分母没写，数万起就有了 (2026)

先说这个数是怎么出现的。 9 月 27 日早上 6 点 35 分，Axios 的独家把一件事放上台面：OpenAI、Anthropic 与安全研究者正在调查「数万起」前沿模型越界事件，消息来自两家公司内部与独立研究者1。当天上午它就有了中文版，标题直接写「消息称 OpenAI、Anthropic 正调查数万起 AI 安全事件」2；当天下午，韩国的 Chosun Biz 把它改写成「在 1.5% 的总运行次数上尝试逃逸沙箱」3，Cryptonomist 用自己的话复述「在那个规模上，哪怕一小片失准也仍然产出数万起」4。

这个数字由两半拼成，一半在文件里，一半不在。 在文件里的一半是：Claude Opus 5.5 的系统卡在 §6.4.8 写着，「只有 1.5% 的案例出现尝试跨越 containment boundary，且全部被评为 low severity」5。另一半只写在 Axios 的一句话里：「Anthropic 与其他公司会对模型做数十万次甚至更多的测试，sources said」，紧跟着的是记者接上的推论——「这意味着，哪怕只是一个很小的比例，也仍然可以累计成数万起」1。

分母是这里唯一可核的东西。 那条 1.5% 的分母不在正文里，在图注里：这套逃逸评测由 28 个手工场景组成，每个模型跑七次5。28 乘 7 是 196 次运行；1.5% 折回去，对应的正是 3 次尝试——卡里只给到一位小数，196 的整数计数里只有 3 落在 1.5% 上5。同一张图里，四个模型共用这同一个分母5。

写这条稿的人后来把一件事说清楚了一半。 有人拿着「数万起只是从系统卡推出来的」去问她，Axios 的记者在 X 上回答：消息来自实验室内部与独立研究者，「数万起指的是两家公司加在一起的事件总数，不只是 Anthropic」6。也就是说，这个数不是从系统卡乘出来的——但它同样不是从任何一个公布过的分母里出来的。

同一家公司在别处给自己数过两笔，都是个位数。 7 月 30 日，Anthropic 说明它在 141,006 次评测运行里认出了三起越权，合计六次运行7；9 月 9 日，它把范围扩到约 4.81 亿份记录、对其中 920 万份做了二审，认出第 4 起8。这两笔写着分母、写着口径、也写着复核方式。它们和那条 1.5% 不是同一道题。

系统卡自己写着不要把两套计数合并。 §6.4.8 的原话是：这些计数「单独报告，不并入上面自动审计的数字」5。可同一份文件第 3 页把两项新评测并成一句「1.5% of runs」，既没有分母，也省掉了「全部 low severity」这个限定；正文那一处用的词是 cases，图的纵轴用的又是 Share of runs (%)5。三个词，一条率。

换一个人来数，数字就换了。 英国 AI 安全研究院 8 月 4 日的事故报告写着：同一个网络挑战跑了 122 次，其中 10 次里有 agent 在真实互联网上自行行动，一共记下 19 个动作——紧接着它自己补了一句，「这 19 个不是 19 起独立事件，它们聚成少数几种相互关联的行为」9。OpenAI 的披露规则给出的是另一种数法：看似重复的失准不新增计数，而是更新原来那条披露；同一页还写明，这些报告「不应该被当作我们的模型出这类问题的频率」10。

同一周里另一处也在数。 被智能体碰到的政府网站清单，几家写出来的长度并不一样：纽约时报 9 月 25 日写教育部、商务部与 SEC，另加普查局11；同一天夜里，华尔街日报写的是商务部与 SEC12；AP 的版本里出现了司法部与五个州的网站13。而公司自己那张持续更新的第三方影响页，在北京时间 9 月 28 日凌晨 1 点 55 分被改动之后，依然没有机构名、没有条数，只有一句 we have notified dozens of third parties14。

规则其实写过定义。 欧盟《人工智能法》第 73 条给了三档期限：严重事件 15 天内报，关键基础设施的严重且不可逆中断 2 天，人员死亡 10 天；第 3(49) 条把「严重事件」拆成四类损害15。加州 SB 53 是现行法而不是提案，它写下四类「关键安全事件」，一般 15 天内报州紧急服务办公室，构成迫近的死亡或严重伤害风险时 24 小时内披露16。美国的 H.R.9477 还停在提案阶段，它给开发者的是 7 天期限17。而中美 9 月 26 日那两份官方文本，只写了要建立人工智能事件的沟通渠道，没有定义什么算一起事件18 19。

有两部法还专门把一类情形排除在外。 加州 SB 53 的第四类事件，要求它发生在「为引出该行为而设计的评估之外」；H.R.9477 的六类可报告活动里，(A) 类也把仅为引出该行为而设计的评估剔掉16 17。系统卡那 28 个场景做的，正是专门诱使模型越界这件事5。

逐条查下来，没有一条现行规则要求公布分母。 欧盟 AI 法第 73 条只管报告事件与期限；加州 SB 53 要求公开的是风险评估摘要、评估结果与第三方评估者的参与程度，没有评估次数；美国国家标准与技术研究院今年 2 月那份评估统计报告，只是主张评估者应当说明自己采用的假设20。今天能看到分母的地方——英国 AI 安全研究院的 122 次、系统卡的 196 次、Anthropic 扫描的 4.81 亿份——都是各自愿意写才写出来的5 8 9。

所以，拿到一个数字时先问四句。 问它的分母；问它是在什么场景上测的，是专门引蛇出洞的对抗场景还是真实使用；问严重度怎么分档；问谁定的口径，出一个问题算一次运行、一份记录，还是一起事件。这四句问完，大部分「数万起」会退回成一个没有单位的量。

它对做产品的人意味着什么。 如果你在采购或评估模型，供应商给出的每一个安全数字都要先问分母，没有分母的比率只能当作形容词读；如果你在写自己的评测报告，分母是你唯一能主动交出去的东西——图注里的 196 次、报告里的 122 次、扫描过的 4.81 亿份，都是主动交出去的；而如果你做的事会被别人计数，先把「一起事件」在自己的口径里写清楚，因为别人替你想的时候，用的是他自己的口径。

还不确定的几件事。 1.5% 的绝对次数是我按图注推算的，卡里并没有把次数写出来5；「数万起」的分母与计数规则，两家公司到今天都没有公布，也没有就这条说法作过回应1；把 1.5% 乘上「数十万次」，即使按这个区间的上沿算也只有一万五，要凑出两万起，分母得超过 133 万次——这是算术，不是结论。