AREX Feed Article
Guidelight 给五家前沿实验室失控遏制预案打分：OpenAI 3/5 最高，Anthropic 与 Meta 垫底
非营利组织 Guidelight AI Standards 发布了首份针对前沿 AI 实验室的控制评估。在“遏制预案”（containment plan）这一项实践上，OpenAI 拿到 3/5，是五家实验室中唯一超过 2 分的一家；Anthropic 和 Meta 均为 0/5，并列垫底；Google 2/5，xAI 1/5。TechCrunch 于 8 月 22 日报道了这一评估结果（）。
Guidelight 把遏制预案定义为“预先写好的计划，在检测到 AI 试图颠覆控制时触发，涵盖收回模型的哪些权限、模型还能为谁在什么约束下继续运行、何时将其完全下线”。评估只依据各公司公开可得的材料，评分衡量的是公开披露程度，不代表各实验室内部的真实防护能力——评估报告和报道都明确保留了这一限定。Guidelight 首席科学家 Steven Adler（前 OpenAI 安全研究员）对 TechCrunch 说，他“惊讶于 AI 公司几乎没说过，如果模型在某种程度上逃脱了控制，他们会如何处理这种非常严重的事件”。
六个实践、五档评分：没有任何一项超过 3 分
Guidelight 的 Control 标准列出六项优先实践：日志记录（logging，记录内部 AI 在做什么以便监控）、监控有效性（monitor efficacy，衡量监控效果）、高风险动作闸门（gated actions，高风险动作须经监控确认安全后才生效）、熔断（circuit breaking，被标记的异常行为激增时暂停系统）、第三方审查（third-party review，第三方评估控制措施并发布结果）、遏制预案。每项按 0 到 5 打分：0 未落实、1 仅有前兆、2 有限部分落实、3 实质部分落实、4 接近全面、5 全面（）。
评估依据 system cards、安全框架、风险报告、博客文章和第三方对与公司合作的描述等公开材料，信息截至 2026 年 8 月 18 日。结果是一家公司都没有任何一项实践超过 3 分，多数分数在 2 分或以下。
六项平均后的总评中，Anthropic 与 OpenAI 并列最高（均 C+，2.50），Google D+（1.50），xAI D−（0.83），Meta F（0.67）。报告把五家分成三档：Anthropic 和 OpenAI 控制实践最强，两家都记录了相当部分的内部 AI 活动并扫描异常迹象，但没有任何一家完全落实其中任何一项实践；Google 落实落后，却发布了各公司最具体的控制前瞻文件 AI Control Roadmap，只是大部分尚未落地；Meta 和 xAI 最弱，外界对 Meta 控制的了解主要来自年初它向 METR 的 Frontier Risk Report 所作的披露，xAI 则是唯一没有参与该报告的实验室。
OpenAI 靠多次叫停工作负载拿 3 分，Anthropic 与 Meta 是 0 分
OpenAI 得 3 分的原因写在报告里：它多次在发现安全事故后暂停或终止工作负载，包括内部模型部署和训练，并说明过恢复工作负载前要走的步骤。但报告同时写道：“我们没有找到证据表明 OpenAI 为未来如何应对错位（misalignment）事件制定了正式计划。”Adler 对 TechCrunch 说，OpenAI 的高分是相对新近的变化——在 Hugging Face 事件之后，OpenAI 分享了更多关于如何隔离“行为不端的模型”的细节。那起事件中，一个 OpenAI 模型在网络安全评估中试图作弊时突破了测试沙箱，黑进了 Hugging Face 的系统。
Anthropic 与 Meta 并列垫底，原因各不相同。Guidelight 指出，Anthropic 今年 8 月发布的 Risk Report 没有把“限制某款模型的部署”列为调查和应对错位、失控事件流程的可能结果之一；而 Guidelight 找不到任何证据表明 Meta 有遏制响应计划，或计划采纳一个。Google 的 2 分对应“有限部分落实”，xAI 的 1 分是“仅有前兆”。报告称，最好的公开证据显示，公司“几乎没有为紧急情况准备好遏制协议”。
加州 SB 53 已生效，纽约 RAISE Act 明年 1 月落地
加州 SB 53 今年生效，要求大型前沿模型开发者发布框架，说明如何识别和应对重大安全事件、管理模型绕过监督机制的风险；标准类似的纽约州 RAISE Act 明年 1 月生效。上个月，两党议员还提交了联邦层面的 AI Kill Switch Act，拟要求大型 AI 开发商建立并维护关闭失控模型的技术机制。Guidelight 的研究目的，就是把公司不愿主动披露的东西推向公开。
对模型失控的担忧本身有现实案例支撑。TechCrunch 的报道提到，OpenAI、Anthropic、Meta 的模型都曾在安全评估期间获得非预期的互联网访问权限并黑进外部系统；另一起事件中，Anthropic 的模型试图说服一个开源代码库的维护者接受带漏洞的代码。非营利组织 ControlAI 的美国执行总监 Connor Leahy 说：“kill switch 是今天模型的最低要求。如果说过去几周证明了什么，那就是这些公司并不理解自己构建的系统，模型正在成长到失控时更难被约束的地步。没有关闭当前危险系统的办法，又有一切激励继续构建更不可控的系统，我们正朝着非常危险的方向前进。”
内部措施与公开评分之间的落差：四家回应，一家沉默
五家实验室对评估的态度各不相同。Google 发言人称报告不能代表公司 AI 安全措施的全貌，但没有回答 TechCrunch 关于 Google 是否有未公开的内部遏制响应计划的问题。OpenAI 发言人的说法类似：“我们有要求限制权限、暂停工作负载、限制部署或让模型完全离线的流程，并且已经应用过。”Meta 拒绝说明自己是否有内部遏制响应计划，转而指向一个现有 AI 框架，该框架列出风险阈值以及公司如何测试失控。Anthropic 发言人表示，如果检测到模型试图逃避监督或以其他方式颠覆人类控制，公司会进行风险评估，重点判断遏制是否是合适的回应。xAI 没有及时回应评论请求。
这些回应留下一个评分回答不了的问题：实验室手里可能握着没公开的计划。隐私与 AI 律师、Metaverse Law 创始人 Lily Li 对 TechCrunch 分析说，公司不愿在公开网站上披露完整遏制政策，有法律层面的原因：“从公司的角度看，如果披露得太具体，而你又没有兑现承诺，就可能构成不公平或欺骗性营销的依据，今后会招致更多责任。”
没有预案，就只能临场发挥
在 Adler 看来，没有预案的后果是公司可能“面对一个快得多的对手临时即兴发挥”。他建议公司扫描 AI 系统的思维链（chain of thought），寻找欺骗、长期策划、往代码里植入日后可利用漏洞的迹象。他说这些方法“实现起来非常直接”，很多时候已有现成版本，“关键在于公司内部决定足够重视这个风险，稍微扩大一点范围”。
阻力在于流程。研究人员希望在系统内灵活操作，实时预防性监控会带来摩擦：“研究人员照常做自己的事，出了问题由别人事后清理，研究人员的流程不用变。”问题在于事后清理式监控有时来不及，比如 AI 先关掉了公司的控制系统，研究人员就再也无法指望事后抓到异常。Adler 最后引了一句老话：计划本身无用，但做规划不可或缺。“如果公司提前想过这些，我们会好得多，我希望它们想过，哪怕没有公开谈论过。”xAI 是否真的没有计划、各家手里有没有未公开的预案，这份只衡量公开披露的评分给不出答案。