抄来的门槛，自己写的闸门

10 月 17 日凌晨 5 时 45 分（北京时间），Politico 刊出一份它拿到的草案：Anthropic 的人正在国会山向议员办公室散发一份联邦 AI 安全法案，文件标着「讨论稿 / 保密 / 律师工作成果」，文件上没有法案编号，也没有提案人1。

草案的短标题一栏还空着，写着「[TBD] 或《AEGIS 法案》」。它要做的事不复杂：要求最先进模型的开发者写安全框架、做独立评估、上报严重事件，并且在一种很窄的情况下允许联邦政府叫停一个模型。

争议全部集中在那句「很窄」上。批评它的人来自两个方向：一派觉得它把闸门设得太高，一派觉得它把太多公司圈了进来。这两派其实在说同一件事——这份草案真正的作者痕迹不在「50 人」这条线上，在「谁按得下暂停键、按之前要走几步」这一串条款里。

我们读到的全文，是 Transformer 公开的副本，37 页2。Anthropic 只向 Politico 确认了草案存在，没有在官网发布它，也没有公开全文。

草案第 3 条定义「灾难性风险」：可预见、实质性的风险，会让一次事件造成 50 人以上死亡或重伤，或 10 亿美元以上的财产损失；风险必须来自三条路径之一——为制造或释放化学、生物、放射、网络或核武器提供专家级协助；在没有有意义的人类监督下发动网络攻击，或做出若由个人实施将构成谋杀、殴打、勒索、盗窃的行为；规避开发者或用户的控制。

这段文字几乎一字不差地来自加州 2025 年通过的 SB 533。Anthropic 自己在六月的框架里还留了一条脚注，直说建议采用与 SB 53 一致的定义4。

问题不在于抄。问题在于同一句话被搬到了另一个位置，干的是另一件事。

在 SB 53 里，这条线决定「要不要写一份风险评估、要不要按季报给州政府」。判的人是开发者自己，政府没有事前否决权，只有事后罚款，单次上限 100 万美元。在草案里，这条线决定「联邦法院能不能下令暂停一个模型」；草案还写明，以「迫近风险」为由暂停一个模型只能走这一条路，州也不能另设一条（这一句以第 12 条获得通过为前提）。

SB 53 的作者、州参议员 Scott Wiener 把这一点说得最直接：草案用了一个「本来只为风险披露而设的定义」，然后把它扩成了限制联邦政府行动的闸门5。

草案第 12 条把「叫停」拆成四步，每一步都写死了：

第一步，合格独立评估方出评估，认定存在迫近的列举风险，72 小时内同时送开发方与商务部；在此之前要给开发方至少 48 小时书面回应。

第二步，商务部的一把手本人作书面认定，写清模型会通过哪条路径造成伤害、预期多久发生、为什么没有更轻的手段，并且不得授权他人。

第三步，商务部向法院申请禁令。法院对每一个要件重新审（de novo），不尊重商务部的认定，也不尊重评估方的结论；举证责任全程在政府身上。

第四步，禁令 45 天后自动失效，可再续 45 天；不通知开发方的单方禁令最长 7 天，同一模型同一风险只能用一次。

这条路径和国会在审的另一份法案正好相反。7 月 23 日提出的 FRONTIER 法案（H.R. 9925）让商务部副部长直接下紧急令：临时令最长 45 天、正式令 90 天；不服的一方可以去哥伦比亚特区联邦地区法院起诉，但法院只看这个决定是不是「恣意专断」，不重新认定事实6。

一份把闸门放在部里，一份把闸门放在法院。这就是两份「安全法案」之间最实的一道差别。

草案第 8 条对「合格独立评估方」的要求是三项书面自证：有能力、对开发方没有财务与运营依赖、报酬不取决于评估结果；然后向开发方和商务部书面证明这三条。商务部在 180 天内建登记簿，并设计一套给评估方打分的评级标准——但草案没有给「够不够格」设任何准入线，也没有发照程序。

这跟 Anthropic 自己五个月前的主张差了一截。六月的《Advanced AI Framework》里，它写的是「探索一套给评估方发照的制度」，并要求把「独立性认证」作为取得资格或牌照的条件；它还专门点名了「评估方挑客」的风险，提出的办法是政府按既定标准给评估方评级，再把高评级的评估方随机指派给开发者，高风险情形尤其如此4。

草案里没有随机指派这一条。Anthropic 联邦事务负责人 Anthony Cimino 在 10 月 18 日的回应里说，防止「评估方挑客」的办法他们「还在想」7。

拿它跟 FRONTIER 比，落差更明显：FRONTIER 要求评估方持牌，牌照由商务部副部长核发，资格细则、利益冲突规则、吊销条件都写进了条文6。

所以「这份草案比行业惯例更严」这句话，只在「必须请一个外部评估方」这一点上成立；在「谁能当评估方」这一点上，它比 Anthropic 自己六月的主张更松。

草案覆盖谁，要同时满足两条。

第一条是模型：训练算力超过 10²⁵ 次整数或浮点运算，并且把后续微调、强化学习等重大修改也算进去。加州 SB 53 和纽约的 RAISE 法案写的是 10²⁶，草案低一个数量级3。David Sacks 把这个差别算得很细：10²⁵ 是 2023 年欧盟的写法，而今天的前沿已经在 10²⁷ 附近，所以这条线会把很多并不在前沿的公司圈进来8。

第二条是规模：上一年度与 AI 产品和服务相关的营收超过 5 亿美元，或研发支出超过 10 亿美元，关联方合并计算。FRONTIER 的对应门槛是营收超过 50 亿美元且研发支出不低于 100 亿美元——一个是「或」，一个是「且」，两条线的数字又各差十倍。

这两条一起，解释了为什么批评同时来自两边。觉得闸门太高的人，关心的是第二条之后的第 12 条；觉得圈得太宽的人，关心的是第一条里的 10²⁵ 和那个「或」。

把条文里的时限抽出来，这份草案其实是一张公司的值班表。

15 天：认定发生「关键安全事件」后 15 天内报商务部。事件包括模型权重被窃取或被恶意修改、灾难性风险成为现实、失控导致伤亡、模型用欺骗手段对付开发者以绕过其控制或监控（且显示出实质性提高的灾难风险），以及「围栏失效」——模型绕过开发者设的控制，拿到本不该拿到的系统访问权。

24 小时：如果事件构成迫近的死亡或重伤风险，24 小时内同时报商务部与有管辖权的执法机构。

25 万美元：围栏失效只有在第三方损失超过 25 万美元、或出现伤亡时，才落入 15 天的义务；不到这个数，只需年度汇总报数，但记录要留五年。

72 小时与 48 小时：评估方的报告要在完成后 72 小时内同时送开发方与商务部；送之前要给开发方至少 48 小时书面回应。

90、180、270 天：生效后 90 天内写出并公布安全框架；180 天内建起评估方登记簿与评级标准；270 天内聘请至少一个评估方；此后每 180 天一份评估。

45 天：法院的禁令 45 天到期，可再续 45 天。

同一份文本里有意思的一处，是它把「模型用欺骗手段绕过开发者的控制或监控」写进了必须上报的事件里，但加了一个限定：这种行为要「显示出实质性提高的灾难风险」。这个限定很关键——按它，模型关掉自己的监控、但没造成也看不出会造灾难后果，严格说够不上这一项。门槛写在哪，决定了哪些事会被记录、哪些事只留在公司内部。

草案也不要一些常见的抓手：它不要求模型上线前取得许可，不要求公开训练数据，不要求按算力向政府登记——算力只用来判断你是否落入定义。

评论里流传最广的一句是它「极其僵硬」：商务部不能给评估方定标准，也不能定义什么算「安全」，一旦州法被排除，想收紧就只能等国会。

这句话只对一半。草案第 13 条写了年度复核：商务部每年至少一次复审「前沿模型」「前沿开发者」「大型前沿开发者」三个定义，听取产业、学界、开源社区的意见，并可以调整其中的数值门槛；但定义本身只能由国会改，评估方标准与「什么叫安全」也确实留给了国会。

这是一处值得记下的差别。一份法案把哪些东西交给行政机关、哪些留给立法机关，本身就是一种立场；把它笼统说成「僵硬」，会看不到它在数值上留了活口。

截至 10 月 21 日，这份草案没有编号、没有提案人，也未见委员会动作。Politico 的报道说它由 Anthropic 的人向少数议员办公室散发；Cimino 说这是把公司六月框架「翻译成立法语言」，只给了少数几个正在做这件事的国会办公室17。

Anthropic 已经承诺会改。Cimino 列出四点，第一点是优先适用条款的措辞「不够精确」，会改成与六月框架的意图一致；第三点是风险门槛「直接从加州法搬来」，「也许是时候重新评估」；第四点是评估方的政策提案「很快」出7。TNW 在 10 月 20 日报道说，公司已经告诉议员它会重写其中一部分9。

接下来能看的三件事，都在公开渠道上：修订稿的优先适用措辞会不会真的收窄；评估方资格那份提案会不会回到「牌照 + 随机指派」；以及有没有议员愿意接手，把这份讨论稿变成一个编号。

能确定的是文本本身：定义、门槛、四步叫停、评估方自证、州法排除的范围，都写在 37 页里，谁都可以逐条核对。能确定的还有它的状态——讨论稿，不是法案。

不能确定的有三处。第一，这份全文是第三方公布的副本，Anthropic 没有发布过原文，所以任何引用都要以「据该副本」为前提；副本与公司手上的版本是否一致，外界无从判断。第二，草案明确写着「讨论稿」，Cimino 也说了会改，所以现在逐条计较它可能是在计较一份会变的东西——真正值得盯的是改动本身，而不是今天的措辞。第三，所有关于「它让叫停变难还是变易」的判断都依赖基线：跟「联邦政府今天没有任何叫停权」比，它多了一道程序；跟 FRONTIER 比，它把决定权从部里挪到了法院。两种比较都成立，说清拿什么比，比下结论重要。

对做产品的人来说，这份草案现在最实际的用处不是预测它会不会生效，而是看清一件事：当一家公司自己写监管自己的条文时，它会把摩擦放在哪里——放在定义里，放在门槛上，还是放在谁签字这一格。这一份的答案是最后那个。