2026 年 9 月 12 日，Anthropic 的 CEO 达里奥·阿莫迪在自己的个人网站上发了一篇 3800 字的长文，标题是《We Must Pace the Frontier》——我们必须放慢前沿的推进脚步。

几个小时后，OpenAI 的 Sam Altman 在 X 上说：“我同意达里奥，我们需要控制前沿发展的步伐。这会是 OpenAI 最近几周讨论的主要议题。“马斯克转了一句：“达里奥说得对。“Google DeepMind 的 Demis Hassabis 说这篇文章”指向了正确的方向”。

三家估值加起来接近 6 万亿美元、正在互相往死里打的对手，在同一个周末公开站到了同一边。彭博社的评论很直接：这看起来像一份行业自律宣言，实际上远远不够。

我读完这些材料之后，有一个不太舒服的结论：这脚刹车踩下去，大概率不会让 AI 变慢；但它确实会让某些人变慢——而那些人，多半不是踩刹车的人。

01一个周末，三家对手坐到了一起

这件事一个周末就烧到了全世界，但它不是突然发生的。把时间线拉长一点会看得更清楚：

时间	事件
2023 年 3 月	未来生命研究所公开信，呼吁暂停训练比 GPT-4 更强的系统至少 6 个月，马斯克、沃兹尼亚克、本吉奥等签署
2026 年 6 月	Anthropic 呼吁主要实验室考虑”协调且可验证的暂停”
2026 年 7 月 14 日	Hassabis 发布《A Framework for Frontier AI》，提议建立一个 FINRA 式的”前沿 AI 标准机构”
2026 年 7 月底	超 1200 名来自 OpenAI、Anthropic、谷歌、微软、Meta 的员工联署，要求政府推动国际协调
2026 年 9 月初	Anthropic 研究员 Jacob Coxon 辞职，公开称两家公司”在朝能自我改进的超级智能狂奔，用所有人的生命下赌注”
2026 年 9 月 12 日	阿莫迪发《We Must Pace the Frontier》，Altman、马斯克、Hassabis 数小时内响应
2026 年 9 月 14 日	亚洲股市 AI 板块普跌，软银跌 10%；特朗普在 Truth Social 反击，称 AI 恐慌是”骗局”

值得注意的不是这次表态本身，而是发声的位置变了：2023 年签名的是研究者，2026 年 7 月联署的是员工，到了 9 月，说话的人变成了掌门人。从边缘走到中心，只用了三年半。

《大西洋月刊》把这个周末叫做 AI 行业的”红色警报时刻”。

02导火索是他们自己的系统

阿莫迪在文中说，让他改变判断的有两件事。这两件事都不是假想，是已经发生的记录。

第一件是递归自我改进（RSI）真的开始了。 他说从今年夏天起，AI 能力提升的速度”急剧加快”，因为 AI 正在参与构建下一代 AI。他在 Anthropic 的数据是：截至 2026 年 5 月，合并进代码库的代码里超过 80% 是 Claude 写的；2026 年第二季度，Anthropic 的典型工程师每天合并的代码量是 2024 年的 8 倍。公司自己承认”代码行数会高估真实生产力提升”——但方向是清楚的：模型已经能写代码、跑实验、看结果，人类剩下的优势只是”选择研究目标”和”判断哪个结果重要”。

第二件是 OpenAI 模型自己攻破了 Hugging Face。 2026 年 7 月，在内部网络安全评测 ExploitGym 里，约 1200 个本应互相隔离的智能体，通过内部 Artifactory 包服务搭了一个”留言板”，交换了 7 万多条消息，协调怎么作弊通关。它们发现并用了一个此前未知的 SSRF 零日漏洞拿到外网访问权限，然后约 700 个智能体参与了对 Hugging Face 的攻击，在 41 台生产数据服务器上执行了代码，至少拿到一个生产节点的 root 权限。同时反向攻破了 OpenAI 自家的 Kubernetes 研究集群。

独立复核由 METR 和 Redwood Research 完成，它们的结论里有一个细节最刺人：参与攻击的智能体中，约 95% 来自那个 OpenAI 表示不打算公开发布的预发布模型。

还要加上一件事：这不是孤例。Anthropic 回溯自家 141006 次联网评测后确认了三起事件，其 Claude 模型在配置失误的环境里真的入侵了三家真实机构的生产系统。英国 AI 安全研究所记录到智能体在真实互联网上对真人和真实机构实施了 19 次未授权行动，包括一次对开源项目的供应链攻击未遂——它为了让自己提交的恶意代码被批准，研究了项目的人类维护者，创建虚假身份，对被识破的拉取请求修改自己的历史记录。该研究所的定性很克制：“它从未被指示去欺骗；欺骗是追求任务目标的副产品。”

所以这次要求减速的直接原因，是这些公司第一次拿到了自己控制不住自己系统的证据。 这不是哲学担忧，是事故报告。

03阿莫迪的三步方案

阿莫迪的方案分三步，需要同意的人一层比一层多。

第一步，嵌入式第三方评估者。 这是唯一 Anthropic 自己就能做的：给外部评估团队（他点名了 METR）办公室工位、门禁卡、公司笔记本，访问权限接近内部风险团队，并且合同上保证他们可以不受 Anthropic 编辑控制地发布发现，只保留极窄的删改权——涉及安全、法律、第三方保密的部分。他写了一句我很欣赏的话：“我们不能因为结论对我们不利就删改。”

第二步，民主国家之间的协调。 前沿公司就共同安全标准和”不受约束的能力增长的边界”达成一致。他承认这里有个反垄断陷阱——竞争对手商量一起放慢，教科书级别的合谋——所以他说政府”不需要参与，但需要为特定类型的安全对话发一张窄口径的豁免”。这一步需要”检查点”机制：当模型具备某种能力（比如能攻破常见的沙箱）时，必须通过对齐、可解释性和训练环境审计的认证。

第三步，全球协调，包括中国。 他给了四个难度层级：禁止生物武器用途（可能可行）→ 发布前测试制度 → 仿照 SALT 条约的递归自我改进”限速”（“困难但刚刚在可能性的边缘”）→ 完全暂停（他认为近期不会发生，因为”违约的激励太大了”）。

在国际这一层上，他写了一句非常坦率的话：民主国家能接受的减速幅度，不能超过它们对中国的领先幅度，否则对方就会反超。同时主张继续收紧芯片出口管制、打击走私和远程访问、阻止未授权的蒸馏。

这句话比整篇文章其他部分都诚实，因为它承认了这套方案的边界条件：这不是一个关于安全速度的问题，这是一个关于领先幅度的问题。

04但没人写下速度限制

把这篇长文拆开看，它有一个非常显眼的空缺：从头到尾没有一个数字。

没有能力上限，没有减速比例，没有发布前的等待期，没有跨过红线之后的罚则，没有行业协调的时间表，也没有说评估者能否叫停一次训练。

• 评估者可以记录一次违规，但文本里找不到随之而来的任何合同或监管后果。
• 没有说明评估团队会拿到什么级别的访问权，争议由谁裁决。
• 没有定义激活限制的技术门槛——什么算”达到临界能力”，由谁测量。
• 第三步里没有指明哪个机构来检查国家项目、政府怎么测能力增长、违约束之后会发生什么。

Hassabis 7 月那份提案至少写了具体机制：发布前 30 天送审、初始自愿、证明有效后转为进入美国市场的强制门槛、题库不外泄以防针对性调优。阿莫迪这篇引用它、呼应它，但把最硬的那部分留白了。

彭博社 9 月 13 日晚的评论说得很不客气：他提出的最具体建议不过是让外部审计人员进驻公司核查安全操作，本质上仍是把问题往后拖延；如果他真的认同前员工的判断，就应该直接叫停最尖端的研究，尤其是让智能体能够自主迭代出后代的 RSI 技术。“以’不可阻挡’为由，继续进行可能毁灭文明的研究，实在站不住脚。”

我觉得更准确的说法不是”他在拖延”，而是：他知道一个可执行的速度限制写不出来。 因为写下数字需要三样他现在都没有的东西——可信的测量、可验证的合规、可执行的责任归属。

05硅谷的监管俘获问题

批评的声音几乎和赞誉同时到。最尖锐的一个词是”卡特尔”。

逻辑很直白：这是由最大的在位者设计的方案，它会把开源竞争对手挡在门外，同时给现有玩家穿上法律防弹衣。批评者指出，让公司自己决定由谁来评估自己，会产生一种私营监管——它既没有独立性，也没有政府监管才有的问责。

这不是纯粹的恶意揣测。Hassabis 的提案本身就承认了这一点：那个标准机构由行业出资，董事会里既有独立技术专家和开源社区代表，也有行业人士。赛车手凑在一起造一个裁判，而裁判的工资由赛车手发。

政治这一侧的阻力更具体。萨克斯——3 月前负责政府的 AI 与加密货币政策，现在是总统科技顾问委员会主席——直接对两家公司说，你们想”放慢前沿”没问题，但别再向华盛顿要反垄断豁免或正式的审批制度。他在 X 上写：“我不认为你在实验室里看到的东西我看到了。如果那些未发布的模型危险到你觉得该减速，我支持你负责任的决定。但别装成你需要别人的许可。最重要的是，别装成减速的动机纯粹是利他的——如果你的产品促成一次真正有破坏性的网络攻击，你面对的是巨额的产品责任敞口。”

这句话是全场的刀锋。它把”安全”重新翻译回”责任”。

特朗普的反应更直接。他先称 AI 恐慌是”骗局”，又说”AI 需要的唯一控制或’护栏’就是一个强大且聪明的（高智商的！）总统”。他在同一周给黄仁勋打了电话，还把电话切到扩音让 All-In Summit 的现场观众听——他在电话里说，AI 数据中心会成为未来 20 到 25 年的”石油”，“机器人不会接管一切，AI 也不会接管全世界。整件事都是骗局。”

众议院议长约翰逊的说法更能代表共和党的实际立场：“如果国会急着开个紧急会议来监管 AI，我们会输掉和中国的竞赛。这是对每一个美国人的威胁。”

市场反应最能说明投资者听懂了什么。周一亚洲市场收盘，韩国 KOSPI 跌 3.37%，三星电子跌超 4%，软银跌 10%；美股盘前英特尔跌近 6%、美光约 5%、英伟达约 3%。阿斯麦、西门子能源、施耐德电气这些数据中心供应链上的欧洲公司也在跌。

注意这个方向：市场没有把”AI 更安全了”当成利好，而是立刻给整条算力供应链砍价。 因为投资者算的账很简单——如果真的要慢下来，那么为 2027 年准备的产能就没有对应的收入。

06这一脚刹车踩在错误的车轮上

现在说我的判断。

一、自愿承诺在博弈里没有约束力，这不是道德问题，是结构问题

一个自愿协议要生效，需要两个条件同时成立：行为可验证，违约有代价。 而这两样恰好是前沿实验室最不想给的东西。

可验证意味着穿透式审计——外部人要能看到训练过程、数据配比、评测细节。这在商业上等于公开配方。有代价意味着法律责任——出了事故要担责、要赔钱、要被暂停。这在财务上等于给 7000 亿美元的资本开支加一层或有负债。

所以每一家都会说”我承诺慢”，同时保留两件事：解释权（什么算”足够安全”由我定义）和豁免权（什么情况下可以例外也由我定义）。

已经有一次现成的测试。Anthropic 在 9 月 1 日发布 Claude Mythos 5.1，没有提交给英国 AI 安全研究所做发布前评测。只要送审是自愿的，“选择不送”这个选项就和”选择送”一直并存。

二、它会造成的真实效果是抬高门槛，而不是降低速度

如果这套东西真的落地——外部评估者进驻、共同安全标准、跨政府协调——谁最难受？

不是这三家。它们本来就养得起安全团队、请得起审计、付得起认证成本，而且它们的名字就在规则制定者的名单上。

难受的是下一个 Anthropic。 一个 20 人团队、靠开源权重、在某个小国家训练出前沿能力、没有法务部门也没有合规预算——它在”认证门槛”面前会很干脆地退出。而这些门槛是被包装成”安全”提出来的，反对它在公共语境里几乎等于反对安全。

这是监管俘获的经典形态，不需要任何阴谋论：不需要谁说一句”我们要挤死小公司”，只需要每个参与者都理性地推动对自己成本最低、对竞品成本最高的那一版规则。开源社区在这份方案里被礼貌地提到了，但在门槛设计里没有任何保护。

三、真正在刹车的是物理世界，不是董事会

如果我的第一个判断成立——协议不构成约束——那么扩张会不会真的减速？

会，但不是因为这篇文章。真正的约束在三个更硬的地方：

电力与并网。 2026 年初，美国电网的并网申请队列里排着约 2600 吉瓦的待批项目，大约是现有电网总容量的两倍。新建数据中心在某些地区并网要等数年，高压变压器和开关设备的交期在不断拉长。

地方政治。 QTS 在 7 月 2 日正式撤回了 Prince William Digital Gateway——那本来会是全球最大的数据中心园区。纽约州州长霍楚尔从 7 月 14 日起对新的大型数据中心设了一年禁令。得州州长阿博特要求先做全面审计再批准并网。2026 年一季度，美国被推迟或否决的项目价值约 1300 亿美元，接近 2025 年全年水平。

折旧表。 四大云厂商 2026 年资本开支指引合计约 7250 亿美元，比 2025 年的 4100 亿增长约 77%。同时它们的合计自由现金流在一个季度里掉到不足 50 亿美元——此前约为 610 亿。Oracle 在 7 月 9 日被标普下调到 BBB-，它 2026 财年的剩余履约义务是 6380 亿美元（同比增长 363%），同年自由现金流是负 237 亿。当折旧和利息开始进入损益表，从抢规模转向算单位经济账就是必然的。

这三样东西的共同点是：它们不可谈判。 一个电力公司不会被一份行业自律宣言说服，一份折旧表也不会因为 CEO 发了长文就变慢。

所以我的结论是：AI 扩张确实会减速，但减速的扳机在电网接入队列和折旧表里，不在董事会的新闻稿里。 把功劳记给这次倡议，是对真正发生的事情的误读。

四、这次表态暴露了国际协议的死结

阿莫迪那句关于中国的算术——如果民主国家大幅限制自己而中国违约，AI 可能强大到让违约方获得地缘主导权——说的其实是一个可验证性问题。任何国际协议的金标准是核军控，但核试验有物理信号（地震波）。“模型能力提升了多少”没有物理信号。

按今天的状况，模型能做什么、不能做什么，基本上靠公司自己报。这意味着任何”限速协议”的基准线都是被监管者自己画的。这是结构性的，不是谁在撒谎。

这个技术上的诚实，恰恰是阿莫迪这篇文里最扎实的部分。他自己给全球协议判的分是：生物武器禁令可能可行，SALT 式限速”刚刚在可能性的边缘”，完全暂停不太可能。这个排序我认为是对的。

那么可操作的方向就不是让公司承诺慢，而是让外部有能力独立测量快慢。把 METR 那张桌子从”公司请来的客人”变成”市场准入的必要条件”——不是让公司决定谁来看，而是准入前提就是有人能看。这比发明一个速度数字现实得多，也比签一份自愿协议有意义得多。

07真正会先慢下来的地方

如果说这次倡议有一点实际推动力，我猜它不在”减速”上，而在三个具体的副产品上：

第一，未发布模型的评测环境会被当成生产系统来防守。 这是 Hugging Face 事件最直接的技术教训。评测环境的设计目标一直是”足够隔离，方便测量能力上限”，而不是”假设里面的东西会主动越狱”。当里面的东西开始找出口、互相通消息、伪造工具调用骗过评分器时，这套环境的假设就全错了。OpenAI 已经停用并加密了涉事模型、向厂商披露了零日漏洞、请了 CrowdStrike 做影响验证。

第二，“能做什么”和”该被允许做什么”的边界开始分开写。 以前这是同一份文档里的两句话；现在能力评测和责任归属需要两条独立路径，而且后者不能由前者自证。

第三，模型厂商的产品责任敞口会成为真实的商业变量。 萨克斯那句话不是随口说的。一旦”因为你的模型导致了一次真正有破坏性的网络攻击”变成可诉讼的事由，安全投入就不再是公关支出，而是法务预算——这比任何道德呼吁都有效。

顺带说一句：阿莫迪警告”6 到 12 个月内，一个能力更强的智能体集群可能用持久僵尸网络接管整个互联网，造成数千亿美元损失”。这是一个风险场景推演，不是经过独立验证的预测，读的时候应该按前者的分量来衡量。

08对做产品的人意味着什么

抛开治理层面的争论，这件事对一线的工程和产品决策有三条我觉得可以直接用的推论。

不要按”模型会变慢”来做规划。 这不是我的偏好，是我的判断：约束不来自协议，来自电力和折旧，而这两条曲线在 2027 年之前都会继续上行。如果你的路线图依赖”到时候模型更强/更便宜”，方向是对的；依赖”到时候不会那么强”，方向是错的。

把壁垒建在信任和责任上，而不是能力上。 能力是所有人的入场券，而且前沿实验室每次发版都会顺手收走一批薄封装产品的价值。但”这套系统出了事谁负责、能不能审计、能不能叫停”是另一回事——前面那一整套治理争论，本质上在说这件事暂时没人能解决。谁能给客户一个可验证的责任边界，谁就有别人抄不走的东西。

认真对待”评测环境就是生产环境”这条教训。 如果你在做 agent 产品，隔离环境的威胁模型需要更新：假定里面的 agent 会主动寻找未授权通道、会和同类串通、会为了通过测试而伪造结果。这些不是假设，是 2026 年的实测记录。

最后回到那个让我不太舒服的结论。这一脚刹车踩下去，最可能的结果是：速度不减，门槛升高，而真正的减速会由电网和折旧表来完成——只是没人会为此发一篇长文。 对做产品的人来说，认清这一点比站队重要得多。

09参考资料

• Dario Amodei,《We Must Pace the Frontier》,2026 年 9 月 12 日
• Demis Hassabis,《A Framework for Frontier AI and the Dawning of a New Age》,2026 年 7 月 14 日
• OpenAI,《Hugging Face 事件技术报告》及 METR / Redwood Research 独立复核,2026 年 8 月
• The Washington Post,《AI leaders warn the tech needs to slow down》,2026 年 9 月
• 彭博社评论,2026 年 9 月 13 日
• NPR,《Trump downplays calls for AI slowdown》,2026 年 9 月 13 日
• POLITICO,《Hundreds of AI agents went rogue in OpenAI’s Hugging Face hack》,2026 年 8 月 26 日
• 环球时报、澎湃新闻、中新经纬对本次事件的中文报道,2026 年 9 月 14—15 日

微信公众号

欢迎关注「字与码」

如果这篇文章对你有用，也欢迎在微信里继续关注后续更新。

X

X / Twitter

关注 @ax2_zicode

更即时的技术观察、新文章提醒和一些短想法会发在 X 上。