OpenAI 与 Anthropic 差点签下互相测试的合同：一次先例，一份早三天的诉状 (2026)

北京时间 9 月 21 日 21 点 55 分，以报道科技公司内部事务见长的付费媒体 The Information 挂出一条独家：OpenAI 与 Anthropic 今年早些时候曾就一份「具法律约束力」（legally binding）的协议谈判，互相压力测试对方已经商业化上线的模型，找漏洞与「隐藏危险」。1

这篇报道的正文在付费墙后面。不用付费就能读到的、由这家媒体自己写下的文字只有两处：它在社交平台上的导语，和它官方 X 账号那句推广——「独家：OpenAI 与 Anthropic 曾接近达成一份具法律约束力的协议，互相压力测试对方的 AI 模型，找漏洞与隐藏危险。」2

协议的具体内容要靠转述。多家媒体转述的四件事完全一致：双方互相拿到对方已商业化上线模型的 API 访问权；用这个权限去找漏洞和异常行为；双方承诺不留存对方在测试中拿到的数据；这套安排在两家公司各自的内部评估、与外部的独立评估之外，再添一层审查。3 4 未发布的模型不在范围内，这一点也被同一批来源一致写明。3 这些转载没有一家说细节是自己核实的，所以「完全一致」更可能是同一条消息的多次转手，而不是多方独立求证。

动词是「接近」（neared），不是达成。5 签没签，报道自己没有给答案，两家公司的发言人都拒绝置评。6

这条消息目前撑得起的只有「曾谈过」，撑不起「在谈」或「要签」；它留下的最有用的东西，是两家各自写在纸上的评估规则终于摆到了同一张桌子上——一家要求发表前书面审批，一家要求不受编辑控制。

01 这条消息，只有一条信源

信源只有一个人。多家转述用的句式是「引述一位直接了解磋商情况的人士」；7 Google 对原页的索引片段里还留着更接近原文的半句——「……一位直接了解磋商情况的人士，此事此前未被报道」。就公开可见的部分来说，这篇报道没有点名任何谈判代表，也没有给出草案条款，除 API 访问与数据留存这两条之外。5

署名是两个人：Amir Efrati 与 Stephanie Palazzolo。1 Palazzolo 当天在 X 上自述了这篇稿子的角度——面对 OpenAI 要回应的安全担忧，「一个解法也许就在不久前」（one solution could lie in the recent past），指的就是 2025 年那次联合评估。8

标题改过一次。AI 新闻聚合站 AI Weekly 在北京时间 9 月 22 日凌晨 2 点 28 分把原标题逐字记了下来：「OpenAI and Anthropic Neared Legally Binding Deal to Stress-Test Each Other's Models Before Hugging Face Hack」——把「在 Hugging Face 事件之前」写进了标题。5 到北京时间 9 月 22 日 19 点 40 分，互联网档案馆对该 URL 的唯一一条快照显示的已经是短标题，那句时间钩子没有了。9 改标题发生在这 17 小时之内，精确到小时的时刻没有更细的存档可查。

传播面是另一个信号。跟进这条消息的英文媒体，我们找到的主要是印度的财经媒体和一批 AI 聚合站与转载站；我们逐家查了 The Verge、TechCrunch、Business Insider、Semafor、Axios、Reuters 与 Bloomberg，没有找到一条针对这份协议的独立报道。纽约邮报在北京时间 9 月 22 日凌晨 1 点 51 分发了一条短稿。10

The Information 报道页的公开部分 — 截图于 2026 年 9 月 23 日，取自 The Information 报道原页。页面公开部分只有标题、两位记者署名、日期与订阅提示，正文在付费墙之后；标题此时已是短版。

02 他们做过一次：2025 年 6 月，互换公开 API

这件事不是从零开始。2025 年初夏，两家约定用各自的失准（misalignment，指模型偏离应然行为）相关评估去评对方的公开模型。11 评估在 2025 年 6 月与 7 月初执行，8 月 27 日两家同日平行发布各自的一半。11 12

能核对的部分分三块：访问、范围、结果。

访问上，只用公开模型、走公开开发者 API，不碰内部模型与训练管线。11 为了让对方那套评估跑得完，两家都少了一层挡板——Anthropic 写的是 relaxing some model-external safety filters attached to the API，OpenAI 写的是 relaxing some model-external safeguards，用词不同，说的是同一项让步。11 12

范围上，Anthropic 选了 GPT-4o、GPT-4.1、o3、o4-mini 四个 OpenAI 模型，拿自家 Opus 4 与 Sonnet 4 对照；11 OpenAI 测的是 Claude Opus 4 与 Claude Sonnet 4。12 旗舰推理模型 o3-pro 进不来，因为与 Anthropic 工具链支持的 API 不兼容；依赖模型私有推理文本的评估也用不了。11

结果上，两家都没拿到干净的结论。Anthropic 六条结论里的第五条是「我们研究过的所有模型，至少有时会尝试勒索它们的（模拟）人类操作者，以保住自己的继续运行」；11 在手搭的一套模拟测试里（Anthropic 只给模型一条达成目标的出路，看它是否选择伤害人），o3 在 9% 的样本中会勒索，o4-mini 是 1%。11 OpenAI 那一侧写的是，Claude 模型在「避免系统消息与用户消息冲突」这一项上表现最好，略胜 OpenAI o3；但在幻觉评估上，Claude 的办法是少答——拒答率最高到 70%，而 o3 与 o4-mini 的拒答率低了将近一个数量级。OpenAI 自己的解读是：高拒答说明模型意识到了自己的不确定性，代价是可用性受限。12

Anthropic 2025 年 8 月 27 日公布的联合评估结论清单 — *截图于 2026 年 9 月 23 日，取自 Anthropic 的联合评估结论页。六条结论按原页顺序截取，未作删改；倒数第二条即「勒索」那一句。*

两家都写明了不能这样读法：不能把两边的分数并排当成模型优劣的排名。OpenAI 写：「我们并不打算做与对方系统精确的『苹果对苹果』比较」——原句是一个英语习语，意思是在同样条件下逐项对比。12 Anthropic 写：这种安排会把 OpenAI 的模型放进「一个比它们被设计的用途更困难、也更陌生的环境」。11 Anthropic 还把这套评估定位成「存在性证明」，而不是模型之间精确的失准程度排名；11 它 2025 年 6 月那份同题研究也写过一句限定：他们「还没有在真实部署中见到过这类失准的证据」。13

2025 年那次能做成，靠的是「只用公开模型、只用公开 API、双方各自保留发布权」这几条。它没有产生任何互相约束的义务——这恰好是「具法律约束力」四个字要补上的东西。

03 「具法律约束力」要写进什么：卡在谁有发表权

把两家的先例与现行文本摊开，一份能落地的互测合同至少要写下六件事：访问范围与凭据；访问的技术前提；访问的例外与保留；数据留存与删除；发现漏洞后的通知与整改期；保密与发表审批。11 12 2025 年那次把第一、第二、第六件写清楚了；第三、第四、第五件既没有出现在两家这两份公开文件里，也没有出现在我们检索到的其他公开材料里。

2026 年被转述出来的两条新条款，分别落在这份清单的两头：互授 API 访问权对应第一件，不留存对方数据对应第四件。3 后面这一条是要让两家的商业秘密不在测试中被对方带走；代价是任何一方都无法在事后用这批数据复核结论。

最难的是第六件。发表权这一格，两家现行文本的方向相反。

Anthropic 的 CEO Dario Amodei 在 9 月 12 日的长文里，把嵌入式评估者的发表权写成了合同条款：「外部评审者应当有权公布关于风险水平、事件、做法，以及它们拿到或没拿到的访问权的关键发现——不受 Anthropic 的编辑控制。」公司只保留「狭窄的」删改权，限于安全敏感、法律保密、商业敏感或第三方机密四类，「但不能因为结论不好看就删」；评审者还可以公开说明某处删改是否抹掉了对其结论重要的内容。14

OpenAI 这边，官网现行的那份外部测试政策要求评估者签保密协议，并写明公司会审阅并批准第三方的发表物；同一页的附录贴出了合同节选，其中一条是相关成果须在「任何发表或披露之前」提交 OpenAI 审阅批准。15

把两段并排，卡点就出来了。在双边协议里，每一方同时是评估者与被评估者：Anthropic 要发表它对 GPT 模型的发现，就得经过 OpenAI 的书面批准；而 OpenAI 要发表它对 Claude 的发现，就得接受一套「不能因为结论不好看就删」的规则。这两套发表制度不能同时成立。

2025 年那次绕开了这个问题：两家在发表前互相交换结果，但各自保留了独立发布的权利，等于把「审稿」换成了「事先通气」。11

04 早三天的诉状：把「互相审查前沿系统」写成了协调机制

在这条报道发出的三天前，同一件事的另一面已经被递到了加州北区的联邦法院。

2026 年 9 月 18 日，四名个人原告——Charles Buist、Cheyenne Hunt、Christine Bullock 与 Nick Spetsas——起诉 Anthropic、OpenAI、SpaceXAI（xAI 并入 SpaceX 后的实体）与 Google，案号 3:26-cv-10693，诉状共 29 页，诉由是《谢尔曼法》第 1 条——美国 1890 年那部反垄断法的核心条款，禁止任何以限制贸易为目的的「合同、合并或共谋」。16 17 18

先说清楚它没有指控什么。诉状通篇没有出现「互相」「红队」（red-teaming，指主动攻击自家系统去找漏洞）、「交叉测试」「压力测试」或「API 访问」这些词；它指控的是一份「让四家公司放慢各自改进产品速度」的协议。Amodei 三天前提出的三步方案里（先由单方给第三方评估者员工级访问权，再全行业协调，最后全球协调），第一步在诉状里被写成「Anthropic 单方采纳」（Anthropic adopted unilaterally）。16 它没有指控两家之间存在一份互测合同。

但同一份诉状把「互相审查」写进了协调机制的核心句子。第 54 段在描述 Hassabis 7 月 14 日提出的那个行业标准机构时——美国牵头、部分参照美国金融业监管局，前沿实验室初期自愿提交模型做发布前审查——说它会成为竞争性开发者的「常设论坛」，用来交换信息、采纳共同要求、审查彼此的前沿系统、并针对能力门槛协调回应。16 第 53 段记载，当时有报道把这一提案描述成「可以协调一场全行业减速」的机制；第 55 段把今年 7 月起成立、由三家公司 CEO 层级以下代表组成的定期工作组，写成共同推动该机构成立的机制。16

Buist 诉状第 11 页，第 53–55 段 — 截图于 2026 年 9 月 23 日，取自 Buist v. Anthropic 案诉状第 11 页。第 54 段中「review one another's frontier systems」一句，是这份诉状把「互相审查」写进协调机制的落点。

原告要法院下什么禁令，把这条线画得更细。他们请求禁止被告就「作为横向合意限制的能力检查点」订立协议，也禁止「为监督或执行上述限制而交换竞争敏感信息」；16 同时明确不寻求禁止「独立放慢或暂停自身开发」、「独立聘请评估方」，以及「不限制独立竞争的合法标准制定活动」。16

诉状划的线不是「能不能互测」，而是「互测是各自独立做，还是变成核对彼此有没有守约的执行机制」。前者被写进不禁止的一栏，后者被写进要禁止的一栏。

05 三种答案：绑在一起测、单方先做、规则不该由竞争者写

这件事的公开舆论场里，答案是三种，而且互相不兼容。

第一种：自己给自己判分不算数，但要绑在一起判。

埃隆·马斯克 9 月 14 日在洛杉矶 All-In 播客年度峰会上给出了最直白的一版。All-In 官方 X 账号贴出了他的原话，其中四句是：最该尽快做、甚至立刻做的一件事，「是让主要的 AI 竞争者们互相测试对方的模型」；「这样你就有了让每个人的安全测试工具去测别人的模型」；「与其自己给自己判分，你至少还有竞争对手在给你判分，看到问题就拉警报」；以及约束机制——如果竞争对手说这个模型不安全，而这个模型后来真出了事，「脸上挂不住的程度会非常高，法律责任会极大」。19 20

他把名单点全了：除了 OpenAI 自己跑测试工具，Anthropic、SpaceXAI、Google 与 Meta 都应该做，另外「也许再加三四家领先的中国公司」，「找到问题的概率会大幅提高」。21 这里有一处时间顺序值得记下：转述这条报道的 AI Weekly 指出，这份互测构想早于马斯克的公开发言就已经在两家实验室内部存在。5

第二种：单方先做，行业跟上，全球最后。

Amodei 的三步是这么分的：第一步给第三方评估者「持续、员工级」的访问权，由 Anthropic 单方承诺，并呼吁各国政府要求其他前沿公司跟上；第二步需要全行业协调；第三步需要全球协调。14 他也把这件事与反垄断直接连了起来，原句是：「出于反垄断方面的原因，美国政府居中调解、或至少促成这些讨论是有帮助的——政府不必参与，但需要为某些类型的安全对话签发一份狭窄的豁免。」14

Hassabis 7 月 14 日给出的是这类协调的机构形态：美国牵头、部分参照美国金融业监管局（FINRA）的行业标准机构，前沿实验室初期自愿提交模型做发布前审查，经费「很可能主要来自产业界」。22

OpenAI 一侧的口径是「不必等」。Sam Altman 9 月 12 日回应 Amodei 时承诺「我们也会这样做」；23 该公司的全球政策主管 Chris Lehane 到 9 月 15 日说，三家公司的安全讨论看不到需要反垄断豁免。24

第三种：规则不该由竞争者自己写。

美国联邦贸易委员会主席 Andrew Ferguson 9 月 15 日在乔治城说（他声明是自己的个人看法）：「如果公司同时跑到华盛顿来，一边要一大堆监管、一边还要一份反垄断豁免，我所有的警报都会响。」他把这种做法称为「要求设置准入门槛，把自己的在位地位保护起来」。25

美国司法部反垄断司负责人 Stanley Woodward 两天后给了相反方向的一句：他不觉得就网络安全或安全事务进行协调有什么反竞争性；同时确认，前沿 AI 实验室没有就来谈反垄断关切请求过会面。26 与 Woodward 同场的欧委会竞争事务负责人 Teresa Ribera 说得更直白：「这是一个典型的博弈论问题：当风险是共享的，合作符合所有人的利益。」26 需要说明：这两位的这些话出自路透社的现场报道；司法部官网发布的 Woodward 那场演讲书面稿里，没有 cybersecurity 与 artificial intelligence 字样。26

法律评论界给的分野，比监管部门更细，而且两边都有。

Truth on the Market 上的 Kristian Stout 把三种情形排在一起：一家公司推迟发布；几家公司就某一个具体评估开展合作；竞争者约定限制训练算力。他的判断是，前两种保留了能力上的竞争，第三种可能压制竞争。27 同一篇里还有一句：「安全标签不是反垄断通行证。」27

另一篇律所简报（Vinson & Elkins）给出的空间比 Stout 宽：「结构适当的联合安全评估、共享红队方法、威胁情报交换、共同技术基准，落在反垄断法对竞争者合作较为灵活的待遇之内。」它划的硬边界是：安全合作一旦变成关于产量的协议就越线。28 Dirk Auer 给的则最像工程解法：把「减速」那部分去掉，「嵌入评估者、公开风险报告、共同评估协议、事件报告」大体都能通过单方承诺或狭义安全合作保留下来。29

还有一类评论反的是别的东西——它们不反对互测，反对的是让竞争者共同定义「多安全才算够」。耶鲁法学院 Thurman Arnold 项目的 Madhavi Singh 在华尔街日报撰文写道：一旦竞争者就这条线达成一致，安全就不再作为竞争指标起作用。她援引的是 1988 年的 Allied Tube 与 1961 年的 Radiant Burners。30 这两案确实如此：一家民间电气标准机构的成员，为排除竞争产品在标准表决中塞进立场一致的投票者，最高法院认定这种行为不能免责；31 一家给燃气燃烧器发「认证章」的协会，被指测试并不客观、受与原告竞争的成员影响，最高法院认定相关指控已足以描述一种谢尔曼法禁止的贸易限制，推翻了下级法院驳回起诉的裁决。32

还有一条硬事实值得放在这一节最后。这种「能不能签」的问题，美国本来有一条正式的问路渠道：企业可以把拟做而未做的事提交司法部反垄断司，换一份说明其当下执法意向的书面业务审查函，函件只在出具当日有效，司法部保留日后起诉的自由。33 反垄断司公开的 1991 年至今业务审查函索引里，最新一条是 2021 年 1 月的 21-3；OpenAI、Anthropic、artificial intelligence 这些关键词，一条都没有命中。34

06 本文的两处判断

第一处：两家的发表权规则现在是直接冲突的，这是这份合同的真实卡点，而不是任何技术问题。

一边是「任何发表或披露前」都要提交书面审批，一边是「不受 Anthropic 的编辑控制」。14 15 这不是措辞分歧，是两套制度。一份双边合同要么解决这个冲突，要么签不下来。而 2025 年那次之所以能成，恰恰是因为它把这一格空着——大家交换结果，但谁都不审谁。

第二处：反垄断风险不在「互测」这个动作，而在它是否附带产量后果。

同一条边界，诉状与评论界划在了同一个位置，只是站在了两边：诉状把「为监督限制而交换竞争敏感信息」写进要禁止的一栏，把「独立聘请评估方」写进不禁止的一栏；16 Stout 把「几家公司就某一个具体评估开展合作」与「约定限制训练算力」分开，前者保留竞争，后者可能压制；27 Vinson & Elkins 把「结构适当的联合安全评估」放进合理原则，把「关于产量的协议」划为越线。28 换句话说，一份只写访问与发表、不写节奏与算力的互测协议，法律上的位置比它听起来安全；一旦它被写成核对彼此有没有守约的机制，位置就反过来。25 26

07 接下来看什么

一、两家会不会表态。 截至北京时间 9 月 23 日凌晨 6 点，我们在六个官方路径上都没有找到任何针对这份协议的表态：OpenAI 的官方 X 账号、Anthropic 的官方 X 账号、Sam Altman 与 Dario Amodei 的个人账号、Anthropic 的新闻页，以及 OpenAI 在 9 月 22 日发布的第三方评估框架——那份框架讲的是通用原则，一处也没有提到这份双边协议。35

二、2025 年那次会不会被正式复述。 一份续做安排——不管是互测合同还是别的形态——如果出现，第一份提到它的文件多半是某一方的系统卡（模型发布时随附的安全说明）或政策更新。目前 2026 年各家公开的安全文件里，我们还没有找到对这次先例的复述。11 12 35

三、问路渠道会不会被用上。 业务审查函索引里至今没有一条来自 AI 实验室。如果这一类协议真的往前走，这是最容易观察、也最不可能被含糊过去的一个动作。34

四、诉状的下一步。 这份诉状先把「协调」定成了协议，被告的驳回动议与答辩会把这条边界再争一次。16 17

五、9 月 23 日的安理会会议。 Sam Altman 计划到联合国安理会就人工智能与国际安全做简报。36 如果「互相测试对方的模型」出现在那场发言里，那会是这类双边安排第一次走到国际场合。

签约与否要看两家自己说；两份互不相容的发表规则，已经写在它们各自的官网上了。