编者按:就在 OpenAI 宣布与五角大楼达成 AI 合作协议的数小时前,五角大楼刚刚以 Anthropic 坚持安全条款为由终止双方合作。随后,Anthropic CEO Dario Amodei 向员工发布了一封措辞异常激烈的内部备忘录,直指 OpenAI 所宣称的「安全机制」大多只是「安全表演」,并质疑其在自主武器与大规模监控问题上的立场。
在这封约 1600 字的邮件中,Amodei 不仅披露了双方与美国国防体系谈判的部分细节,也将矛头直接指向 OpenAI CEO Sam Altman,指责其通过公关叙事掩盖真实的合作结构。这场围绕 AI 军事应用、安全红线与政治关系的争议,正在把硅谷两大 AI 公司之间的分歧推向台前。
以下为原文:
我想把 OpenAI 当前释放的信息,以及这些信息中存在的虚伪之处,说得非常清楚。这正是他们真实的做法,我希望大家都能看清。
尽管我们对他们与战争部(DoW)签署的合同仍有许多未知之处(甚至他们自己可能也未必完全清楚,因为合同条款很可能相当模糊),但有几点是可以确定的:从 Sam Altman 和战争部的公开描述来看(当然还需要看到合同文本才能最终确认),他们的合作模式大致是这样的:模型本身没有任何法律层面的使用限制,即所谓「所有合法用途」;同时设置一层所谓的「安全层」。在我看来,这种「安全层」本质上就是模型的拒绝机制,用来阻止模型完成某些任务或参与某些应用。
所谓的「安全层」,也可能指合作伙伴(例如 Palantir,Anthropic 服务美国政府客户时的商业伙伴)在谈判中试图向我们推销的方案。他们提出了一种分类器或机器学习系统,声称能够允许某些应用通过,同时拦截另一些应用。此外,也有迹象表明 OpenAI 会安排员工(FDE,即前线部署工程师)对模型的使用进行监督,以防止出现不当应用。
我们的总体判断是:这些方案并非完全没有作用,但在军事应用的语境下,大约 20% 是真实防护,80% 是安全表演。
问题的根源在于:模型是否被用于大规模监控或完全自主武器系统,往往取决于更广泛的上下文信息。模型本身并不知道自己处在什么样的系统中,它不知道是否有人类处于「回路之中」(human-in-the-loop,即自主武器问题的关键);也不知道它正在分析的数据来源是什么。例如,是美国国内数据还是境外数据,是企业在获得用户同意后提供的数据,还是通过灰色渠道购买的数据等等。
从事安全工作的人员对此早已深有体会:模型拒绝机制并不可靠。越狱攻击十分常见,很多时候只需要向模型谎报数据的性质,就可以绕过这些限制。
这里还有一个关键区别,使问题比普通安全防护更复杂:判断模型是否正在执行网络攻击,从输入和输出往往可以看出端倪;但判断攻击的性质以及具体上下文,却是完全不同的事情,而这恰恰是这里所需要的判断能力。在很多情况下,这项任务极其困难,甚至根本不可能完成。
Palantir 向我们推销的「安全层」(我想他们也向 OpenAI 推销了类似方案)情况更糟。我们的判断是,这几乎完全是一种安全表演。
Palantir 的基本逻辑似乎是这样的:「你们公司里可能有一些不满的员工,你们需要给他们一些东西来安抚他们,或者让正在发生的事情对他们不可见。这正是我们提供的服务。」
至于让 Anthropic 或 OpenAI 的员工直接监督部署的问题,我们几个月前在扩展机密环境下的可接受使用政策(AUP)时也进行过内部讨论。结论非常明确:这种方式只在极少数情况下可行。我们会尽力尝试,但它绝不是可以依赖的核心保障机制,在机密环境中尤其难以实施。顺便说一句,我们确实已经在尽可能这样做,在这一点上我们与 OpenAI 并没有区别。
因此我要说的是:OpenAI 采取的这些措施基本无法解决问题。
他们之所以接受这些方案,而我们没有,本质原因在于:他们关注的是如何安抚员工,而我们真正关心的是防止滥用。
这些方案并非毫无价值,我们自己也在使用其中的一部分,但它们远远不足以达到应有的安全标准。同时,战争部在对待 OpenAI 和我们时显然并不一致。
事实上,我们曾尝试在合同中加入与 OpenAI 类似的一些安全条款(作为 AUP 的补充。在我们看来,AUP 才是更重要的部分),但战争部拒绝了。相关证据就在当时的邮件讨论链中。由于我现在事务繁多,可能会让同事之后去查找具体措辞。因此,「OpenAI 的条款曾提供给我们而被我们拒绝」这一说法并不属实;同样,「OpenAI 的条款能够有效阻止大规模国内监控或完全自主武器」这一说法也不属实。
此外,Sam 和 OpenAI 的表述还暗示,我们提出的红线,即完全自主武器与大规模国内监控,本身已经是违法行为,因此相关使用政策是多余的。这种说法与战争部的表态几乎完全一致,看起来像是事先协调好的。
但这并不符合事实。
正如我们昨天在声明中解释的那样,战争部确实拥有进行国内监控的权限。过去在没有 AI 的时代,这些权限的影响相对有限,但在 AI 时代,其意义已经完全不同。
举例来说:战争部可以合法地从供应商处大量购买美国公民的私人数据(这些供应商通常通过隐蔽的用户同意条款获得转售权),随后利用 AI 对这些数据进行大规模分析,用于建立公民画像、评估政治倾向、追踪现实空间中的行动轨迹,他们能够获得的数据甚至包括 GPS 信息等等。
还有一点值得注意:在谈判接近尾声时,战争部提出,如果我们删除合同中一条关于 「大规模采购数据分析」(analysis of bulk acquired data) 的具体表述,就愿意接受我们的全部其他条款。而这一条恰恰是合同中唯一精准对应我们最担心情景的条文。我们对此感到非常可疑。
在自主武器问题上,战争部声称「人类在回路中」是法律要求。但事实并非如此。这实际上只是拜登政府时期的一项五角大楼政策,要求在武器发射决策中必须有人类参与。而这项政策可以由现任国防部长 Pete Hegseth 单方面修改——这正是我们真正担心的地方。因此,从现实角度来看,这并不是一个真正的约束。
OpenAI 与战争部在这些问题上的大量公关说辞,要么是在撒谎,要么是在刻意制造混淆。这些事实揭示了一种行为模式,而这种模式我在 Sam Altman 身上已经见过很多次。我希望大家能够识别它。
今天早上,他先表示自己认同 Anthropic 的红线,这样做的目的是显得支持我们,从而分走一些功劳,同时在他们接手这份合同时避免受到批评。他还试图把自己塑造成一个希望「为整个行业制定统一合同标准」的角色——也就是和平缔造者与交易撮合人。
但在幕后,他正在与战争部签署合同,准备在我们被标记为供应链风险的那一刻取代我们。
同时,他必须确保这一过程看起来不像是「在 Anthropic 坚守红线时,OpenAI 却放弃了底线」。之所以能做到这一点,是因为:
第一,他可以签署所有我们拒绝的「安全表演」措施,而战争部及其合作伙伴也愿意配合,把这些措施包装得足够可信,以安抚他的员工。
第二,战争部愿意接受他提出的一些条款,而当初我们提出同样内容时却遭到了拒绝。
正是这两点,使得 OpenAI 可以达成协议,而我们无法做到。
战争部以及特朗普政府不喜欢我们的真正原因是:我们没有向特朗普进行政治捐款(而 OpenAI 以及 Greg Brockman 捐了很多);我们没有对特朗普进行独裁式的赞美(而 Sam 做了);我们支持 AI 监管,而这违背了他们的政策议程;我们在许多 AI 政策问题上选择说实话(例如 AI 对就业的替代问题);以及,我们确实坚守了红线,而不是与他们一起制造「安全表演」来安抚员工。
Sam 现在正在试图把这一切描述成:我们难以合作、我们态度强硬、我们缺乏灵活性等等。我希望大家认识到,这正是一种典型的 煤气灯操控(gaslighting)。
「某个人不好合作」这种模糊的说法,往往被用来掩盖真正难看的原因——也就是我刚刚提到的那些:政治捐款、政治忠诚,以及安全表演。
每个人都需要理解这一点,并在私下与 OpenAI 员工交流时反驳这种叙事。
换句话说,Sam 正在以「支持我们」的姿态削弱我们的立场。我希望大家对此保持清醒:他通过削弱公众对我们的支持,让政府更容易对我们进行惩罚。甚至,我怀疑他可能还在暗中推波助澜,虽然这一点我目前没有直接证据。
在公众和媒体层面,这种话术与操控似乎已经失效。大多数人都认为 OpenAI 与战争部的交易值得警惕,甚至令人不安,同时把我们视为坚持原则的一方(顺便说一句,我们现在已经是 App Store 下载榜第二名了)。
【注:随后 Claude 升至 App Store 第一。】
当然,这套叙事在一些推特上的蠢货那里起了作用,不过这并不重要。我真正担心的是:确保它不会在 OpenAI 的员工内部产生影响。
由于筛选效应,他们本来就是一群相对容易被说服的人。但反驳 Sam 正在向自己员工兜售的这些叙事,依然十分重要。
