从每月3篇到60篇论文：Nathan走访两周，看清中国AI安全圈的真实水位

2023年，中国每月产出的AI安全论文只有两三篇。到2026年年中，这个数字是每月50到60篇，三年涨了十倍以上。

这是Nathan Labenz从中国带回的数字。他是播客Cognitive Revolution的主播，创业者兼AI投资人。这一集是“中国行”系列第二部，主题叫“中国特色的AI安全”。第一部偏旅行见闻和工具测评，这一部只讲一件事：中国AI安全生态里到底有什么。

先交代他的规矩。全程按查塔姆守则处理，不点名任何受访者，不把话归到具体机构头上，能引用的只有公开报告和论文。机票酒店全部自费，没有任何财务关联，收过的最大好处是六顿饭。

“但中国”论该退休了

过去很多AI监管讨论，聊到最后都会拐进同一个死胡同：我们不能减速，不能给前沿公司加义务，因为中国不在乎，中国永远不会慢下来。Nathan给这个句式起过名字，叫"but China"终点站。

他的判断很直接：

“说‘我们做点别的事就是把竞赛送给中国’，说白了，这种话出自无知。”

两周走访下来，中国在乎AI安全，而且中国政府在认为必要的时候，真的对AI公司踩过刹车。踩的不一定是美国讨论里那种生存风险式的刹车，但刹车确实存在。最近接连曝出的前沿实验室安全事件，也让“我们确实有问题”越来越难否认。

先泼冷水：差距是真的，但靠两家公司撑着

Nathan平时被归为对华鸽派，所以他把对自己立场最不利的证据放在最前面：中国模型面向公众的滥用防护，整体上确实不如美国公司，差距比很多人愿意承认的还大。

但这个差距的结构很关键。主要靠两家公司拉开：OpenAI和Anthropic。他开玩笑说，这两家干脆合称"OpenAnthropic"，能力领先，安全措施也领先，硬生生把美国平均分拉了上去。把这两家拿掉，剩下的美国公司跟中国公司摆在一起，差距会缩到很模糊。美国还会略领先一点，但远够不上什么道德高地。

按宽松口径算，两国各有10到12家“近前沿”公司。Google的Gemini防护不如那两家，但比大部队强一些。

第三方评测能对上号。Concordia AI（创始人Brian Tse，Nathan一年前请他上过节目）维护着aimonitor.net，跑了大量评测：闭源API模型（多为美国）大致贴着或略高于45度线，开源权重模型（多为中国）在线下方。FAR AI的Adam Gleave几天前刚上过节目，排序一致：OpenAI和Anthropic最难越狱，Gemini和Grok容易些，中国模型更容易。两个机构隔着太平洋问同一个问题，答案几乎一样。

45度线：中国版的安全观

45度线这个词，得从周伯文说起。他是上海人工智能实验室主任兼首席科学家，2024年WAIC（世界人工智能大会）上提出了这个概念：能力和安全同步增长，像斜率为1的那条直线。能力往上走，安全措施必须跟得上；只要安全始终扛得住当前能力的挑战，就没问题。

这个框架还有一层隐含意思：为还不存在的能力过度堆护栏，意义不大，甚至可能适得其反。别让能力甩开安全，也别让安全空转到能力前面。

Nathan对中国AI安全圈的整体印象：务实、接地气、不受科幻传统影响，想的是一代人接着一代人把事情做顺。像工程师，不太像末日预言家。

中美之间还有一个真实的认知分歧：监管的对象到底是什么。中国监管的是服务。Nathan在中国用国产AI应用时多次遇到同一个场面：敏感问题的回答流式输出到一半，整段突然消失，换成拒绝话术，像老版Bing。模型愿意答，是模型外面那层监控器把话掐断了。这是个多层系统。

所以中国公司发布开源权重模型时想的是：模型会被别的企业拿去搭服务，服务自然会被监管；再说这些模型动辄上万亿参数，一个心理失常的人不可能在笔记本上把2.8万亿参数的模型跑起来。他们看的是模型最终被谁、在什么环境里使用。把模型从环境里抠出来做最坏假设，这种思路他们不太有。Nathan觉得这个视角有道理，美国讨论略过得太快了。不过最坏情况视角（开源权重谁都能拿走）同样成立，中国这边可能低估了它。两边各有各的对，也各有各的盲区。

大厂积极，创业公司赶路

那中国公司自己多在乎？Concordia AI刚更新的2026年7月版《中国AI安全状况》报告审了10家中国大公司的安全披露：5家至少有一次随模型发布公开过安全评估，精神上接近Anthropic和OpenAI的模型卡；另外5家没有；做过的那5家，也不是每次发布都做。

一个清晰的分层：阿里、蚂蚁、腾讯这些家底厚的大厂更愿意投入安全，某种程度上还有字节。可能是怕触怒监管，可能是付得起成本，也可能是业务逼出来的谨慎，金融科技公司挪钱，升级系统当然要反复掂量。创业公司大多在埋头追前沿，顾不上。

Nathan拿Meta类比。Llama 2和Llama 3时代的Meta逻辑是：我们落后前沿一年，等我们拿出这个能力等级时，OpenAI和Anthropic已经把它暴露在公众面前一年了，该被挖出的越狱都挖过了，真要出事早出事了。Llama 3.3 70B号称GPT-4o水平，到目前为止确实没出大事，历史暂时站在Meta那边。中国的创业公司里流行同一套逻辑：跟随已被验证过的能力等级，风险早被别人趟过了。美国前沿开始出现真实事故报告之后，这套逻辑还成不成立，要打个问号。

一个细节值得单独说。Nathan参加了一场某大厂的会面，高管阵容包括CMO、公关负责人、总法律顾问、AI安全负责人。对方几乎拍了桌子：CBRN（化学、生物、放射、核）这类灾难性风险，我们真的在乎。他们还透露，用一个agent每天扫美国的AI安全讨论，自动出日报。他们在研究我们，比我们研究他们多得多。

还有一件事要纠正：中国AI安全远不止内容安全。西藏、台湾、天安门那三类敏感话题，大家早就知道，而且往往是模型愿意答、服务层的监控器负责掐断。Nathan的观察是，这些公司觉得内容问题基本搞定了，现在所有人嘴里的词是agent：AI从回答问题变成了在世界里采取行动，加上机器人和具身智能这条线，这些行动迟早离开数字世界，走进物理世界。控制问题就摆在那。

论文从每月3篇涨到60篇，清华把LISA当标杆

研究层面的数字最有说服力。Concordia AI维护的aisafetychina.com追踪中国AI安全论文：2023年每月两三篇，2026年年中每月50到60篇，三年十倍以上，曲线还在往上走。Nathan让Claude估了英语圈的量，答案是每月50到几百篇。美国更高，但已经拉不开数量级的差距。

论文长什么样？抽样几篇：

• 2024年《前沿AI系统已越过自我复制红线》，复旦大学团队，跟Palisade的自我复制研究几乎同期。
• 2025年5月的《Evaluation Faking》，研究模型在“被观察”时假装通过评估，跟Anthropic的eval awareness研究对得上号。
• 2025年9月的《R² AI》，出自上海人工智能实验室，通讯作者是周伯文，引用了Guaranteed Safe AI那篇框架论文。

Nathan在WAIC还碰到不少来参加二轨对话的美国人，就是那些在网上喊“必须跟中国签国际条约”的人，他们在现实里真的飞过来做工作，闭门会上把话说得很透。也有中国人私下把AI安全当成西方拖慢中国的心理战，Nathan没遇到一个真信的，他判断这种说法撑不了多久，真实风险案例越来越多，会自己消退。

WAIC开幕前两天，他专程飞北京，参加了清华大学人工智能学院一个AI安全枢纽的揭牌。这件事英文互联网上几乎搜不到报道，他搜不到，让Claude帮忙也搜不到，中文媒体有消息。他们了解我们，远胜于我们了解他们。

成立仪式上有几个信号很明确。五位创始理事会成员里，有一位欧洲教授，正式入职清华参与建设。致辞里点名美国的Constellation和伦敦的LISA当标杆，说想成为北京版的它们，一个让人来做研究、交换想法的聚会场所。展示研究时，幻灯片上直接挂着Apollo Research、METR、Palisade、英国AI安全研究所、Redwood Research的logo，标成“前人工作”。计划资助学生出国交流，也公开招募国际研究员驻京。他们数过，全球已有16个左右的AI安全枢纽，他们想进第一梯队。经费来自民间捐助，非政府也非校方。

揭牌环节有点可爱：五位理事每人把手掌按在一个小讲台上，身后大屏幕放出动画，正式宣告启动。用美国文化视角看有点土，但没人端着，没人怕显得用力过猛。Nathan说这反而亲切，美国文化里那种“怕显得太努力”的扭捏，那里没有。

再往上一层，是政治表态。2026年WAIC的开幕主旨演讲里有这么几句：

“人类应该如何与会思考的机器共存？算法参与决策时，如何保障安全？技术挑战伦理时，治理如何跟上？”

“AI发展越快，越要把方向坚定锚定在造福人类上，治理校准要越精细，防止失控的保障要提升得越快。”

“各国应增强风险意识，正视AI的固有风险和衍生风险，建立法律、技术监测、预警和应急响应体系，防止误用和恶意使用，确保AI始终处于人类控制之下。”

Nathan提醒，这类演讲的每个字都经过反复推敲，英译版本也是。“确保AI始终处于人类控制之下”出现在收尾，他建议任何持有“中国永远不会在乎”立场的人把全文找来读一遍。他还给了个对照：把它跟美国政客最“懂行”的AI安全发言比一比。跟万斯前不久在欧洲那场演讲相比，Xi反而显得像AI安全鹰派。

犬儒的读法会说，演讲里的“失控”指的就是内容管控。Nathan承认内容管控肯定是其中一部分，但他认为把整篇演讲读成社会控制，缺乏依据。

教授不聊p(doom)：两种文化，两种气质

中美AI生态有很多镜像结构，上次他提过去字节食堂吃饭的感觉跟去谷歌食堂几乎一样。但AI安全这块，人的来源差别很大。

中国没有美国那种非营利部门。可以注册nonprofit，但审批重、活动范围窄、没有政治活动空间，资金也偏向人人都能点头的好事。Nathan认为这是美国的一大隐形优势：任何人只要说服一位金主，就能去追一个疯狂的想法。今天的整个美国AI安全社区，就是当年几个慈善家养着一群边缘人养出来的。中国没有这个生态位，对应的角色由大学补上了。

中国学界拥抱AI安全的速度比美国学界快，但比美国的非营利部门慢。而且教授就是教授，走的是博士、博后、教职一步步上来的路，做研究有创造力但不越界，不谈小概率尾部风险，也不玩LessWrong那套美学。如果你是那种蓝头发、满口p(doom)的美国AI安全鹰派，去中国找同类，大概率找不到。

Nathan跟一位做了大量AI安全研究的教授吃饭，问了几个在湾区很平常的问题：你们午饭聊不聊p(doom)？读不读AI 2027？教授说，AI 2027太政治化，里面那些中美博弈的内容让人不敢多聊。p(doom)？我们不交换这个数。教授反问：美国人真干这个？Nathan说，在湾区，这个话题就飘在空气里。

两边做的是同一件事，但人的类型和话语体系差别很大，沟通错位的风险真实存在。美国AI安全圈的前锋连跟自己政府沟通都费劲，直接去对接中国学界和政府，难度只会更大。好在活动本身在增长，只是长在不同的制度土壤里。

明天就能用的几件事

• 再听到“中国不在乎AI安全”，把两个网址甩过去：aimonitor.net（模型安全评测数据）和aisafetychina.com（中国AI安全论文追踪），都由中国机构公开维护，中英双语。
• 想系统跟踪中国AI安全，去读Concordia AI的《中国AI安全状况》年度报告，2026年7月版刚更新，10家公司的披露情况都在里面。
• 做评测或安全工作的人，把“模型本身”和“部署后的服务”分开测、分开报，这是中美两边真实的认知分歧点，写进方法论能少吵架。
• 关注清华那个AI安全枢纽的动向，它公开招募国际研究员、资助学生出国，是观察中国AI安全开放程度最直接的窗口。
• 十分钟读完2026年WAIC开幕演讲全文，Matt Sheehan的博客有完整英译，比任何二手转述都可靠。

Nathan预告了第三集：中美AI关系，以及国际协调到底还有没有戏。这一集至少先把一个事实钉住了：桌对面坐着的人，在乎这件事，而且投入的速度比很多人以为的快得多。