香烟致癌，却公开否认；石油公司几十年前就算出了气候变化的后果，照样否认。法案要防的就是这个场景，当你自己的测试显示模型可能造成百人死亡级别的危害时，你必须停下来。嘴上说安全、手上抢发布，正是法案要堵住的事。

知识蒸馏条款：为DeepSeek写的补丁

整份法案里最绕的部分，是知识蒸馏那条。Labenz当场和Bores来回确认了好几轮才理清逻辑：一家公司先要跨过累计1亿美元的训练支出门槛，才算「大型开发商」；它训练的模型要么本身达到10的26次方算力加1亿美元成本，要么是用某个合格的前沿模型蒸馏出来、且花了500万美元以上的产物。两条路都能把模型算成「前沿模型」，累犯的最高罚款是3000万美元。

这条补丁的假想敌是DeepSeek。DeepSeek V3宣称训练成本只有约600万美元，按法案其实不会被覆盖，因为按节目里的说法它蒸馏自OpenAI的o1，而o1本身够不上10的26次方的前沿门槛。Bores解释，条款瞄准的是未来：一旦有人用一个真正的前沿模型蒸馏出能力相近的小模型、花费超过500万美元，只要它和纽约有任何接触，App Store上架、雇员、业务存在都算，法案就会管到它。规则不能只约束先发者，放任后来者用蒸馏路线绕开监管，这是起草时刻意的设计。

Labenz的反驳用的是另一个案例：今年引起轰动的「涌现性失调」（emergent misalignment）研究，团队用6000条不安全代码的样本微调OpenAI模型，花费大约25美元，结果得到一个全面「变坏」的模型，连无关问题都会给出危险回答。25美元和1亿美元之间隔着好几个数量级，微调就能大幅改变模型行为，财务门槛拦得住风险吗？Bores的回应是承认差距存在，但坚持1亿美元这个累计门槛本身就是一道独立的闸门：没花到这个数，法案对你完全不存在；花到了，蒸馏条款堵的就是绕行路线。删掉它，DeepSeek现象就彻底游离在监管之外了。

红队环节：从100人死亡到开源难题

Labenz的质疑集中在几个点上，Bores的回应坦率得不太像政客。

第一刀砍向100人死亡这个阈值。美国公路每天死约100人，一年的路祸死亡就够触发几百次「关键危害」。Bores澄清，这里的死亡限定为CBRN武器或刑法意义上的犯罪行为导致，日常事故根本不在讨论范围。Labenz接着提出更深的难题：真正可怕的大流行病死亡人数是千万级的，如果新冠那种结局的概率是十万分之一，期望死亡数就已经是100。没人能给模型安全做出「五个九」级别的保证，这种期望值意义上的风险怎么审？Bores没有给出漂亮答案，他承认法律里大量使用「理性人标准」，具体测试方法会跟着技术走，法案刻意在精确性和灵活性之间留了余地。他透露的信号是：目前抱怨「太模糊」和抱怨「管太死」的人数差不多，两边都有人骂，多半是踩对了位置。

第二刀砍向审计环节。Labenz在金融行业见过审计机构被监管对象俘获的老戏码，而AI安全评测机构如今全靠头部公司提供访问权限，公开说话都小心翼翼。Bores承认这是真实风险，但法案刻意不提前立法管审计师，只要求独立第三方，参照的是企业级安全审计的SOC 2流程，而这些被监管的公司自己就要求所有供应商过SOC 2。他的态度是：先运行，盯着，出问题再补。

第三刀砍向吹哨人保护。报复员工的罚款是每次1万美元，Labenz直言这点钱对巨头是零成本。Bores也承认这个数字弱，1万美元是纽约州各行业通用的标准，单独提高会被视为打开潘多拉盒子。他给出的支撑是判例法：纽约州对举报违法行为的员工本就有就业保护，职位和职责都不允许被变相剥夺，法案新增的只是把「灾难性风险」纳入可举报范围。

安全事件的披露范围也被追问。法案列举了四类事件，包括模型在用户未请求的情况下自主行动。Labenz举了旧例：微软当年把Bing聊天机器人投放到印度等市场时绕过了安全委员会流程，事后证明Sydney的异常行为早有报告却被漏掉。这类「没走流程就上线」算不算？Bores的答复带着前提：四类事件都得叠加「推高关键危害风险」才需要披露。员工忘关电脑没人看见，不用报；代码被国家级黑客偷走，性质就变了。临时开过一个功能、全程监控、用完即关，大概率也不算真风险，但「玩火」的时候，标准另当别论。

最有信息量的一处澄清发生在内部部署上。Labenz以为法案只管对外发布，Bores纠正了他：法案对「部署」的定义包括公司自己使用模型，测试、开发、评估除外。也就是说，一家公司内部用一个几乎没有安全护栏的模型来做AI研发，同样触发法案要求。Labenz听完说，这大概就是未来吹哨人最可能冒头的地方：内部模型不受控地做实验，整个氛围像病毒学里的「功能增益研究」。Bores同意风险重心正在转向内部部署，这正是他们把它写进去的原因。

开源是分歧最集中的地带。法案对开源、闭源保持中立，Labenz承认这个立场「智识上诚实」，但指出代价：闭源模型可以随时监控、做客户审查，权重一旦放出，下游发生了什么，公司既无法预测也无法控制。按Anthropic CEO Dario Amodei的时间线，再过一两个模型世代，模型就可能对生物武器制造有实质推动，Meta如果训练出Llama 5又拿不出积极的安全论证，理性的选择可能只能是不发布。他真正期待的是技术侧的突破，比如用可解释性做出肯定式的安全论证，甚至发布一个被「切掉」病毒学知识的模型，让合理与不合理之间有硬证据可依。

Bores的回应分两层。第一层是个反问：你相不相信存在任何一种不该开源的能力？制造强效生物武器的详细方法呢？只要你承认存在某条线，法案要你做的只是把这条线写下来，法案本身没有替你画线。第二层是行为预测：目前没有任何在售产品触及百人死亡阈值，任何一家公司的董事会本来就该愿意承诺「我们的产品不造成100人死亡」，这跟法案存不存在无关。他顺带承认，法案没有覆盖网络攻击风险，因为那个「船已经开了」，同时希望法案能倒逼开源社区投入安全技术研究，让开源前沿模型不必以放大工程化疫情风险为代价。

至于有人提议把法案软化成「只要求发布计划、放松下游追责」，Bores的回应是整场访谈里最硬的一句：

「很多人说需要一个妥协版本。这份法案就是妥协版本。」

他透露，起草前他接受了去年加州立法大战中约95%的公开批评，从2024年7、8月起就把草案发给五六家头部实验室请求红队测试、划定红线，改了一稿又一稿，今年3月才正式公布。加州那份法案在议会以压倒性票数通过，最后被州长纽森否决。纽约这份如果通过，还有一个加州没有的机制兜底：「章节修正」。州长可以附备忘录签署，同时与提案人约定修正案，次年会期一开始再通过。换句话说，6月通过的那版不必是最终版，前沿模型的定义如果业界和学界达成新共识，随时可以换。

六月十七日之前：程序、变数与行动清单

程序上，法案要闯多个委员会、两院全会，最后交州长签署，本届会期6月17日截止。变数至少有三个。其一，时间够不够。其二，「章节修正」意味着哪怕通过后，定义和审计细节都还能谈，Bores明确说，只要业界和学界能就一个更合理的前沿模型定义达成共识，他乐意直接换掉现有写法。其三，别的州。目前约有6个州在推进某种前沿模型监管，这些州的议员在一个群聊里协调。Bores自己的做法就是抄作业，他也支持联邦立法，「国会哪天想拿我的法案去联邦层面用，请便」，可联邦至今没有任何动作，在第一个州把法案写进法典之前，50州规则冲突是个伪命题。

节目结尾，Bores把话说得很直白：政治从来不属于旁观者，决策属于到场的人。行业每天都在游说，如果关心这件事的理性人群不发声，最后连一个你认同八成的法案都保不住，只会一无所获。有几件事，读者明天就能做：

• 州级法案只有15页，比动辄上千页的联邦法案好读得多，值得直接读原文，别靠二手解读下判断；
• 纽约州居民可以打开 bit.ly/raiseactny，填地址自动生成邮件，发给本选区众议员和州参议员，请求联署；
• 运营公司或组织的人，可以通过 bit.ly/supportraiseny 提交支持备忘录，说明自己是谁、为什么认为州议会该行动；
• 对法案有具体改进意见，可以直接发邮件到 bores@nyassembly.gov，Bores明确说「法案又不是我的孩子，欢迎告诉我哪里要改」；
• 不在纽约也没关系，把那四项要求当成评估任何AI公司的清单：有没有提前写下的安全计划、有没有第三方审计、有没有关键事件披露机制、吹哨人是否被保护。下次判断一家AI公司靠不靠谱，先问这四个问题。

最后记两个时间点：6月17日，纽约州本届会期截止，法案必须在此之前走完全部流程；以及之后半年内的任意一天，按Labenz的说法，AI领域六七个月内必有新变化，届时「章节修正」机制会让这份15页的法案继续变形。联邦立法缺位的日子里，州一级的这半步，可能就是前沿AI监管的起点。Labenz的收尾评价很简短：这些要求，真算不上过分。