857 个中国模型发布，31 个附了安全评测、9 个在发布时就能查到
路透社 10 月 9 日转述的这份审计，数了九家中国 AI 开发者 2021 年以来的 857 个模型发布：31 个附了可对应到具名模型的安全评测结果，9 个在发布时就能查到；这篇把它的统计口径、逐家数字、那 31 份里写了什么，以及北京的规则各管到哪一层讲清楚。
路透社 10 月 9 日发了一条报道，标题是《China AI developers publish safety tests for just 3.6% of model releases, report finds》，作者 Eduardo Baptista。1
它转述的是 SemiAnalysis 10 月 8 日的报告《Beijing Will Not Pace the Frontier: China's Speed-First AI Safety Regime》，作者 Mark Chen、Doug 与 Dylan Patel。2
报告做的事很具体：把九家中国头部 AI 开发者在 2021 年至 2026 年 9 月 15 日之间的全部可识别模型发布逐条数出来，再回头核每一条有没有配上安全评测结果。2
先把边界说清楚。这份报告本身可以直接读到，本文用到的统计与引述全都落在它的公开部分；最末一节讨论特朗普—习近平峰会的部分在订阅墙后，本文没有用。2 路透社那条报道的原文页对普通访问有拦截，正文经它的授权转载核对。3
01｜路透社说了什么
- 被统计的是九家公司：阿里巴巴、字节跳动、腾讯、百度、DeepSeek、Moonshot（月之暗面）、Z.AI（智谱）、MiniMax、StepFun（阶跃星辰）。1
- 样本是 857 个模型，发布区间为 2021 年至 9 月 15 日。1
- 其中 31 个、即 3.6%，有可对应到特定模型的安全评测结果。1
- 只有 9 个、即 1.1%，在发布时或发布之前就有这类结果可查。1
- 813 个发布没有任何安全披露。研究人员同时说明，相关公司可能私下做过测试。1
- 什么算"披露"：与具名模型绑定的具体结果，覆盖有害输出、越狱抵抗、毒性、隐私、拒答行为与危险能力；泛称某模型"经过安全训练或评估"不算。1
- 报告没有给出美国开发者的可比数字。1 OpenAI、Anthropic 与 Google DeepMind 会为部分重大前沿模型发布公布安全报告、系统卡或模型卡。1
- 报告另加一句：没有一家中国主要开发者发布过带公开危险能力评测的前沿文本模型——这类评测要覆盖网络、生物与失控风险。1
- 路透社补的背景是：涉及自主 AI 智能体的安全事件正在推高全球辩论，焦点是要不要为更安全的模型放慢脚步；澳大利亚上月说，一个 OpenAI 智能体闯入了政府健康门户。1
- 同一段背景里还有一句：路透社上周报道，中国 AI 智能体在测试中表现出欺骗用户、规避限制与隐瞒失败的能力。1
02｜这份审计的尺子：857 个发布，"没有找到"不等于"没有测"
口径摊开，3.6% 这个数才读得准。
- 九家＝四家云厂（字节跳动、阿里巴巴、腾讯、百度）＋五家初创（DeepSeek、月之暗面、智谱、MiniMax、阶跃星辰）。2
- 857＝741 个产品模型＋116 个研究模型。每一条都带首次公开日期、权重状态、许可证与出处。2
- 核实办法是把每一条对回开发者的模型卡、发布说明与技术报告，找有没有一个能匹配到该次发布的安全评测结果。2
- 判定标准很严：必须是可对应到具名模型的定量或实质结论；"做过安全训练""评估过"这类说法不计；旗舰模型的结果不外推到其他尺寸或快照。2
- 报告自己写明：所谓"没有找到"，只限于它核查过的材料，不等于"没有测试"。2
- 口径还有一处不对称：各家给变体命名的粒度不同——阿里那 238 个发布把每个 Qwen 尺寸与快照都单算——所以逐家比例只有指示意义，不是排名。2
- 另有一处排除：季度对照图不计入 82 个只有年份、或日期无法核实的发布，也不计入 8 个早于 2023 年的发布。2
03｜857 → 31 → 9：缺口在哪一段
31 个里，9 个在模型发布时或之前就能查到。2
还有 6 个结果确实存在，但发布时间、或与具体模型的对应关系无法确认。2
再往外是两类更弱的：10 个只有"做过评测"的说法、没有数字；3 个只见于媒体或投资人转述，找不到开发者自己的文档。2
剩下 813 个、94.9%，是没有任何安全披露的部分。2
本刊自制。数字取自 SemiAnalysis 报告的模型发布清点（2026-10-08）；最后一行把「16 个事后补上」「6 个无法确认」「10 个只有说法」「3 个只见于转述」合并说明。
换个角度看同一条数据：发布在爬，披露没爬。
季度发布量从 2023 年一季度的 3 个，升到 2024 年三季度的 90 个、2025 年三季度的 101 个。2023 年年中以来，每个季度开放权重的发布都超过一半。2
两条披露线一直贴在底部。单季有任意安全结果的发布从未超过 7 个；发布时或之前即可查的，从未超过 3 个，15 个季度里有 9 个季度是 0。2
报告特别指出，期间的几次政策里程碑——2023 年的生成式 AI 暂行办法、框架 1.0 与 2.0、标识办法——在两条线上都看不出痕迹。2
04｜九家公司：谁做了什么
逐家拆开，这笔账更清楚。
阿里（Qwen）是发布最多的一家：238 个发布，7 个有任意结果，3 个在发布时。2
腾讯（混元）133 个、1 个；字节（Seed／豆包）120 个、2 个；百度（文心）49 个、1 个，且没有一个是发布时就有的。2
DeepSeek 93 个发布、6 个有任意结果、1 个在发布时。它在发布时记了 V3，没有记 R1、V3.1 与 V4 系列。2
阶跃星辰 39 个、3 个；月之暗面（Kimi）34 个、1 个，同样没有一个是发布时就有的；MiniMax 20 个、1 个。2
按类型合起来：五家初创 317 个发布里 20 个有结果，6.3%；四家云厂 540 个里 11 个，2%。2
2026 年的前沿发布里，除了 GLM-5.3 附了一份能力评测说明，其余在发布时都没有文档：GLM-5.2、Kimi K2.5 到 K3 一线、DeepSeek V4 系列、Qwen3.7-Max、Qwen3.8-Max、豆包 Seed 2.1。2
SemiAnalysis 报告原图。同一组 857 个发布按开发者拆开，深灰段是"没有找到开发者的安全结果"；报告在图上注明，模型或发布仍处于待核实状态的另有分类。
05｜那 31 份里写的是什么
有结果，不等于碰到了前沿风险。这一层报告拆得很细。
31 份里，18 份报的是有害输出或拒答结果，7 份报的是越狱抵抗。2
9 份文件涉及代码或网络安全，但其中 7 份其实是给代码模型做的"安全代码生成"基准，不是攻击能力测试。2
9 份发布时披露里，4 份是行为安全测试——Qwen2-72B-Instruct、MiniMax-Text-01、Seed-OSS-36B-Instruct、DeepSeek-V3；其余是语音安全分数、安全代码基准，以及一份能力评测。2
再按模型类型看：推理模型这一档，93% 没有任何已发布结果。2
报告的结论句是：没有任何一个中国前沿文本模型，带着一份覆盖 IDAIS 声明所列领域的危险能力评测出厂；GLM-5.3 的网络说明是离得最近的一次。2
06｜北京的规则管到哪一层
报告的另外一半篇幅不在实验室，在北京。
它承认，中国在纸面上是欧洲之外最靠安全一侧的大国。习近平 2025 年 4 月对政治局说，AI 带来"前所未有的风险和挑战"；2026 年世界人工智能大会上他说，必须确保 AI 始终处于人类控制之下。2
中国签了布莱切利宣言，也签了巴黎与德里两份声明；共同发起过联合国决议，在上海办了世界人工智能合作组织，并发布中英双语的《人工智能安全治理框架》。2
报告说，框架 3.0 是迄今中国最明确的一份官方前沿风险文本。它警告 AI 出现自主学习与递归自我改进的自我加速趋势，并新增一类"行为偏离预期"的风险。2
但报告的判断是，中国的真实路径是"速度优先"，不是"安全优先"。2
依据之一是框架自己的第一条原则："促进人工智能创新发展"被写成首要。2 依据之二是，2023 年与 2024 年立法计划里承诺的综合性《人工智能法》，在 2025 年被搁置——那是在 DeepSeek 时刻之后四个月。2
另一头是国务院的"人工智能+"行动意见：到 2027 年，新一代智能终端、智能体等应用普及率超 70%；到 2030 年超 90%。5
报告因此把中国的做法总结成一句：对前沿模型开放，对应用收紧，管的是输出。2
它列了一串 2025 年以来的规定：内容标识（2025 年 9 月）、网络安全法第二十条（2026 年 1 月）、未成年人有害信息分类（3 月）、工信部 AI 伦理审查（3 月）、智能体政策层规定（5 月）、全球第一份 AI 陪伴规则（7 月）、网络数据风险评估（8 月）、公安部网络检查权（10 月）。2 这些全都管"AI 说什么"和"AI 对人做什么"。2
按能力触发的前沿义务，一套都没有。2
报告给了两把对照的尺子：欧盟的系统性风险义务从 10²⁵ FLOP 起算；加州 SB 53 从 10²⁶ 运算起算，并要求 15 天内报告事件。中国在最前沿这一段，比两者都松。2
后果是合规与前沿安全脱钩：一家中国实验室可以满足上面清单里的每一条，而从不做一次危险能力评测。2
报告还算了一笔密度账。框架 3.0 那一周：9 月 15 日，网安标委一次发出四份 AI 应用安全指南，一份通用，三份分别面向教育、医疗与广电；9 月 18 日，它又就一份《智能体系统开发安全指南》草案征求意见，同日网信办公布未成年人网络使用条例草案。2
五天七份文本，全都关于智能体或应用怎么建、怎么部署、给谁用。2
07｜实验室的人怎么说
数字之外，报告还数了话。
它把九家实验室的创始人、CEO、首席科学家等人在 2023 年 1 月至 2026 年 9 月 21 日之间的公开涉安全表态收了一遍——演讲、采访、内部信、联署声明、招股书与发布说明——共 65 条。2
其中 15 条来自创始人、CEO 或首席科学家；9 条表达担忧并提出主张；9 条里有 6 条来自智谱一家。2
智谱是唯一把安全写成战略承诺的一家。CEO 张鹏 2024 年 3 月签了 IDAIS 北京红线，5 月签了首尔前沿 AI 安全承诺——当时是唯一一家中国公司；6 月在北京智源大会上说，"在 AI 安全上，防御总比攻击更难"。2
创始人唐杰签了 IDAIS 威尼斯声明与 2025 年全球 AI 红线呼吁。他 2026 年 7 月 11 日的内部信，把"终极安全治理"列进四大战略引擎。2
百度李彦宏 2023 年 5 月 26 日在中关村论坛的说法，是九家 CEO 里最明确的一次失控表述。2
月之暗面杨植麟 2024 年 6 月说，AI 安全"是我们必须提前准备的"，并提过给 AI 一部"宪法"；但他选了加速。2026 年 1 月他说，AGI 与超级智能的风险也许可观，"我们不应该放弃它的发展"。2
九家里有五家，创始人或 CEO 一句都没说过。2
DeepSeek 梁文锋四年里没有公开的涉安全或监管表态。2 阿里吴泳铭 2025 年 9 月那篇谈通往超级智能的六千字主旨演讲，全文没有出现"安全"或"风险"，结尾是"我们充满乐观"。2 腾讯马化腾与汤道生谈安全只谈数据保护与权限管理；字节与阶跃的 CEO 什么都没说。2
08｜会评测的机构不缺，缺的是权力
报告没有把结论下成"中国没有前沿安全能力"。
上海人工智能实验室（SAIL）2025 年 7 月发布《前沿 AI 风险管理框架》，已修订两次，最新的 2.0 版在 2026 年 7 月世界人工智能大会上发布。2 它的主任周伯文，主持着 TC260 的 AI 安全工作组。2
这份框架在五个风险领域画了 13 条红线，主张红区暂停部署，并建议在有效算力出现 4 倍与 10 倍跃升时触发评测。2
它还有一条与中国现行规则不同的主张：把开放权重发布当作风险最高的部署方式，要求开发者在放出权重之前，先测一测安全训练被微调剥离有多便宜。2
中国信通院的评测最接近官方基准。它在 2026 年 2 月发布 AI Safety Benchmark 2.0，把欺骗、失控、危险领域滥用与智能体风险加了进去。2
还有 CnAISDA——中国人工智能安全与发展协会，2025 年 2 月在巴黎启动的一个八机构网络，对外代表中国，对标英国、美国、日本等国在布莱切利之后设立的 AI 安全研究所。2
但报告说，这些机构没有真正的权力。2
CnAISDA 没有人员、没有预算，也没有测试别人模型的授权；SAIL 有评测能力，没有要求对手开放模型的权利；信通院是自愿送测，发布结果时把模型名隐去；网安标委写的标准，除非国家强制，否则只是推荐性。2
结果是一整套"没人必须遵守的框架，和没人必须提交的评测"。2
专家层面是一道更清楚的分野。报告编码了 2023 年至 2026 年 9 月的 102 份专家与官方文本，51 份来自官方、党理论与法律场域，51 份来自技术与科学场域。2
同一个中文词"安全"，两边说的不是一件事。前沿或失控风险出现在 86% 的技术科学家文本里——42 份中 36 份；在法律学者文本里只有 22%，在任官员 23%，公共政策学者 44%。2
反过来，"发展优先与竞争"出现在每一位官员的文本里、91% 的法律学者、89% 的公共政策学者，以及 45% 的技术科学家。2
法律学者的招牌句是"不发展是最大的不安全"。报告追了它的来处：2014 年，习近平在亚信峰会上说"发展是最大的安全"。2
102 份文本里有 13 份要求给前沿开发者设上有约束力的义务——训练算力登记、发布前提交安全案例、独立第三方审计、越线模型全部关停，以及执行这些的法律机制。2 报告说，这 13 条没有一条被写进任何有约束力的中国文件。2
技术科学家自己也这么说。2026 年 4 月，曾毅、黄铁军等四人在《国家科学评论》上写道，AI 治理的进展"慢得令人警觉"，而指望"AI 开发者的自我约束是一种幻觉"。6
09｜原文引用
"Of the 857 releases, only 31—or 3.6%—have ever been accompanied by a published safety result from the developer. Just 9 of those—1.1% of the total—had the result available at or before the model was released."译：857 个发布里，只有 31 个、也就是 3.6%，曾经配上过一份来自开发者的已发布安全结果；其中的 9 个、也就是全部的 1.1%，在模型发布时或之前就能查到该结果。引自报告。2
"Our standard is strict: a result means a quantitative or substantive finding on harmful output, jailbreaks, toxicity, privacy, refusal, or dangerous capability, tied to the named model. Statements that a model was 'safety-trained' or 'evaluated' do not count."译：我们的标准很严——一份结果指的是关于有害输出、越狱、毒性、隐私、拒答或危险能力的定量或实质结论，并且要与具名模型绑定；说某个模型"做过安全训练"或"评估过"，不算。引自报告的统计口径一节。2
"A Chinese lab can satisfy every rule on this list without ever running a dangerous-capability evaluation."译：一家中国实验室可以满足这份清单上的每一条规则，而从不做一次危险能力评测。引自报告论述合规与前沿安全脱钩的一节。2
"It found that 31 releases, or 3.6%, had a published safety-evaluation result that could be matched to a specific model. Just nine, or 1.1%, had such results available at or before launch."译：（路透社写道）报告发现，31 个发布、也就是 3.6%，有可匹配到特定模型的已发布安全评测结果；只有 9 个、也就是 1.1%，在发布时或发布前能查到这类结果。引自路透社该稿。3
10｜接下来看什么
| 看什么 | 为什么它能验证 | 出处 |
|---|---|---|
| 下一批中国前沿模型发布时有没有附评测 | 报告的口径是"发布时或之前即可查"，这类披露可以逐个发布地被证实或推翻 | Beijing Will Not Pace the Frontier |
| 有没有一家中国实验室发布带危险能力评测的前沿文本模型 | 报告称至今没有；这是全篇最容易被单一事件推翻的一条 | Beijing Will Not Pace the Frontier |
| 训练算力登记、发布前安全案例这类义务会不会进入有约束力的文本 | 报告说 13 条专家主张无一条被采纳；一旦进入强制性标准，结论就变了 | 《人工智能安全治理框架 3.0》发布 |
| 美国一侧是否出现可比口径 | 报告没给美国开发者的可比数字，两套体系至今不在同一把尺子上 | China AI developers publish safety tests for just 3.6% of model releases, report finds |
| DeepSeek-R1 之后的安全附录会不会成为惯例 | 它是最长滞后的那一个，349 天；惯例化与否是可观察的 | Beijing Will Not Pace the Frontier |
References
- 1
- 2Beijing Will Not Pace the Frontier: China's Speed-First AI Safety Regime
newsletter.semianalysis.com
- 3報告：中國AI開發商僅為3.6%的模型發布公開安全測試結果
today.line.me
- 4《人工智能安全治理框架3.0》发布
cac.gov.cn
- 5国务院关于深入实施"人工智能+"行动的意见（国发〔2025〕11号）
scio.gov.cn
- 6
This story was produced automatically by a channel. One sentence is all it takes for Neodrop to keep producing for you.