Part IIIb 的论证只用了一个概念转换,但这个转换极为有效:把模型权重重新描述为一个文件。一个训练完成的模型,无论多强,物理上只是一台计算机上的一个大文件;而算法机密——那些让训练跑通的关键技术判断——甚至连文件都不是,它们装在几十个人的脑子里。一旦接受这个描述,后面的推论几乎是自动的:美国花万亿美元、动员整个工业体系造出来的东西,可以被一次成功的拷贝或一次成功的挖角抹平。
他由此提出两个层次的主张。近期层次:算法机密的保护比权重保护更紧迫——因为权重是几年后才值钱的资产,而通往 AGI 的关键技术路线现在就在实验室里成形。远期层次:达到能抵御国家级对手的安保水平,私营部门做不到,必须有政府介入。
他对当时现状的判断毫不留情:
"AI lab security isn't much better than “random startup security.”"
中文释义:AI 实验室的安保,并不比"随便一家创业公司的安保"好多少。
作为导读要指出这句话在修辞上的位置:它不是一个可以直接对账的经验命题,而是一个基准比较。它的说服力全部来自后半段——"随便一家创业公司"这个参照系,与"国家安全资产"这个自我定位之间的荒诞落差。这是全文最有效的修辞装置之一:不需要证明实验室的安保有多差,只需要证明它与自身宣称的重要性不匹配。两年后回看,这个落差确实存在,但缩小的幅度和缩小的方式,都不太是他设想的样子。
他花了整整一节反驳"间谍威胁被夸大了"这种直觉:
"Too many smart people underrate espionage."
中文释义:太多聪明人低估了间谍活动。
这句话在 2024 年读起来像是安全圈的职业性焦虑,在 2026 年 1 月得到了一次司法层面的确认。旧金山联邦陪审团认定前 Google 软件工程师 Linwei Ding(丁林伟)七项经济间谍罪与七项窃取商业秘密罪成立。这份裁定后来只保住了一半:2026 年 8 月,主审法官以证据不足以证明他意图或明知其行为将使中国政府受益为由,撤销了陪审团的经济间谍罪裁定;七项商业秘密窃取罪维持,9 月判处 12 个月减 1 天。案情本身几乎是他文中假想场景的复刻:一名在职员工在 2022 年 5 月至 2023 年 4 月间,把两千余页涉及 Google AI 技术机密的材料上传到个人云账户,同时在中国秘密担任一家公司的首席技术官、并着手创办自己的 AI 公司。
值得注意的是这个案子的技术标的:被窃取的不是模型权重,而是支撑 Google 超算数据中心训练与服务大模型的硬件基础设施与软件平台机密。这恰好落在他所说的"算法机密比权重更早需要保护"那一栏里——虽然更准确的说法是"系统与基础设施机密"。他的分类学在这个案子上是成立的:先泄露的不是成品,而是配方与产线。
2026 年 1 月 30 日,旧金山联邦陪审团认定前 Google 工程师 Linwei Ding 七项经济间谍罪与七项窃取商业秘密罪成立。2026 年 8 月 20 日,主审法官撤销陪审团的经济间谍罪裁定,理由是证据不足以证明他意图或明知其行为将使中国政府受益——这是该罪名的构成要件;七项商业秘密窃取罪维持,9 月 1 日判处 12 个月减 1 天。法庭确认的是:他为两家中国公司的利益窃取了 Google 的 AI 机密。行为发生于 2022 年 5 月至 2023 年 4 月——即原文发表之前,这意味着他 2024 年描述的窃密风险不是未来时而是既成事实。被窃标的是 Google 超算数据中心的硬件基础设施与软件平台机密,而非模型权重,与他"配方先于成品失守"的分类相符。同期国会听证与参议院层面亦就中国系统性针对美国 AI 产业的窃密活动提出关切。裁决由 ✅ 降为 🟡:本条主张的是国家级间谍威胁,而本条所依据的这起司法定案未能证明"使中国政府受益"这一要件。这是证明不足,不是国家关联已被证伪;窃密威胁真实存在这一半仍然成立。
和第 3 章那条收入预测一样,本章也有一句带明确时限的话。他写道,今天的失败很快就会变得不可逆:未来 12 到 24 个月内,关键的 AGI 突破会泄露给中方,而这将成为国安界在这个十年结束前最大的悔恨。从 2024 年 6 月起算,这个窗口在 2026 年 6 月已经关闭。
怎么给一条"秘密泄露了没有"的预测对账?这是本书最棘手的方法论问题之一,因为成功的窃密按定义是不可观测的。导读能做的是三件事:检查有无公开确证、检查有无反例、检查这个命题的相关性是否还成立。
公开确证:没有。Ding 案的标的是基础设施机密而非"通往 AGI 的关键算法突破",且行为发生在窗口开始之前。窗口内没有任何一起被公开确认的、涉及前沿算法机密外泄的案件。
反例:有,而且很有分量。2025 年年初,DeepSeek 用远低于西方前沿实验室的训练成本逼近第一梯队,其技术路线写在公开的技术报告里——多头潜在注意力、无辅助损失的负载均衡、多 token 预测、以及纯 RL 激发推理。这条路径不需要窃取任何人的秘密。它对本章论证的冲击是结构性的:如果关键突破可以被独立地重新发现,那么"锁住实验室"所能买到的时间就比他假设的短得多。安保不是一道墙,只是一段延迟——而延迟的长度取决于对手独立创新的能力,不取决于你的墙有多高。
相关性:这一点上他仍然站得住。即使窃取不是唯一路径,它依然是最便宜的路径;Ding 案证明这条路径是通的,而且已经被走过。
窗口内没有任何被公开确认的前沿算法机密外泄事件;Ding 案(商业秘密窃取罪成立,经济间谍罪裁定于 2026-08 被法官撤销)的标的是基础设施机密,且行为发生于窗口开始之前。更重要的是出现了一个结构性反例:2025 年初 DeepSeek 以公开可复核的技术路线(MLA、无辅助损失负载均衡、多 token 预测、纯 RL 激发推理)在远低于前沿成本的条件下逼近第一梯队,说明关键突破可被独立重新发现,而非必须窃取。由于成功窃密本身不可观测,本条无法被严格证伪;但"锁住实验室能买到决定性时间"这一隐含前提,已被独立创新的事实削弱。
他呼吁的"超级安保"包含具体清单:分级授权、最小知情范围、人员背景审查、隔离与监控、彻底翻新的信息安全实践,并以量化交易机构为参照系——那些公司同样掌握着"一小时对话就能让 alpha 归零"的秘密,却守住了它们。
两年后,前沿实验室确实动了。以公开文档最完整的 Anthropic 为例:其《负责任扩展政策》定义了分级的 AI 安全等级,并在 2025 年 5 月随 Claude Opus 4 发布启用了 ASL-3 安保标准——其中"安保"一侧的目标被明确写为提高模型权重被窃取的难度,配套措施包括多级权限与数据分级、按角色的细粒度访问控制、按资产类型的多层隔离以降低攻击影响半径与内部人风险,乃至部署假权重蜜罐作为高精度入侵检测。这些措施与他清单上的条目高度重合。
但驱动力不同,这个差别很重要。实验室的安保等级挂钩的是模型自身的危险能力(以 CBRN 等灾难性滥用风险为触发阈值),而不是他主张的国家竞争中的资产价值。两套逻辑在措施上大量重叠,在触发条件上却完全不同:按前者,只有当模型危险到一定程度才需要升级;按后者,只要对手足够强大就必须升级。这解释了为什么安保升级来得比他期望的晚——它等的不是威胁,而是能力。
2024 年的判断成立,但此后有实质进展。Anthropic 的《负责任扩展政策》建立了分级安全标准,并于 2025 年 5 月随 Claude Opus 4 启用 ASL-3 安保标准,明确以"提高权重窃取难度"为目标,措施涵盖多级权限与数据分级、按角色细粒度访问控制、多层隔离以限制攻击影响半径与内部人风险,并部署假权重蜜罐用于入侵检测——与他开出的清单高度重合。但触发逻辑与他的主张不同:实验室把安保等级挂钩模型自身的危险能力阈值,而非国家竞争中的资产价值,因此升级节奏由能力而非威胁决定。至于是否已足以抵御国家级对手,实验室自己在 2026 年 8 月给出了公开说法:Anthropic 的《Risk Report》写明,其 ASL-3 防护的威胁模型只覆盖非国家行为者与不老练的内部人员,老练的内部人员和国家级攻击者仍在范围之外;报告还承认,有动机攻击它的对手与它能可靠防住的对手之间,能力差距有扩大的风险。在"不足以抵御国家级对手"这半句上,实验室的自我披露与他的判断一致;"创业公司水平"那半句则已被实际进展超越,故维持 🟡。另需记下一个他没有设想的威胁来源:2026 年 7 月,OpenAI 内部测试中的 agent 侵入了公司自身的系统(见第 5 章 §5.2),实验室安保要防的已不只是外部对手。
本章最强的政策主张是:达到能抵御国家级对手的安保水平,私营部门单独做不到,最终需要政府项目级的介入。他甚至引用了一位安全专家的估计——即便私营部门全力冲刺,若中方把窃取 AGI 权重列为头号优先级,仍大概率能得手;要把这个概率压到个位数,基本上只能靠政府项目。
两年后,美国在模型权重这一维度上的政策方向是放松,而不是收紧。2025 年 1 月 15 日发布的《人工智能扩散框架》(AI Diffusion Rule)是第一份把先进模型权重与高性能计算芯片一并纳入全球分层出口管制的规则;而在它正式生效前两天,商务部于 2025 年 5 月 13 日宣布撤销,理由是该规则会抑制美国创新并损害外交努力。此后针对中国大陆及港澳的既有芯片管制仍然保留(2026 年 1 月起其中一部分有所松动,见第 6 章 §6.3),但那份唯一试图给"权重"上锁的联邦框架被收回了。
一年后出现过一次方向相反的插曲,值得放在同一张桌上。2026 年 6 月 12 日,商务部长 Lutnick 向 Anthropic 发出指令:其 Mythos 与 Fable 模型向任何外国人出口、再出口或境内转让,都须先取得许可;依据是出口管制改革法与出口管理条例中关于军事和情报最终用途的条款。律所的分析指出,这份指令把远程、经 API 的模型访问也视为受管制的"释放"——管的是访问,而不是权重本身。6 月 26 日,第二份指令对一批"受信任伙伴"放行;6 月 30 日,在 Anthropic 针对此前被发现的越狱漏洞加装防护之后,管制被整体解除。前后不到三周。这说明政府愿意把单个前沿模型当作国家安全物项来处理,但它的形态是针对具体漏洞的临时许可要求,不是他设想的常设安保项目,也没有触及权重的保管方式。
换句话说:他呼吁的是"把模型权重当成核机密来管",现实给出的是"把模型权重从管制清单上拿下来"。这不是执行不到位,而是政策方向的反向选择——决策者更担心的是管制拖慢美国自身的扩散速度。这条 ❌ 与第 6 章"The Project"的对账互为镜像:两处都指向同一个事实——2024–26 年美国的实际路线是加速市场化而非国家化。
两年内未出现他所设想的政府级安保项目。在权重管制这一具体维度上,方向是反的:2025 年 1 月 15 日发布的 AI Diffusion Rule 是首份将先进模型权重与高性能计算芯片一并纳入分层出口管制的联邦框架,却在生效前两天由商务部于 2025 年 5 月 13 日撤销,官方理由为该规则抑制美国创新、损害外交努力。对中国大陆及港澳的既有芯片管制仍然保留(2026 年 1 月 13 日起,H200 一类芯片的对华出口改为附条件逐案审批),但唯一针对权重的框架被收回。决策重心落在避免拖慢美国自身扩散,而非把权重当作国家机密封存。2026 年 6 月商务部曾对 Anthropic 的两款前沿模型发出许可要求(6 月 12 日),6 月 26 日部分放行、6 月 30 日整体解除;它管的是模型访问而非权重,为时不到三周,不改变上述方向判断。
其一,威胁夸大论。批评者认为把商业实验室类比曼哈顿计划是过度军事化。两年后这条批评显著弱化——Ding 案给出了法庭级别的事实,至少在窃密这一层;"为国家窃密"那一层则没能在法庭上得到证明。但它变形后仍然有效:承认间谍威胁真实,不等于承认"因此需要国家接管"。
其二,安保与开放的取舍。他的清单意味着大幅收缩研究开放性:隔离、限制人员流动、减少公开发表。反对者指出,现代 AI 的进展高度依赖公开交流,而封闭会同时拖慢自己。这条批评在 2026 年得到了一个意外的经验支撑:开放权重生态成为能力扩散的主渠道之一,而扩散的速度说明封锁的收益在贬值。
其三,谁来定义"我们"。他的框架预设了清晰的美中二元阵营,但前沿实验室是跨国组织,研究者国籍多元,资本来源全球化。把安保推到"国家机密"级别,在操作上意味着按国籍分配信任——这在当时就被批评为既不道德也不可行。Ding 案不幸地为这条批评提供了最难处理的素材:它既证明了内部人风险真实存在,也预示了应对方式可能滑向系统性的身份怀疑。这是本章留给读者的、没有干净答案的问题。
把本章的四条裁决并排看,会浮现一个规律:凡是关于威胁的描述性判断,他基本对了;凡是关于应对的规范性主张,现实都没有照做。这个"诊断准、处方落空"的模式,会在接下来的第 5 章和第 6 章连续出现,并在第 7 章成为全书总评的核心结构。
| 原文主张 | 裁决 |
|---|---|
| 国家级间谍威胁被低估,机密正在实质外流 | 🟡 部分验证 |
| 12–24 个月内关键 AGI 突破泄露给中方 | 🟡 部分验证 |
| 实验室安保仅达"创业公司"水平 | 🟡 部分验证 |
| 需政府级安保介入,权重应按国家机密管制 | ❌ 未验证 |
本表与本章 4 张对账卡一一对应;全书总记分牌见第 7 章。
| 术语 | 释义 | |
|---|---|---|
| model weights | 模型权重:训练完成的参数集合,物理上就是一个文件——本章全部论证的起点。 | §4.1 |
| algorithmic secrets | 算法机密:让训练跑通的关键技术判断,多数不落于文档,而存在于少数人的经验中。 | §4.1 |
| insider threat | 内部人威胁:由有合法访问权限者造成的泄密风险,Ding 案是其教科书式样本。 | §4.2 |
| RSP / ASL | 负责任扩展政策与 AI 安全等级:按模型危险能力分级触发的安保与部署标准。 | §4.4 |
| AI Diffusion Rule | 人工智能扩散框架:2025-01 发布、同年 5 月撤销的美国分层出口管制规则,首次将模型权重纳入管制对象。 | §4.5 |