前沿模型安全框架：Anthropic、OpenAI 与 DeepMind 的「自我限速」比较

实验室的「自我限速」文件

2023 年起，三家前沿实验室先后发布了各自的前沿模型安全框架（Frontier Model Safety Framework，统称也叫 RSP——Responsible Scaling Policy）：Anthropic 的 RSP（2023 年 10 月首发）、OpenAI 的 Preparedness Framework（2023 年 12 月）、Google DeepMind 的 Frontier Safety Framework（2024 年 5 月）。

这些文件的共同结构：定义「危险能力的阈值」→ 承诺「超过阈值就做什么」——本质是实验室给自己设定的「能力-防护」阶梯：能力每上一个台阶，防护就要相应升级；防护跟不上，就暂停训练或延迟发布。

这是 AI 治理史上第一次出现「可测量的自我限速承诺」——本篇比较三家框架的异同，并评估这类「自我承诺」的价值与局限。

三家框架的结构比较

共同骨架：能力阈值（capability thresholds）+ 安全措施（safeguards）+ 决策规则——当模型的危险能力评估（危险能力评估篇）超过阈值时，触发对应等级的安全要求。

Anthropic RSP 的特色：AI R&D-4/5 的能力分级（以「模型辅助 AI 研发」为标尺的能力分级——「自动化 AI 研发」作为阈值锚点（模型能多大程度加速 AI 研发本身——这是 Anthropic 特有的锚点选择（与它的研究议程一致）；「负责能力缩放」的承诺结构（ASL-2/3/4 的安全等级——每个等级绑定的防护要求（ASL-3：加强的部署防护与训练防护——「不达标则不上线」的承诺；「允许灵活调整阈值」的争议条款（Anthropic 保留了更新阈值的权利——被批评为「自我裁判的余地」。

OpenAI Preparedness 的特色：风险的分级框架（low/medium/high/critical 四级——「critical 不部署」的承诺（评分达到 critical 的模型不训练不部署）；评测的「跟踪式」设计（Preparedness 团队的持续评测、专家红队的参与——「评测团队的独立性」（OpenAI 内部的评测团队与产品团队的分离度——被质疑「裁判与运动员同队」。

DeepMind FSF 的特色：「临界能力层级」（CCL）的设计（与 Anthropic 的 ASL 类似的分级——「部署决策的公开性」（DeepMind 承诺公开关键决策的框架与依据；「前沿框架」的范围界定（哪些模型适用（前沿能力的模型——「适用范围的动态界定」。

graph TD
    A[三家框架共同骨架] --> B[能力阈值 + 安全措施 + 决策规则]
    C[Anthropic RSP] --> C1[AI R&D 能力分级锚点<br/>ASL 不达标不上线<br/>阈值可调整的争议]
    D[OpenAI Preparedness] --> D1[low-med-high-critical 四级<br/>critical 不训练不部署<br/>评测独立性受质疑]
    E[DeepMind FSF] --> E1[CCL 临界能力层级<br/>决策公开承诺<br/>适用范围动态界定]

价值：自我限速解决了什么

价值一：把「能力风险」变成「可管理的工程问题」。RSP 之前，前沿能力的发展是「无闸门的」（模型能力涨到哪算哪——安全防护是「事后适应」）；RSP 之后，「能力-防护」的阶梯关系被显式化（能力的每个台阶都预绑了防护要求——「防护前置」的制度化——危险能力评估篇的评估有了「决策出口」。价值二：行业事实标准的雏形。三家的框架互相参照（「框架趋同」的信号（ASL 与 CCL 的结构相似——「行业自我限速」正在从「各自表态」走向「事实标准」——监管的参照物（政府监管可以「锚定」行业的自我承诺（「自我承诺 → 行业标准 → 法定义务」的演进管道——欧盟 AI Act 的系统性风险条款的执行细则可能参照这些框架。价值三：向社会的「透明承诺」。框架的公开发布本身就是承诺装置（「公开的可问责性」——实验室公开承诺了「什么情况下不上线」——公众与媒体可以据此问责（承诺的公开化让「违背承诺」有社会成本——承诺的自我执行机制。

局限：自我承诺的结构性弱点

弱点一：自我裁判的悖论。阈值由谁判定、评估由谁做——「运动员兼裁判」的结构性风险（三家框架的评估都是「自己评自己」（内部评测团队——独立第三方评估的缺位（AISI 模式的评测正在部分补位（政府评测与自我评测的双轨——「自我评估+外部验证」的双轨制是可信度的关键。弱点二：阈值的「可调整性」。三家都保留了更新阈值的权利（「阈值漂移」的风险（商业压力下放宽阈值——承诺的「可变性」让承诺的约束力打折——「阈值变更的透明义务」（变更的公开与理由——但「公开了还是可以改」——约束的强度最终取决于社会监督的强度。弱点三：覆盖的边界。框架只覆盖「签约的实验室」（「竞争者的否决权」——不签框架的实验室（开源发布者、新兴玩家）不受约束——开放权重模型的安全辩论（库内已有）的困境在此重现——自我限速的「先发者成本」：守规矩的前沿实验室付出速度代价，不守规矩的追赶者免费搭车——框架的「集体行动困境」：只有全行业（尤其全球）都遵守，自我限速才有意义——这也是为什么 RSP 的支持者都在推动「框架的法定化」。

安全框架的进阶：RSP 的实施案例与「承诺的验证」

安全框架的进阶：RSP 的实施案例与承诺验证的机制。RSP 的实施案例：Anthropic RSP 的首次触发实例（「ASL-3 的激活」（Anthropic 在模型能力达到阈值时激活 ASL-3 防护的实例——「激活的透明」（激活的公开发布（承诺的兑现的公开——「兑现的示范价值」（第一次兑现承诺——承诺的可信度的实证——「兑现的细节公开度」（激活的细节的公开程度（公开原则+细节保密——「透明的颗粒度」的选择。「承诺验证」的机制设计：「谁来验证承诺」：自我报告的局限（「自我报告的不可信」（自己说自己遵守了——外部验证的必要性——AISI 的评测作为验证（「外部验证的双轨」（自我评估+AISI 独立评测——「双轨的交叉」（两边的评估结果对比——「结果的分歧」（不一致时的处理（分歧的公开讨论——「分歧的透明」是信任的强化剂（敢于公开分歧的机构更可信。「承诺的违约后果」：违约的社会与市场后果（「违约的代价」（违背 RSP 承诺的声誉成本（媒体的追踪、用户的流失——「违约的法律后果」（承诺的法律性质（RSP 的法律约束力（自愿承诺 vs 法定义务——「承诺的软化风险」（自愿承诺在商业压力下的软化——「法定化的推动」（自我承诺→行业标准的→法定——「法定化」的进度是框架可持续的关键。框架的「跨实验室比较」的方法论：「比较的公平性」（不同框架的可比性（阈值定义、评测方法的差异——「可比性」的困难（A 家的 ASL-3 与 B 家的 high 风险不可直接比较——「映射的尝试」（框架间的映射研究（学术的比较分析——「标准化的推动」（框架要素的标准化（评估方法、分级语言——「标准化」的成本（抑制创新 vs 增进可比——「标准化」的度。安全框架的进阶总结：RSP 的实施案例（ASL-3 激活）证明了「承诺可以兑现」+「承诺的验证」需要外部机制（AISI 双轨）——安全框架的可信度=承诺的严格性×兑现的透明度×验证的独立性——三者缺一，框架就是 PR——三者齐备，框架就是行业的新基础设施——这个基础设施的下一步，是从「自愿」到「法定」——而推动法定化的最大动力，将是公众对「自我裁判」的不信任。

高频问答：安全框架的边界

收尾前回答三个高频问题。「中小模型公司要做 RSP 类框架吗？」——裁剪版的答案：「RSP 的裁剪」：前沿框架的核心要素（危险能力评估、阈值-防护的阶梯——「中小版的框架」（范围裁剪（只评与自家业务相关的危险能力）、阈值简化（两档而不是四档）、防护绑定（评估不过不上线——「裁剪版 RSP」的最小集（评估+阈值+决策规则三件套——「小框架」的价值（中小模型公司做框架的真实动机：「企业客户的要求」（B 端客户要求供应商的安全框架——「框架」是 To B 的信任凭证——有框架的供应商在企业采购中加分——「框架即信任凭证」。「框架的质量」如何被检验？——「框架质量的三个检验」：评估的深度（危险能力评估的真做（真做=花真钱做评估——「评估的花费」是承诺质量的度量）、决策的执行（评估不过时真敢不上线（「敢不敢」的实例——历史上的「延迟发布」案例——「延迟」的稀缺性（真正敢延迟发布的公司很少——「敢延迟」的信任价值极高）、透明的程度（决策与评估的公开度——「透明」的三档（原则公开/结果公开/细节公开——「透明度」的递进。安全框架的问答收束：安全框架的终极价值公式——「框架的价值 = 承诺的严格 × 兑现的透明 × 验证的独立」——对中小公司而言，一个「小而真」的框架（真评估、真执行、真透明）比「大而空」的框架值钱一百倍——「框架的比赛不是比谁写得长，是比谁敢兑现」。

小结

三家前沿实验室的安全框架（Anthropic RSP 的 AI R&D 锚点、OpenAI 的 critical 不部署、DeepMind 的 CCL）共同构成了「能力-防护」的阶梯承诺——它的价值：能力风险的可管理化、行业事实标准的雏形、公开承诺的可问责性；它的弱点：自我裁判的悖论、阈值的可漂移、以及「不签约者不受约束」的集体行动困境。这类框架的演进方向可以预测：自我承诺 → 独立验证（AISI 评测的双轨） → 行业标准 → 法定义务——每一步都在把「实验室的自我约束」变成「更硬的约束」——这个过程的速度，取决于下一次重大事故或能力跳跃什么时候来。

自我限速是这个行业最聪明也最脆弱的发明——聪明在于它抢在监管前面定义了规则，脆弱在于规则的裁判还是自己。