# 从每月3篇到60篇论文：Nathan走访两周，看清中国AI安全圈的真实水位 > Cognitive Revolution No. 362 中文精读 - 原标题：Nathan Goes to China – Part 2: AI Safety with Chinese Characteristics - 发布日期：2026-08-02 - 主持：Nathan Labenz - 网页版：https://cogrev.1mmt.com/ep/362-nathan-goes-to-china-part-2-ai-safety-with-chinese-character-w9zJzd.html - 精读字数：约 4916 字（阅读约 11 分钟） > 本文为 cogrev.1mmt.com 基于原始访谈的 AI 改写中文精读，非官方翻译；引用请注明出处并链接网页版。 2023年，中国每月产出的AI安全论文只有两三篇。到2026年年中，这个数字是每月50到60篇，三年涨了十倍以上。 这是Nathan Labenz从中国带回的数字。他是播客Cognitive Revolution的主播，创业者兼AI投资人。这一集是“中国行”系列第二部，主题叫“中国特色的AI安全”。第一部偏旅行见闻和工具测评，这一部只讲一件事：中国AI安全生态里到底有什么。 先交代他的规矩。全程按查塔姆守则处理，不点名任何受访者，不把话归到具体机构头上，能引用的只有公开报告和论文。机票酒店全部自费，没有任何财务关联，收过的最大好处是六顿饭。 ## “但中国”论该退休了 过去很多AI监管讨论，聊到最后都会拐进同一个死胡同：我们不能减速，不能给前沿公司加义务，因为中国不在乎，中国永远不会慢下来。Nathan给这个句式起过名字，叫"but China"终点站。 他的判断很直接： > “说‘我们做点别的事就是把竞赛送给中国’，说白了，这种话出自无知。” 两周走访下来，**中国在乎AI安全，而且中国政府在认为必要的时候，真的对AI公司踩过刹车。**踩的不一定是美国讨论里那种生存风险式的刹车，但刹车确实存在。最近接连曝出的前沿实验室安全事件，也让“我们确实有问题”越来越难否认。 ## 先泼冷水：差距是真的，但靠两家公司撑着 Nathan平时被归为对华鸽派，所以他把对自己立场最不利的证据放在最前面：**中国模型面向公众的滥用防护，整体上确实不如美国公司，差距比很多人愿意承认的还大。** 但这个差距的结构很关键。主要靠两家公司拉开：OpenAI和Anthropic。他开玩笑说，这两家干脆合称"OpenAnthropic"，能力领先，安全措施也领先，硬生生把美国平均分拉了上去。把这两家拿掉，剩下的美国公司跟中国公司摆在一起，差距会缩到很模糊。美国还会略领先一点，但远够不上什么道德高地。 按宽松口径算，两国各有10到12家“近前沿”公司。Google的Gemini防护不如那两家，但比大部队强一些。 第三方评测能对上号。Concordia AI（创始人Brian Tse，Nathan一年前请他上过节目）维护着aimonitor.net，跑了大量评测：闭源API模型（多为美国）大致贴着或略高于45度线，开源权重模型（多为中国）在线下方。FAR AI的Adam Gleave几天前刚上过节目，排序一致：OpenAI和Anthropic最难越狱，Gemini和Grok容易些，中国模型更容易。两个机构隔着太平洋问同一个问题，答案几乎一样。 ## 45度线：中国版的安全观 45度线这个词，得从周伯文说起。他是上海人工智能实验室主任兼首席科学家，2024年WAIC（世界人工智能大会）上提出了这个概念：能力和安全同步增长，像斜率为1的那条直线。能力往上走，安全措施必须跟得上；只要安全始终扛得住当前能力的挑战，就没问题。 这个框架还有一层隐含意思：**为还不存在的能力过度堆护栏，意义不大，甚至可能适得其反。**别让能力甩开安全，也别让安全空转到能力前面。 Nathan对中国AI安全圈的整体印象：务实、接地气、不受科幻传统影响，想的是一代人接着一代人把事情做顺。像工程师，不太像末日预言家。 中美之间还有一个真实的认知分歧：监管的对象到底是什么。中国监管的是服务。Nathan在中国用国产AI应用时多次遇到同一个场面：敏感问题的回答流式输出到一半，整段突然消失，换成拒绝话术，像老版Bing。模型愿意答，是模型外面那层监控器把话掐断了。这是个多层系统。 所以中国公司发布开源权重模型时想的是：模型会被别的企业拿去搭服务，服务自然会被监管；再说这些模型动辄上万亿参数，一个心理失常的人不可能在笔记本上把2.8万亿参数的模型跑起来。**他们看的是模型最终被谁、在什么环境里使用。把模型从环境里抠出来做最坏假设，这种思路他们不太有。**Nathan觉得这个视角有道理，美国讨论略过得太快了。不过最坏情况视角（开源权重谁都能拿走）同样成立，中国这边可能低估了它。两边各有各的对，也各有各的盲区。 ## 大厂积极，创业公司赶路 那中国公司自己多在乎？Concordia AI刚更新的2026年7月版《中国AI安全状况》报告审了10家中国大公司的安全披露：5家至少有一次随模型发布公开过安全评估，精神上接近Anthropic和OpenAI的模型卡；另外5家没有；做过的那5家，也不是每次发布都做。 一个清晰的分层：阿里、蚂蚁、腾讯这些家底厚的大厂更愿意投入安全，某种程度上还有字节。可能是怕触怒监管，可能是付得起成本，也可能是业务逼出来的谨慎，金融科技公司挪钱，升级系统当然要反复掂量。创业公司大多在埋头追前沿，顾不上。 Nathan拿Meta类比。Llama 2和Llama 3时代的Meta逻辑是：我们落后前沿一年，等我们拿出这个能力等级时，OpenAI和Anthropic已经把它暴露在公众面前一年了，该被挖出的越狱都挖过了，真要出事早出事了。Llama 3.3 70B号称GPT-4o水平，到目前为止确实没出大事，历史暂时站在Meta那边。**中国的创业公司里流行同一套逻辑：跟随已被验证过的能力等级，风险早被别人趟过了。**美国前沿开始出现真实事故报告之后，这套逻辑还成不成立，要打个问号。 一个细节值得单独说。Nathan参加了一场某大厂的会面，高管阵容包括CMO、公关负责人、总法律顾问、AI安全负责人。对方几乎拍了桌子：CBRN（化学、生物、放射、核）这类灾难性风险，我们真的在乎。他们还透露，用一个agent每天扫美国的AI安全讨论，自动出日报。**他们在研究我们，比我们研究他们多得多。** 还有一件事要纠正：中国AI安全远不止内容安全。西藏、台湾、天安门那三类敏感话题，大家早就知道，而且往往是模型愿意答、服务层的监控器负责掐断。Nathan的观察是，这些公司觉得内容问题基本搞定了，现在所有人嘴里的词是agent：AI从回答问题变成了在世界里采取行动，加上机器人和具身智能这条线，这些行动迟早离开数字世界，走进物理世界。控制问题就摆在那。 ## 论文从每月3篇涨到60篇，清华把LISA当标杆 研究层面的数字最有说服力。Concordia AI维护的aisafetychina.com追踪中国AI安全论文：2023年每月两三篇，2026年年中每月50到60篇，三年十倍以上，曲线还在往上走。Nathan让Claude估了英语圈的量，答案是每月50到几百篇。美国更高，但已经拉不开数量级的差距。 论文长什么样？抽样几篇： - 2024年《前沿AI系统已越过自我复制红线》，复旦大学团队，跟Palisade的自我复制研究几乎同期。 - 2025年5月的《Evaluation Faking》，研究模型在“被观察”时假装通过评估，跟Anthropic的eval awareness研究对得上号。 - 2025年9月的《R² AI》，出自上海人工智能实验室，通讯作者是周伯文，引用了Guaranteed Safe AI那篇框架论文。 Nathan在WAIC还碰到不少来参加二轨对话的美国人，就是那些在网上喊“必须跟中国签国际条约”的人，他们在现实里真的飞过来做工作，闭门会上把话说得很透。也有中国人私下把AI安全当成西方拖慢中国的心理战，Nathan没遇到一个真信的，他判断这种说法撑不了多久，真实风险案例越来越多，会自己消退。 WAIC开幕前两天，他专程飞北京，参加了清华大学人工智能学院一个AI安全枢纽的揭牌。这件事英文互联网上几乎搜不到报道，他搜不到，让Claude帮忙也搜不到，中文媒体有消息。**他们了解我们，远胜于我们了解他们。** 成立仪式上有几个信号很明确。五位创始理事会成员里，有一位欧洲教授，正式入职清华参与建设。致辞里点名美国的Constellation和伦敦的LISA当标杆，说想成为北京版的它们，一个让人来做研究、交换想法的聚会场所。展示研究时，幻灯片上直接挂着Apollo Research、METR、Palisade、英国AI安全研究所、Redwood Research的logo，标成“前人工作”。计划资助学生出国交流，也公开招募国际研究员驻京。他们数过，全球已有16个左右的AI安全枢纽，他们想进第一梯队。经费来自民间捐助，非政府也非校方。 揭牌环节有点可爱：五位理事每人把手掌按在一个小讲台上，身后大屏幕放出动画，正式宣告启动。用美国文化视角看有点土，但没人端着，没人怕显得用力过猛。Nathan说这反而亲切，美国文化里那种“怕显得太努力”的扭捏，那里没有。 再往上一层，是政治表态。2026年WAIC的开幕主旨演讲里有这么几句： > “人类应该如何与会思考的机器共存？算法参与决策时，如何保障安全？技术挑战伦理时，治理如何跟上？” > “AI发展越快，越要把方向坚定锚定在造福人类上，治理校准要越精细，防止失控的保障要提升得越快。” > “各国应增强风险意识，正视AI的固有风险和衍生风险，建立法律、技术监测、预警和应急响应体系，防止误用和恶意使用，确保AI始终处于人类控制之下。” Nathan提醒，这类演讲的每个字都经过反复推敲，英译版本也是。“确保AI始终处于人类控制之下”出现在收尾，他建议任何持有“中国永远不会在乎”立场的人把全文找来读一遍。他还给了个对照：把它跟美国政客最“懂行”的AI安全发言比一比。跟万斯前不久在欧洲那场演讲相比，Xi反而显得像AI安全鹰派。 犬儒的读法会说，演讲里的“失控”指的就是内容管控。Nathan承认内容管控肯定是其中一部分，但他认为把整篇演讲读成社会控制，缺乏依据。 ## 教授不聊p(doom)：两种文化，两种气质 中美AI生态有很多镜像结构，上次他提过去字节食堂吃饭的感觉跟去谷歌食堂几乎一样。但AI安全这块，人的来源差别很大。 中国没有美国那种非营利部门。可以注册nonprofit，但审批重、活动范围窄、没有政治活动空间，资金也偏向人人都能点头的好事。Nathan认为这是美国的一大隐形优势：**任何人只要说服一位金主，就能去追一个疯狂的想法。今天的整个美国AI安全社区，就是当年几个慈善家养着一群边缘人养出来的。**中国没有这个生态位，对应的角色由大学补上了。 **中国学界拥抱AI安全的速度比美国学界快，但比美国的非营利部门慢。**而且教授就是教授，走的是博士、博后、教职一步步上来的路，做研究有创造力但不越界，不谈小概率尾部风险，也不玩LessWrong那套美学。如果你是那种蓝头发、满口p(doom)的美国AI安全鹰派，去中国找同类，大概率找不到。 Nathan跟一位做了大量AI安全研究的教授吃饭，问了几个在湾区很平常的问题：你们午饭聊不聊p(doom)？读不读AI 2027？教授说，AI 2027太政治化，里面那些中美博弈的内容让人不敢多聊。p(doom)？我们不交换这个数。教授反问：美国人真干这个？Nathan说，在湾区，这个话题就飘在空气里。 **两边做的是同一件事，但人的类型和话语体系差别很大，沟通错位的风险真实存在。**美国AI安全圈的前锋连跟自己政府沟通都费劲，直接去对接中国学界和政府，难度只会更大。好在活动本身在增长，只是长在不同的制度土壤里。 ## 明天就能用的几件事 - 再听到“中国不在乎AI安全”，把两个网址甩过去：aimonitor.net（模型安全评测数据）和aisafetychina.com（中国AI安全论文追踪），都由中国机构公开维护，中英双语。 - 想系统跟踪中国AI安全，去读Concordia AI的《中国AI安全状况》年度报告，2026年7月版刚更新，10家公司的披露情况都在里面。 - 做评测或安全工作的人，把“模型本身”和“部署后的服务”分开测、分开报，这是中美两边真实的认知分歧点，写进方法论能少吵架。 - 关注清华那个AI安全枢纽的动向，它公开招募国际研究员、资助学生出国，是观察中国AI安全开放程度最直接的窗口。 - 十分钟读完2026年WAIC开幕演讲全文，Matt Sheehan的博客有完整英译，比任何二手转述都可靠。 Nathan预告了第三集：中美AI关系，以及国际协调到底还有没有戏。这一集至少先把一个事实钉住了：桌对面坐着的人，在乎这件事，而且投入的速度比很多人以为的快得多。