如何把 AI 安全承诺变成可检验的保障

安全承诺还不是安全论证。这正是沃尔克·蒂尔克九月警告中最有操作价值的一点：如果政府迟迟不建立可信的保障措施，先进 AI 可能成为生存风险。联合国人权事务高级专员呼吁制定有约束力的规则、建立独立控制并划定清晰边界。这一表态是在要求行动，并不是证明当前系统已经跨过了生存风险门槛。但它点出了当下组织就会遇到的问题：开发者可以说一个模型是安全的，却没有给别人可靠的方法来核验这项说法。

合理的回应既不是把每一次 AI 失误都说成文明尺度的威胁，也不是把一页政策声明当成控制能力的证明。应当把每一项影响重大的承诺转成可检验的主张，明确由谁检验，并预先规定检验失败后会怎样处理。这样，安全才会变得可被技术团队、采购方和监管者理解与审视。

从能够被证伪的主张开始

有效的保障流程首先要把口号替换为边界。“系统已经对齐”过于宽泛，无法审计；“未经单独认证的人类批准，智能体不能批准付款、修改生产代码或导出客户数据”则可以被检查。它说清了行为、相关访问路径以及应当阻止该行为的控制措施。

这一区分很重要，因为 AI 风险既取决于能力，也取决于环境。模型在受控评估中可能完成敏感任务；当它接入电子邮件、源代码仓库、浏览器会话或运营数据库时，风险却可能完全不同。反过来，实验室测试中一个令人担忧的回答，也不能单独证明受严格约束的部署不安全。真正的问题不只是模型能说什么或计划什么，而是借助它拥有的工具与权限，它实际上能造成什么后果。

对每个高影响用途，都应记录禁止发生的结果、控制措施依赖的假设，以及验证所需的证据。例如：针对禁止指令的拒答测试、对受保护系统的访问控制测试、自动化工作流的回滚演练，以及证明人类批准门不会被第二个集成接口绕开的记录。证据应具有足够可重复性，让另一位合格审查者能够质疑和复核。

将模型评估与部署保障分开

模型评估考察系统在既定条件下如何表现。它可以测试模型是否遵从不安全指令、是否试图欺骗评估者、是否生成恶意代码，或是否会在接到关闭请求后持续运行。这些测试很有价值，但它们并不能描述完整的已部署系统。

部署保障回答的是另一组问题：智能体能访问哪些凭据？权限是否被限制在任务所需范围？不可逆的操作是否需要人工把关？运营人员能否观察工具调用、快速隔离系统并保存有用的事件记录？一个适合起草内部文件的系统，在接触生产基础设施或金融工作流之前，可能需要完全不同的控制设计。

因此，最小权限不是泛泛的安全清单。只授予完成一项任务所需的最少工具、数据和限时凭据；将敏感系统置于独立身份与网络中；对不可逆步骤要求明确的人类决定。这些控制无法让强大的系统变得无害，但能缩小错误决策与实际损害之间的距离。

让独立性具有实际含义

只有当审查者能够查阅相关证据、采用约定方法，并且不依赖开发者偏好的摘要来报告重要限制时，独立审查才有价值。审查者不必获得模型权重的无限制访问，才能评估每一种主张。对于许多部署主张，审计日志、访问策略、测试环境和受控演示反而更相关。

独立性还意味着说明范围。评估者可能只能验证某一个模型版本、工具配置和运行环境。这个结论不能被延伸为对未来版本、新集成或更广泛用户访问的永久认证。出现重大变更时，需要重新评估。

蒂尔克发言所在的人权理事会会议，是制定标准与施加政治压力的论坛，而不是能够强制实验室披露系统的技术监管者。因此，可执行的保障需要连接到能够设定采购条件、许可规则、责任制度或事件报告义务的主管机关与机构。联合国《全球数字契约》同样提出问责和人类监督原则；落实这些原则时，必须为原则明确证据与后果。

把事件当成系统测试，而不是公关事件

可信的安全计划应当假定保障会失效。它必须明确：如何发现可疑行为，谁可以暂停系统，如何撤销访问，保存哪些日志，以及怎样通知或保护受影响的人。在降级条件下从未演练过的终止开关，只是一个主张，而不是一项控制措施。

事后复盘应追问：模型是否出现意外行为？权限是否放大了影响？监控是否及时发现问题？人员是否拥有快速行动的权限？答案可能导致限制模型、收窄工具范围、增加批准步骤，或决定不部署。公开经验并不等于暴露敏感漏洞；但把每一次失败都隐藏起来，会使外部保障无从谈起。

蒂尔克使用“生存风险”的措辞是为了强调紧迫性。更精确的操作结论是：后果重大的 AI 不能只凭信任推进。在部署前定义限制，在真实环境中检验限制，让独立审查者获得足以质疑它们的证据，并把失败响应纳入发布决策。这样，安全承诺才会成为承诺者之外的人也能检验的保障。