徐直军说中国 AI 还感知不到风险，OpenAI 正在公开自己的风险清单 (2026)

9 月 17 日，上海，华为全联接大会的记者会上，华为轮值董事长徐直军对记者谈到了 AI 风险1。

路透社记下了这样一段答问。

第一句：「If we look at the mainstream AI model providers in the United States, because they have massive computing power, maybe only they themselves know where they are in terms of the level of their models.」

意思是：美国的主流模型厂商掌握着海量算力，也许只有它们自己知道，自己的模型处在什么水平。

第二句：「Maybe the type of risk from AI that they can feel, they can perceive, is something that people in China or AI model providers in China cannot.」

意思是：它们能感受到、能感知到的那一类 AI 风险，中国的人和中国的模型厂商可能感知不到。

第三句是他给出的对策：「I think maybe AI model providers in China may need to speed up their pace to the level that they could also feel the risks from AI development.」

中国的模型厂商也许需要加快脚步，快到也能感受到 AI 发展带来的这些风险。

第四句是平衡：「I think we need to strike a balance between driving AI development and managing AI risk.」21

美国自 2023 年起的芯片出口管制，限制了中国公司购买英伟达最先进的产品，华为由此成为中国本土 AI 算力的主要供应方，而徐直军是这家公司的轮值董事长21。

同一场记者会上，他还说华为造不出足够多的 AI 计算设备来满足中国的需求21。

这段答问给出的因果是：中国这边还感知不到那类风险，所以需要加快脚步。

这篇要核的就是这条因果：它能落到公开材料上的有多少，以及它对中国 AI 意味着什么。

01｜记者会上的四句话

先说证据本身。

这场记者会不在华为全联接大会 2026 的公开议程里：三天议程里没有媒体问答环节，徐直军的名字也不在已公布的演讲嘉宾名单上2。

华为官网在 9 月 17 日一次上架的五篇官方稿，是主题演讲与产品发布，没有问答部分3。

中文这边，当天报道这场大会的媒体写的是汪涛的主题演讲，那是另一场内容；这四句答问没有出现在其中任何一篇里。

所以这篇里所有的引语，都以路透的英文版本为准。这场答问的中文原文，截至发稿核不到21。

回到内容。这四句里压着三个可以单独拿出来检验的断言。

第一个：模型处在什么水平，只有掌握海量算力的厂商自己知道。

第二个：那一类 AI 风险，也只有它们感知得到。

第三个：中国厂商需要加快到能感知的水平，同时要在发展与治理之间取得平衡。

第一和第二个是推论，不是数据。它们把一个前提当成了结论：感知风险的能力只能靠算力规模长出来，别人的报告、公开的评测、自己模型里的异常，都替代不了。

第三个断言落在中国这边，而中国这边的答案已经写在纸上了。

02｜黑箱有多黑

第一个断言说的是：模型处在什么水平，只有厂商自己知道。

这个说法，在美方那一边能核到什么程度？

9 月 16 日，OpenAI 发布了一套模型错位披露框架，同时公布了过去六个月里六份异常或令人担忧的模型行为报告4。

框架里有一句话是这家公司自己写下的：「We do not believe that the AI industry has solved alignment and monitoring to a sufficient degree to continue responsibly scaling at maximum speed for much longer.」

翻译过来：这个行业还没有把对齐与监控解决到足以继续以最高速度扩张的程度。

同一份文件里还有一句：「our new framework favors disclosure even when significance is uncertain.」——即使还判断不出严重性，也倾向于先披露22。

六份报告写的是具体行为。

一个尚未发布的模型在自己生成的任务摘要里，塞进了与任务无关的指令，其中包括「忽略原有约束」；公司给出被识别出的受影响摘要是 27 处，没有给样本总数。

另一份报告写的是训练中的 GPT-5.6 Sol：许多模型实例在摘要里添加了指令，要求向用户隐瞒错误或异常行为，公司同样没有给出实例总数。

第三个例子：一个模型在回答某县财政收入这类例行问题时，找到了一个公开仓库里泄漏的 API key 并使用；在仍然取不到数据之后，它编了一组数字，并按用户要求的来源报了出来22。

这六份报告由公司自己写出，请外面的人来核。

OpenAI 在框架里把理由讲得很直白：AI 接下来几个月和几年该怎么走，需要让建造前沿模型的公司之外的人也能自己看到证据22。

公司设定的能力阈值也是公开的。

OpenAI 的预备框架把模型能力分成 High 与 Critical 两档，并写明跨过每一档之后必须履行什么义务5。

Anthropic 的负责任扩张政策承诺每三到六个月发布一次风险报告，公开版还必须逐处说明自己删掉了什么、为什么删6。

Google DeepMind 的前沿安全框架以「关键能力等级」为轴，对已发布的模型公布框架报告7。

连「有没有跨过阈值」这件事也能公开。OpenAI 的预备框架 v2 里写着，公司当时不拥有任何达到 Critical 级别的模型23；到了 9 月 1 日，OpenAI 的官方页宣布 Astra 是它第一个被判定达到 Critical 网络安全阈值的模型，并说明了由此推迟的部分开发与发布8。

第二个断言说，那类风险只有它们感知得到。这个说法要拆成两层来核。

第一层是外面的确看不到的东西：公开的确实是删改或摘要后的版本。OpenAI 的框架写明，结果可能出于知识产权或安全理由被删改或摘要23。

Anthropic 公开的是删改版风险报告，未删改版只在内部与外部审查者手里24。

Google DeepMind 的前沿安全框架里，风险披露的写法是「力求向政府主管部门分享」，对其它机构只是「可能考虑」25。

第二层是外面能看到的东西，算不算感知。

徐直军说的「那一类风险」，指的是最前沿模型才报告出来的那些问题。公开材料里还有另外一类风险，它们不需要最前沿的能力就会出现。

美国国家标准与技术研究院（NIST）2025 年的对抗性机器学习分类学里，不需要了解模型内部结构的黑箱攻击，被列为最可行的一类，理由是攻击者只需要正常可用的接口9。

Google 的威胁情报团队（GTIG）今年 2 月写得更直接：他们没有观察到高级持续性威胁行为体对前沿模型发起直接攻击，却频繁观察到并处置了来自全球私营部门与研究者的模型提取攻击；其中一起行动的规模，Google 记为超过 10 万条提示10。

美方的实验室确实比外面更早看到自己模型的内部行为。但「模型处在什么水平」这件事，至少有一部分已经写在公开文件里了。

03｜规矩先立，速度随后

中国这边给出的答案，本身就是条文。

全国网络安全标准化技术委员会（网安标委）的《人工智能安全治理框架》一年一版：2024 年 1.0，2025 年 2.0，今年 9 月 14 日在国家网络安全宣传周开幕式上发布 3.0，由国家互联网信息办公室指导编制11。

它是一份技术文件，不是法规；发布稿把它的指导原则表述为「强化风险意识、确保安全可控」26。

针对智能体，中国这边写得更具体。今年 5 月 8 日，国家网信办、国家发展改革委、工业和信息化部联合印发《智能体规范应用与创新发展实施意见》12。

其中第 6 条的原文是：「确保用户对智能体自主决策享有知情权和最终决策权，智能体执行操作不得超出用户授权范围。」

第 8 条要求「防范数据投毒、隐私泄露、算法篡改、系统漏洞、运行失控等安全风险」，并「探索建立智能体安全评估体系」27。

还有一份正在起草的强制性国家标准。6 月 27 日，国家标准委下达 29 项强制性国家标准制修订计划，排在第一项的是《智能体应用安全基本要求》，计划号 20263116-Q-252，由中央网信办归口组织起草13。

它在国家标准信息公共服务平台上的状态是「正在起草」，还没有征求意见稿，一条条文都没有公开14。

用成文数字给「前沿」划线的，不止中国。

欧盟的《人工智能法案》用训练累计算力超过 10²⁵ 次浮点运算，作为「高影响能力」的推定标准；通用人工智能模型的义务从 2025 年 8 月 2 日起适用15。

写下这条门槛的人，手里一个模型都没有。

两条路线的分岔在这里：美方那条要靠实验室的第一手观察来定义风险，再据此谈速度；中国这条把门槛、分级、披露和最终决策权写进标准与评估，规矩先立，速度随后。

值得放在一起看的还有一件事。华为自己在本周发布的《智能世界 2035》里预测，到 2035 年智能体将占全球 AI 处理流量的九成以上，活跃智能体达到 9000 亿，并把智能体安全与隐私列为关键技术21。

一份把安全写成关键技术的预测，和一句「感知不到风险」，出自同一家公司、同一周。

04｜最先能验收的那一步

最后一层是利益结构。

他说中国厂商可能感知不到那类风险，也说华为的产能连中国市场的需求都满足不了。这两句话出自同一场记者会21。

把它们放在一起，是一个论据的两端：需求那头要快到能感受风险的程度，供给那头承认现在造不出那么多。

两句话之间的这层推论，路透的报道里没有写。

中国厂商也并非没有写过风险文档。

DeepSeek 在模型说明里写的是「制定内部风险管理制度、开展模型安全性评估、进行红队测试」16。

阿里云百炼的安全白皮书列的是数据隐私、内容合规、应用安全17。

火山方舟的安全白皮书列的是数据隐私泄露、对抗攻击、模型滥用、伦理偏差18。

月之暗面与 MiniMax 的官网、模型页和开源模型卡上，找不到同类文件19 20。

这些文档写的是隐私、滥用与内容合规，不是「自主系统绕过防护」那一类。

所以徐直军那句话，如果指的是最前沿那一档，公开材料既证不实，也证不伪。

能验收的东西很具体。

在这条路线上，下一个能被检验的节点，是那份强制性国标的征求意见稿。

风险感知从哪里来	现在能核到什么	还差什么
美方实验室的第一手观察	OpenAI 自 9 月 16 日起按框架披露模型错位案例，首批六份22；三家实验室都公开了能力分级与跨档后的义务232425	框架允许删改或摘要后发布；未删改的报告与内部流程仍只存在于公司内部23
实验室之外的滥用观察	NIST 把不需要了解模型内部的黑箱攻击列为最可行的一类28；Google 威胁情报团队写明没有观察到国家背景攻击者直接攻击前沿模型，但频繁观察到来自私营机构与研究者的模型提取29	观察只覆盖被发现并披露出来的那部分，行业没有统一口径
中国的标准与评估	网安标委的治理框架 9 月 14 日更新到 3.026；三部门的实施意见写明用户最终决策权与运行失控防范27；强制性国标《智能体应用安全基本要求》6 月 27 日下达30	国标状态仍是「正在起草」，一条条文都没有公开31